SSL-сертификаты (точнее, сегодня правильнее говорить TLS-сертификаты, хотя историческое название SSL сохранилось) - это один из самых недооцененных источников криминалистически значимой информации. На первый взгляд сертификат лишь обеспечивает защищенное соединение (HTTPS), но в действительности он оставляет множество цифровых следов, которые позволяют связывать сайты, устанавливать время их создания, выявлять инфраструктуру преступников и даже реконструировать уже удалённые ресурсы.

SSL-сертификат - это электронный документ, который подтверждает, что определённый открытый криптографический ключ принадлежит конкретному доменному имени или организации.

Когда пользователь открывает сайт по HTTPS, браузер получает сертификат и проверяет: кто его выдал; для какого домена он предназначен; действует ли он; не был ли отозван; доверяет ли браузер удостоверяющему центру и кое-что ещё.

Если проверки проходят успешно, устанавливается защищённое TLS-соединение.

Нюанс в том, что любой человек может самостоятельно создать сертификат, который, впрочем, большинство браузеров не будут считать доверенным (HTTPS не получится).

Однако с 2011 года существует проект Certificate Transparency (CT), который логирует все сертификаты, так что можно, к примеру, выявлять сайты, которые никогда не индексировались поисковиками (суть даркнет) или устанавливать сеть мошеннических сайтов с одинаковыми сертификатами (совпадает публичный ключ или время создания или создатель).

Признаков там очень много, для одного поста пока достаточно. Но потом продолжим.
#технологии #кримтехника