証明書の透明性
CTログは証明書・プレ証明書を記録していく台帳である。データ構造としてマークル木が用いられる。証明書・プレ証明書の登録をCTログに要求すると、CTログはその証に署名付き証明書タイムスタンプ(SCT、Signed Certificate Timestamp)を発行する。
CTの目的を達成するため、CTログには以下が求められる。
ログに送信された証明書・プレ証明書それぞれについて、信頼されるルート認証局の証明書にチェーンしていることの検証
有効な署名のチェーンの無い証明書の公開を拒否すること
新規に受け入れる証明書からルート証明書までのチェーン全体を保存すること
要求に応じて、監査のためにこのチェーンを提示すること
ログとして、完全には有効でなかったり有効期限が切れていたりする証明書を受け入れることもあり得る。
モニターは、記録されていくログを監視する役割のシステムである。また、関心のある証明書の登録の監視を行う場合もある。たとえば、自らの所有するドメインが無断で発行されていないか監視するという利用方法があり、複数社がそのためのサービスを提供している。
CT ログ監視サービス(DigiCert)
証明書の透明性のモニタリング - Facebook for Developers
デジタル証明書管理の問題の1つは、不正な証明書がウェブブラウザのベンダーに発見・報告・取り消しされるまで長期間を要することである。CTは、ドメイン名の所有者の知らぬ間に当該ドメインに対する証明書が発行できないようにすることを支援しようというものである。
Online Certificate Status Protocol(OCSP)やConvergence(英語版)と同様に、CTはサイドチャネル通信を必要としない。また、CTは信頼できる第三者を必要とせず運用できる。