Jak monitorować Certificate Transparency dla swojej marki?

Czym jest Certificate Transparency i dlaczego pomaga projektowi kryptowalutowemu?

Certificate Transparency to system publicznych dzienników, w których urzędy certyfikacji zapisują wydawane certyfikaty. Ponieważ dzienniki są publiczne, każdy może wyszukiwać w nich nazwę, także taką, która naśladuje Państwa. Oszust phishingowy, który chce HTTPS na domenie łudząco podobnej, zwykle żąda certyfikatu, a to żądanie staje się widocznym wpisem.

Ma to znaczenie w dwóch sytuacjach. Pierwsza to domena łudząco podobna: atakujący rejestruje nazwę podobną do Państwa, uzyskuje certyfikat i rozpoczyna kampanię. Druga to przejęcie: Blockaid podał, że w lutowych kompromitacjach front-endu z 2026 certyfikaty SSL atakującego wydano tego samego dnia co zmianę DNS oraz że wydano certyfikaty wildcard dla domeny Nerochain. Wpis w dzienniku dla Państwa własnej domeny, o który Państwo nie prosili, jest wczesnym ostrzeżeniem.

Definicja do zacytowania: monitorowanie Certificate Transparency to praktyka przeszukiwania publicznych dzienników certyfikatów pod kątem nazw zawierających Państwa markę, tak aby certyfikaty domen łudząco podobnych i przejętych były widoczne w chwili wydania, a nie wtedy, gdy użytkownicy ponoszą szkody.

Jak przeszukać crt.sh pod kątem swojej marki?

Przeszukuj crt.sh według tożsamości, używając nazwy domeny i ciągu marki, i przeglądaj listę co tydzień. crt.sh to usługa wyszukiwania certyfikatów prowadzona przez Sectigo. Przyjmuje nazwę domeny lub nazwę organizacji jako tożsamość, odcisk certyfikatu lub identyfikator crt.sh.

Jej strona Advanced wymienia operatory dopasowania Autoselect, equals, ILIKE i LIKE, wybór zakresu, pole wyboru wykluczające wygasłe certyfikaty i pole wyboru usuwające duplikaty par certyfikat i prcertyfikat. Operatory LIKE to operatory SQL, w których znak procentu pasuje do dowolnego tekstu, więc wzorzec taki jak marka ze znakiem procentu po obu stronach wypisuje nazwy, które ją zawierają. Strona crt.sh nie dokumentuje znaków wzorca, więc działanie należy potwierdzić testowym wyszukiwaniem nazwy, którą Państwo posiadają.

Zapisuj to, co znajdziesz. Prowadź krótką listę własnych legalnych nazw i wystawców, a każdy inny wpis przeglądaj. Dla każdej nazwy łudząco podobnej kolejne kroki znajdują się w jak znaleźć domeny łudząco podobne do Państwa marki.

Jak strumieniować nowe certyfikaty za pomocą CertStream?

CertStream dostarcza nowe wpisy Certificate Transparency w czasie rzeczywistym, a krótki skrypt oznacza te, które pasują do Państwa marki. Jest szybki, ale głośny, ponieważ większość certyfikatów jest niezwiązana, więc o użyteczności decyduje reguła dopasowania.

Biblioteka Pythona instaluje się przez pip. Jej README rejestruje wywołanie zwrotne, które otrzymuje komunikat i kontekst, sprawdza, że typ komunikatu to certificate_update, i odczytuje listę domen z certyfikatu liścia. Poniższy przykład podąża za tą strukturą i dodaje dopasowanie marki.

# pip install certstream
import certstream

BRAND = 'examplecoin'

def on_cert(message, context):
    if message['message_type'] == 'certificate_update':
        for name in message['data']['leaf_cert']['all_domains']:
            if BRAND in name.lower():
                print(name)

certstream.listen_for_events(on_cert, url='wss://certstream.calidog.io/')

Jakich ciągów i końcówek wypatrywać?

Obserwuj dokładną markę, jej częste błędne zapisy oraz markę połączoną ze słowami takimi jak login, claim, airdrop lub wallet. Użyj dnstwist, otwartoźródłowego silnika permutacji, aby wygenerować warianty literówek, homoglifów, myślników i zamiany rozszerzeń Państwa nazwy, i podaj te ciągi swojemu dopasowywaczowi.

Końcówki warto ważyć danymi o nadużyciach. Według badania Wardmint z 12 listopada 2026 6 z 10 rozszerzeń z największą liczbą domen phishingowych w danych Interisle za okres od 1 maja 2025 do 30 kwietnia 2026 sprzedaje Wardmint: .com (869,180 domen), .pro (130,945), .info (99,602), .xyz (93,987), .shop (79,625) i .icu (74,786). Pozostałe cztery to .top, .cn, .vip i .cc. Wardmint nie sprzedaje .top. Posiadanie sprzedawanych końcówek z wyprzedzeniem usuwa dopasowania, które atakujący mógłby w przeciwnym razie zająć.

Liczba nie jest ryzykiem. Wskaźnik phishingu Interisle na 10,000 delegowanych domen stawia .icu na 1,607 i .pro na 1,200.1, wobec 53.7 dla .com, więc trafienie w małą, nadużywaną końcówkę zasługuje na szybsze spojrzenie niż w .com. Lista i wskaźniki znajdują się w które rozszerzenia domen są najczęściej używane do phishingu.

Co zrobić, gdy pojawi się podejrzany certyfikat?

Sprawdź nazwę, zapisz dowody i działaj w kolejności pasującej do przypadku. W przypadku nazwy łudząco podobnej należy załadować ją bezpiecznie, zrobić zrzuty ekranu, zapisać wpis certyfikatu i stronę oraz wykonać kroki zgłoszenia. W przypadku nieoczekiwanego certyfikatu na Państwa własnej domenie należy najpierw zweryfikować rekordy DNS i konto rejestratora, ponieważ może to oznaczać, że ktoś zmienił, dokąd wskazuje Państwa domena.

Plan reakcji znajduje się w co zrobić, gdy witryna phishingowa podszywa się pod Państwa projekt. Rekord CAA ogranicza, które urzędy mogą wydawać certyfikaty dla Państwa własnych nazw, jak opisano w jak skonfigurować rekordy CAA. Wardmint rejestruje domeny i rekordy DNS; nie prowadzi usług monitoringu ani usuwania domen, dlatego ten poradnik korzysta z bezpłatnych narzędzi.