14、X-FTPC：细粒度信任传播控制方案解析

X-FTPC：细粒度信任传播控制方案解析

1. 证书透明度（CT）系统基础

1.1 签名证书时间戳（SCT）与签名树头（STH）

在证书透明度（CT）系统中，签名证书时间戳（SCT）是一种承诺，确保证书能在日志中公开可见。日志中的证书以默克尔哈希树的形式组织，树的根节点会定期签名，形成签名树头（STH），方便进行审计。

1.2 各参与方的角色

• 证书颁发机构（CA） ：CA将签名证书提交给日志服务器以获取SCT，然后将SCT与证书一起交付给网站服务器。或者，在签署证书之前，CA创建预证书并提交以获取SCT，再将其嵌入最终证书。根据CT策略，证书可提交给多个日志服务器以获取多个SCT。
• 网站 ：在CT部署早期，网站有时需自行将证书提交给日志服务器获取SCT。在TLS握手时，网站将SCT与证书一起发送给浏览器，可通过嵌入证书扩展或TLS扩展（如OCSP装订）的方式。
• 浏览器 ：符合CT的浏览器在TLS握手时，根据预安装的CA和批准的日志服务器的公钥验证证书和SCT。若不满足浏览器的CT策略（如有效SCT不足），浏览器将拒绝证书。
• 监控器 ：负责检索日志，查找CA错误或恶意颁发的可疑证书。定期获取并解码日志中的所有记录，然后检查感兴趣的证书。
• 审计员 ：负责审计日志服务器的合规性。定期向日志服务器请求STH，检查日志是否为追加式且一致。还会请求审计路径，检查证书是否