Tecnologia di rilevazione

I registri di Certificate Transparency sono elenchi pubblici, a sola aggiunta, in cui le autorità di certificazione iscrivono ogni certificato TLS che emettono. Il sistema legge in continuo l’unione dei registri riconosciuti da Chrome e da Apple. Ogni voce porta l’identificativo del registro, l’indice della foglia e la sua impronta: sono le coordinate con cui chiunque può ritrovarla nel registro pubblico.

La copertura si verifica sui certificati distinti: ogni certificato è iscritto per policy in almeno due registri di operatori diversi, quindi i registri letti si coprono a vicenda.

Sul nome del dominio: un indice di parole chiave finanziarie in più lingue e un indice dei nomi citati negli avvisi delle autorità, letti attraverso la Public Suffix List perché un sottodominio di un servizio di hosting non venga scambiato per un dominio. Il filtro trattiene circa un dominio su mille fra quelli visti in un giorno.

Misurato sul registro di produzione: fra lo 0,10% e lo 0,13% dei domini distinti visti in un giorno. Il registro conserva anche ciò che è stato trattenuto senza diventare un caso: «mai visto» e «visto e scartato» sono due informazioni diverse.

La pagina viene richiesta seguendo i rinvii; si registrano il codice di risposta, l’indirizzo finale, il tempo di risposta e le lingue realmente servite. Una lingua conta come servita se la pagina è in quella lingua o se una versione in quella lingua è stata osservata, non solo dichiarata.

Tempo mediano di lettura nella finestra: 0,7 s.

Un modello di linguaggio a due livelli legge il testo: un primo livello rapido su tutte le pagine, un secondo più capace solo quando il primo livello segnala incertezza. Estrae il tipo di servizio, le autorizzazioni dichiarate, l’entità legale, i canali di contatto e gli indicatori: rendimenti garantiti, autorizzazione non dichiarata, pressione al deposito, urgenza artificiale, contatto solo in chat privata. Ogni verdetto registra il modello che l’ha prodotto. Le autorizzazioni dichiarate si registrano come testo, con la frase della pagina che le afferma: il riscontro con gli albi ufficiali resta a chi vigila, salvo un elenco di siti di intermediari italiani, fra cui quelli comunicati dalle SIM iscritte all’albo CONSOB, che evita che il sito di un intermediario iscritto venga scambiato per un dominio citato in un avviso.

Nella finestra: 28.127 verdetti, 8.770 passati al secondo livello (31%); 3,2 s in mediana per la classificazione. Il modello opera con un inquadramento esplicito: «analista per il regolatore italiano».

La severità intrinseca, calcolata dagli indicatori, viene corretta con ciò che il contenuto da solo non può dire: la popolarità del dominio nel campione pubblico Chrome UX Report, i rinvii verso siti noti, la corrispondenza con i nomi citati negli avvisi. Il risultato è la severità effettiva, la sola usata in questo sito e nella coda di lavoro.

Anche la corrispondenza con gli avvisi entra nel calcolo, e la pagina Dati ne tiene conto quando confronta severità e avvisi.

Per ogni dominio a severità elevata un crawler che si dichiara come tale cattura la pagina e le sue risorse in formato WARC, lo standard degli archivi web, con l’impronta del contenuto per ogni record e la data e l’ora della cattura. Le copie si consultano in un visore separato, che esegue l’HTML conservato in isolamento dalla console.

Ogni copia, e ogni copia mancante, resta registrata nel fascicolo; la copertura misurata è nel documento delle evidenze.

Una verifica periodica chiede al server se risponde ancora. Un codice 403 o 500 conta come attivo: di solito è un servizio di protezione davanti al sito. Un dominio mai verificato resta distinto da uno raggiungibile, anche a schermo.

Quote ed esiti delle verifiche della finestra sono nella pagina Dati.