Om Firefoxgebruikers tegen frauduleuze SSL-certificaten te beschermen gaat Mozilla Certificaattransparantie (CT) aan Firefox toevoegen. CT is een door Google ontwikkelde technologie en is bedoeld om verschillende structurele fouten in het SSL-certificaatsysteem te verhelpen.

SSL-certificaten worden onder andere gebruikt voor het identificeren van websites en versleutelen van gegevens die tussen websites en bezoekers worden uitgewisseld. Het SSL-systeem is niet waterdicht. Zo vormen onterecht uitgegeven SSL-certificaten een groot risico voor gebruikers, aldus Mozilla. Ook bestaat het risico dat aanvallers bij certificaatautoriteiten frauduleuze certificaten genereren. Door middel van certificaattransparantie is het mogelijk om deze certificaten te detecteren.

In het CT-ecosysteem verplichten browsers dat een beveiligde website bewijs aanlevert dat het certificaat in een publieke CT-log voorkomt. Een CT-log is een eenvoudige netwerkdienst die een archief van SSL-certificaten bijhoudt. Certificaten kunnen alleen aan dit log worden toegevoegd en niet worden verwijderd of aangepast. Ze gebruiken verder een cryptografische methode om manipulatie te voorkomen en kunnen door het publiek worden gecontroleerd.

Ondersteuning

Het idee is dat als voldoende browsers verplichten dat een certificaat in een CT-log voorkomt, dit zowel websites als certificaatautoriteiten aanmoedigt om dit ook te realiseren. Google heeft al aangekondigd dat het in de nabije toekomst voor alle EV SSL-certificaten CT gaat verplichten. Met hulp van Google is Mozilla nu van plan om code aan Firefox toe te voegen die bij het opzetten van een versleutelde verbinding naar de CT-informatie kijkt. De maatregel zal echter standaard zijn uitgeschakeld en gebruikers moeten die zelf inschakelen.

Op deze manier kunnen "early adopters" met de technologie experimenteren en krijgt Mozilla informatie die het kan gebruiken voordat de uiteindelijke versie van het CT-protocol wordt geïmplementeerd. Deze versie zal eerst nog door de Internet Engineering Task Force (IETF) worden opgesteld. Ook zal de informatie Mozilla laten zien hoe goed CT in het echt werkt. Op deze manier kan de browserontwikkelaar sneller reageren als het CT wil binnen Firefox wil verplichten. Het kan de maatregel echter ook verwijderen als die niet blijkt te werken.