La traccia nel registro pubblico
Il registro in cui è iscritto il certificato del sito è pubblico e tenuto da terzi. Con le coordinate riportate nel fascicolo, chiunque può chiedere la voce al gestore del registro e ottenere il certificato con la data e l’ora dell’iscrizione, attestate dal registro stesso.
Nei trenta giorni misurati, 2.900 dei 5.856 siti al livello critical (50%) hanno le coordinate complete. Per gli altri il fascicolo lo dice esplicitamente.
Dettaglio tecnico
Le coordinate sono identificativo del registro, indice e impronta della foglia di Certificate Transparency. Per queste voci il sistema calcola su richiesta la prova di inclusione, che dimostra la presenza del certificato nell’albero firmato e si verifica contro il checkpoint del registro.
La copia della pagina
La pagina è copiata con le sue parti da un programma che dichiara la propria identità. Ogni elemento della copia porta data e ora e un’impronta di integrità: se il file cambiasse anche di un carattere, l’impronta smetterebbe di corrispondere.
Nei trenta giorni misurati, 5.152 dei 5.856 siti al livello critical hanno almeno una copia (88%). Alcuni siti rifiutano di servire un programma che si presenta per ciò che è, e il rifiuto resta registrato nel fascicolo.
Le copie si aprono in un visore separato dalla piattaforma, e si possono scaricare e leggere con qualunque strumento dello standard degli archivi web.
Dettaglio tecnico
La copia è in formato WARC (ISO 28500). Ogni risposta registrata porta l’impronta SHA-1 in base32 prevista dallo standard; lo schema dell’archivio prevede anche una SHA-256, alla data di misura ancora da popolare. L’archivio contiene 4.836.900 record, di cui 1.308.222 di risposta con impronta.
La scheda del sito
La scheda riassume ciò che l’esame del contenuto ha trovato, e registra il modello che l’ha prodotta e il tempo impiegato.
I campi della scheda:
- Società e sede dichiarate
- Il soggetto che la pagina dice di essere, e dove dice di avere sede.
- Autorizzazioni dichiarate
- Le autorizzazioni o iscrizioni che la pagina afferma di avere, con il testo che le afferma.
- Canali di contatto
- Posta, telefono, chat e moduli, con l’indicazione se il contatto avviene esclusivamente in chat privata.
- Segnali d’allarme
- Rendimenti garantiti, autorizzazione non dichiarata, pressione al deposito, urgenza, testimonianze non verificabili, contenuto generato.
- Incoerenze
- Le contraddizioni interne alla pagina, per esempio una sede in un paese, l’autorizzazione in un altro e la valuta in un terzo.
- Date e ore
- Iscrizione del certificato, lettura della pagina, copia e ultima verifica di attività, in tempo universale.
Il fascicolo in PDF, in italiano, francese e inglese, riporta società e sede dichiarate, canali di contatto e le frasi della pagina che hanno prodotto la rilevazione. Riporta anche le autorizzazioni dichiarate, le lingue servite, le copie conservate e gli avvisi corrispondenti, con l’autorità che li ha emessi. L’interpretazione del modello viene per ultima, in un riquadro separato.
Verificare un’impronta da questa pagina
Qui sotto c’è il testo della scheda del fascicolo d’esempio della pagina iniziale. La sua impronta è stata calcolata alla pubblicazione con un programma diverso dal vostro browser, che ora la ricalcola sul testo che avete davanti.
Se le due combaciano, avete verificato insieme che l’impronta è riproducibile e che il testo è rimasto quello pubblicato. Cambiando un carattere l’impronta cambia per intero, e torna quella di prima quando lo rimettete com’era.
Impronta pubblicataff316dd7 44bfce73 33172c87 54d16fa4 4b32fad0 db2dbedf 5c9b4ee3 a0e2fde2
calcolo in corso…
Il calcolo avviene nel vostro browser, senza richieste di rete: il testo resta su questa pagina. Dal terminale, shasum -a 256 dà lo stesso valore.