LintTrust

Certificados X.509, um de cada vez ou aos milhares, em DER ou PEM, como arquivos ou zips. Nada mais: nenhum acesso aos sistemas da CA, nenhuma chave privada, nenhuma senha.

Os TLS Baseline Requirements do CA/Browser Forum, dezenove edições da 2.1.2 à 2.3.0, e os critérios WebTrust for CAs TLS que os citam. Cada certificado é julgado em relação à edição em vigor na data de sua emissão e em relação à edição em vigor no fim do período de auditoria.

Não. Ele relata o que os certificados mostram, cláusula por cláusula, e registra a apreciação do próprio auditor ao lado dos seus vereditos. A opinião e a assinatura continuam com o auditor.

Um linter retorna linhas por certificado. O LintTrust agrupa os vereditos por critério WebTrust em toda a população, mantém uma recomendação separada de um requisito, julga pela edição em vigor, lê o que um linter isolado não consegue ler (a chave do emissor, a cadeia, o perfil declarado) e redige o papel de trabalho. Uma comparação independente sobre os mesmos certificados está nesta página.

O que um certificado não contém: se a CA validou um nome, se um número de série veio de um gerador aleatório, se uma organização é uma afiliada. Essas linhas dizem isso, e o auditor as responde uma única vez, com um fundamento, sob o seu nome.

Nos servidores do LintTrust na União Europeia, uma instância isolada por cliente, acessada por TLS com uma conta e um segundo fator. Nada é instalado do seu lado.

Um papel de trabalho para cada trabalho de auditoria, em PDF e Word, nos sistemas de escrita presentes nos certificados, as evidências por certificado e os próprios certificados em um zip para o arquivo da auditoria. Uma CA recebe um relatório de constatações por gravidade, com a ação recomendada.

Sua instância é sua: o banco de dados, os arquivos e os backups dela ficam separados dos de qualquer outro cliente e são criptografados em repouso. A equipe do LintTrust não tem acesso permanente a ela. Um login de operador para suporte só ocorre mediante sua solicitação por escrito, e cada um é registrado no histórico da sua instância, que você pode consultar. Você pode exportar tudo e excluir tudo, a qualquer momento, e receber uma confirmação por escrito da exclusão.

Nenhum é necessário: a demonstração é feita em uma PKI fictícia construída para ela. Se preferir ver seus próprios certificados julgados, envie uma amostra na véspera e eles serão mostrados.

Uma licença anual por organização, conforme os referenciais utilizados e o número de certificados. Solicite uma demonstração e um orçamento.

Sim, em breve: as EV Guidelines, os S/MIME e os Code Signing Baseline Requirements, e os critérios WebTrust que os citam, no mesmo mecanismo. Cada um é licenciado como um módulo, de modo que uma CA que emite apenas certificados TLS paga apenas pelo TLS.

Cada veredito indica a cláusula que aplica e o valor que leu, de modo que pode ser verificado manualmente. As edições dos Baseline Requirements são obtidas do próprio repositório do CA/Browser Forum, commit por commit. Uma PKI fictícia de 108 certificados, cada um com uma regra, escrita a partir do texto antes de qualquer execução, é julgada a cada versão, e verificações independentes em relação ao zlint e ao pkilint são publicadas nesta página.

Na União Europeia, na França, em servidores operados pelo LintTrust, uma instância isolada por cliente. Um acordo de tratamento de dados nos termos do GDPR faz parte de todo contrato, seja qual for a jurisdição do cliente.