Zertifikatscanner - TLS-Zertifikate im internen Netz finden

Der Zertifikatscanner durchsucht Hosts, CIDR-Netze und Adressbereiche auf beliebigen Ports, baut überall dort einen TLS-Handshake auf, wo etwas antwortet, und inventarisiert jedes gefundene Zertifikat: Antragsteller, Namen, Aussteller, Ablauf, Schlüssel, Vertrauensstatus und Protokoll. Er läuft auf Ihrem Rechner und erreicht damit, was ein Cloud-Scanner nicht erreicht - private Netze, interne Hostnamen, LDAPS, RDP und Mailserver hinter der Firewall. Nichts wird hochgeladen.

So finden Sie bald ablaufende, selbstsignierte oder nicht vertrauenswürdige Zertifikate, falsche Namen und alte TLS-Versionen, bevor sie einen Ausfall verursachen. Auf der Kommandozeile ist es actk scan, für geplante Scans.

Die Seite zeigt ihre Phasen - Konfigurieren, Scannen, Ergebnisse prüfen und Exportieren - ohne ein Assistent zu sein.

Scan konfigurierenCopy Anchor Link

Ziele - Adressen, CIDR-Netze (bis /16), Bereiche oder Hostnamen, getrennt durch Kommas oder Zeilenumbrüche:

10.0.0.0/24
10.0.1.10-50
192.168.10.5
srv01.corp.local

Die Netze dieses Computers stehen per Klick als Ziel bereit.

Ports - einzelne Ports und Bereiche, z. B. 443, 8443, 8000-8100, oder eine Vorlage:

Servername (SNI) - optional, für IP-Ziele. Ohne ihn zeigt ein Server mit mehreren Sites unter Umständen ein Standardzertifikat, und die Namensprüfung läuft gegen die IP-Adresse.

Optionen

Vor dem Start zeigt die Seite, wie viele Hosts, Ports und Prüfungen der Scan umfasst und wie lange er dauert. Die Schätzung beruht auf dem Verbindungs-Timeout: Unbenutzte Adressen warten ihn jeweils ab, in Gruppen der parallelen Verbindungen. Unter Einstellungen sehen Sie die Dauer für ein /24 auf zwei Ports mit Ihren Werten. Während des Scans wird die Restzeit angezeigt; Scan stoppen beendet ihn.

STARTTLS und RDPCopy Anchor Link

Grenzen eines ScansCopy Anchor Link

Ein Scan umfasst höchstens 65.536 Adressen und 262.144 Host/Port-Prüfungen. Ein Tippfehler wie ein /8 scheitert also vor dem Start, statt tagelang zu laufen.

Ergebnisse prüfenCopy Anchor Link

Endpunkte erscheinen, sobald sie antworten. Die Zähler über der Tabelle zeigen die TLS-Endpunkte, Ports offen ohne TLS oder unlesbar, sowie Zertifikate, die abgelaufen sind, in ≤ 30 Tagen ablaufen oder nicht vertrauenswürdig bzw. selbstsigniert sind.

• Filter: Alle, Abgelaufen, ≤ 30 Tage, Nicht vertrauenswürdig, Selbstsigniert, Name passt nicht, Kein TLS / Fehler - dazu eine Suche über Host, Name und Aussteller.
• Spalten: Status (immer ein Wort neben der Farbe), Endpoint, Name, Aussteller, Läuft ab und Protokoll. Ein Klick auf den Spaltenkopf sortiert.
• Details eines Endpunkts: Gültigkeit und verbleibende Tage, Schlüssel, Verbindung (Adresse, Protokoll, Cipher), Vertrauen, ob der Name passt, Seriennummer und die Kette, die der Server gesendet hat.
• PEM kopieren oder Speichern als … .cer (DER), .crt / .pem oder die gesendete Kette - was ein Server sendet, ist öffentlich und kann gefahrlos gespeichert werden.
• Security Scan starten bewertet diesen Endpunkt im Security Scan.

Wie der Vertrauensstatus entstehtCopy Anchor Link

Die Handshakes akzeptieren jedes Zertifikat, damit auch eine abgelaufene oder nicht vertrauenswürdige Kette im Ergebnis erscheint. Das Vertrauen wird danach geprüft gegen:

• das Mozilla-Root-Programm, im Toolkit enthalten (immer aktiv);
• den Windows-Zertifikatspeicher dieses Computers, der auch eine per Gruppenrichtlinie verteilte interne CA enthält (standardmäßig aktiv, abschaltbar unter Einstellungen);
• eine optionale PEM-Datei mit zusätzlichen Stammzertifikaten (Einstellungen > Vertrauenswürdige Zertifizierungsstellen).

Auch Server, die für eine moderne TLS-Bibliothek zu alt sind, erscheinen: Bis TLS 1.2 wird das Zertifikat im Klartext gesendet, und das Toolkit liest es aus einem selbst gebauten Handshake.

Inventar exportierenCopy Anchor Link

CSV exportieren schreibt eine Zeile pro Endpunkt mit diesen Spalten:

host, address, port, transport, status, protocol, cipher, subject_cn, sans, issuer_cn,
not_before, not_after, days_until_expiry, key_type, key_size_bits, signature_algorithm,
self_signed, trusted_chain, hostname_match, serial, fingerprint_sha256, error

JSON exportieren schreibt das vollständige Ergebnis einschließlich jeder gesendeten Kette im versionierten Format aethercert.toolkit.cert-scan/v1 - siehe Berichtsformate. Exporte enthalten öffentliche Zertifikate und Netzwerkadressen, nie Schlüsselmaterial - interne Hostnamen und Adressen sind aber sensibel, behandeln Sie die Dateien entsprechend.

Scannen ohne DesktopCopy Anchor Link

actk scan 10.0.0.0/24 10.0.1.10-50 srv01.corp.local -p 443,636,3389,8443 `
  --csv inventory.csv --json inventory.json

Über die Aufgabenplanung entsteht so ein wöchentliches Inventar. Alle Optionen stehen in der CLI-Referenz.