Компрометирането на регистратори на 3 домейн зони позволи получаването на TLS сертификати за услугите на Google

Компания Google съобщи за инцидент, при който злонамерени лица успяха да получат TLS сертификати за определени домейни на Google (например, google.as), онлайн услуги и големи компании в зоните «.gh», «.sl» и «.as». Атаката е извършена чрез компрометиране на регистраторите на националните домейни от най-високо ниво — «.gh» (Гана), «.sl» (Сиера Леоне) и «.as» (Американско Самоа), което е позволило да се заменят DNS сървърите за домейните в тези зони и да се пренасочат заявките към сървърите на нападателите. След като пренасочиха трафика, злонамерените лица успяха да потвърдят притежанието на домейните и да получат TLS сертификати, тъй като след промяната на данните в DNS проверяващите заявки от удостоверяващите центрове бяха изпратени не на реални, а на подменени хостове и обработени на тях.

Несанкционираното получаване на сертификати бе установено в резултат на анализа на логовете на Transparency Certificates, където удостоверяващите центрове отразяват всички издадени и отзовани сертификати. Компания Google блокира получените по време на атаката нелегитимни сертификати с помощта на механизма CRLSets в браузъра Chrome, а също така постигна отзоваване на тези сертификати от удостоверяващите центрове. Все още не се разкрива за кои точно домейни са издадени фалшивите сертификати и кои компании са пострадали от атаката.

За минимизиране на рисковете при повторение на подобни инциденти, се препоръчва на собствениците на домейни да организират постоянно наблюдение на публичните логове CT (Certificate Transparency) за откриване на несъгласувано издаване на сертификати. В DNS се препоръчва да се добавят записи CAA (Certification Authority Authorization), определящи списък на удостоверяващите центрове, на които е позволено да издават сертификати за посочения домейн. Поставянето на DNS запис CAA няма да защити от искане на сертификат след подмяна на DNS, но след възстановяване на контрола над DNS ще предотврати повторното издаване на сертификати от злонамерени лица, използвайки кешираните данни за проверка на притежанието на домейн.

Източник: opennet.ru