Certificate Transparency : détecter le phishing

Une infrastructure de phishing devient parfois visible avant le premier e-mail. L’opérateur enregistre un domaine ressemblant à une marque, crée un sous-domaine et demande un certificat TLS. La Certificate Transparency (CT) transforme cette émission en signal public que les défenseurs peuvent surveiller.

La CT n’est pas un flux de domaines malveillants. C’est une source volumineuse de noms et de certificats. Sa valeur vient du rapprochement avec les marques, les actifs connus et les motifs d’infrastructure.

Ce que fournit la Certificate Transparency

La RFC 9162 définit Certificate Transparency 2.0. Les autorités participantes soumettent certificats ou précertificats à des journaux append-only. Les défenseurs peuvent y examiner :

• les Subject Alternative Names ;
• l’émetteur et les dates de validité ;
• les empreintes du certificat ;
• l’horodatage du journal ;
• les domaines parents et nouveaux sous-domaines.

La CT révèle les émissions publiques, pas les certificats privés ni tous les noms d’hôtes. Considérez-la comme un capteur parmi d’autres.

Les cas d’usage à forte valeur

Émission suspecte sur un domaine possédé

Déclenchez une alerte si un certificat apparaît pour votre domaine avec un émetteur, un compte, un processus de clé ou un hostname inattendu. Cela peut révéler une compromission, du shadow IT ou une erreur d’automatisation.

Usurpation de marque

Générez des variantes normalisées de la marque et des produits critiques. Recherchez fautes, mots ajoutés, homoglyphes et sous-domaines trompeurs dans les nouveaux certificats.

Sous-domaines inconnus

Comparez les noms à l’inventaire. Environnements de préproduction, previews oubliées et zones acquises apparaissent parfois dans la CT avant d’être connus de la sécurité.

Regroupement d’infrastructure

Empreintes, émetteurs, synchronisation et noms partagés peuvent relier plusieurs domaines de phishing. Croisez-les avec le DNS et l’hébergement avant d’attribuer une campagne.

Construire un pipeline de triage

Normalisez les noms internationalisés en punycode, identifiez correctement le domaine enregistrable et dédupliquez les wildcards. Classez chaque observation comme possédée, ressemblante ou sans rapport, puis :

1. résolvez A, AAAA, MX, NS et CNAME ;
2. contrôlez âge et registrar ;
3. examinez réputation IP actuelle et historique ;
4. rendez la page dans un environnement sûr et suivez les redirections ;
5. comparez certificats et empreintes de pages aux campagnes précédentes.

Utilisez l’énumération de sous-domaines pour vos zones, l’historique DNS pour les changements et le scanner d’URL lorsqu’une page répond.

Prioriser sans se noyer

Une grande organisation émet de nombreux certificats légitimes. Réduisez le bruit avec un inventaire des autorités, comptes ACME, wildcards, environnements et propriétaires approuvés. Chaque exception doit avoir une date d’expiration.

Pour les domaines ressemblants, classez selon :

• proximité visuelle ou lexicale ;
• ancienneté et première observation ;
• mots liés à la connexion, au paiement ou au téléchargement ;
• présence de MX ;
• réputation de l’hébergement ;
• redirection vers une collecte d’identifiants ;
• preuve de ciblage dans la messagerie ou le proxy.

Un nom proche sans DNS est un élément à surveiller. Le même domaine avec une copie de votre portail devient un incident.

Répondre à une émission suspecte

Pour un domaine possédé, confirmez l’autorisation auprès du responsable des certificats. Si elle ne l’est pas, révoquez, sécurisez les comptes DNS et CA, faites tourner les secrets concernés et analysez les journaux.

Pour une usurpation, conservez les preuves, bloquez domaine et URL, alertez les contrôles e-mail et navigateur, puis signalez au registrar, à l’hébergeur et à l’autorité. Continuez la surveillance après le démantèlement.

Les métriques du monitoring CT

Suivez le délai entre l’entrée du log et la détection, les actifs validés découverts, les domaines de phishing trouvés avant livraison, les faux positifs par marque et le délai de retrait. Mesurez les alertes sans propriétaire connu : elles signalent une lacune de gouvernance.

Conclusion

La Certificate Transparency offre une vue précoce et publique de la création d’infrastructure. Elle devient actionnable avec l’inventaire, la réputation des domaines, le DNS passif et l’analyse sûre des pages. Posez la question « pourquoi ce certificat a-t-il été émis ? » avant qu’un incident ne l’impose.