证书透明度

数字证书管理的问题之一是，欺诈性证书需要很长时间才能被浏览器提供商发现、报告和撤销。证书透明度有助于避免在瞒过域持有者的情况下为域颁发证书。

证书透明度不需要侧信道通信来验证证书，它们由在线证书状态协议（OCSP）或Convergence等技术完成。证书透明度也不需要信任第三方。

证书透明度依赖于可验证的证书透明度日志。日志会添加新的证书到不断增长的哈希树。[1]^{:Section 3} 为正确完成该行为，日志必须：

• 验证每个提交的证书或预证书是否有有效的签名链，链条链向受信任的根证书颁发机构证书。
• 拒绝发布无有效签名链的证书。
• 存储新接受的可链向根证书的证书。
• 根据请求提供此链的审计。

日志可以接受尚未完全生效或者已过期的证书。

监视器是作为日志服务器的客户端，检查日志以确保行为正确。发生不一致则表示日志没有正确运行。日志的数据结构（Merkle树）上的签名防止日志否认不良行为。

审计器也作为日志服务器的客户端运行。证书透明度审计器使用有关日志的部分信息验证日志及其他部分的信息。[1]^{:Section 5.4}