Компания Google съобщи за инцидент, при който злонамерени лица успяха да получат TLS сертификати за определени домейни на Google (например, google.as), онлайн услуги и големи компании в зоните «.gh», «.sl» и «.as». Атаката е извършена чрез компрометиране на регистраторите на националните домейни от най-високо ниво — «.gh» (Гана), «.sl» (Сиера Леоне) и «.as» (Американско Самоа), което е позволило да се заменят DNS сървърите за домейните в тези зони и да се пренасочат заявките към сървърите на нападателите. След като пренасочиха трафика, злонамерените лица успяха да потвърдят притежанието на домейните и да получат TLS сертификати, тъй като след промяната на данните в DNS проверяващите заявки от удостоверяващите центрове бяха изпратени не на реални, а на подменени хостове и обработени на тях.
Неоторизирано получаване на сертификати беше установено в резултат на анализа на логовете на Certificate Transparency, в които удостоверяващите центрове отразяват всички издадени и отзовани сертификати. Компания Google блокира получените по време на атаката нелегитимни сертификати чрез механизма CRLSets в браузера Chrome, а също така постигна отзоваване на тези сертификати от удостоверяващите центрове. В момента не се разкрива за какви точно домейни са изпуснати измамни сертификати и кои компании са пострадали от атаката.
За минимизиране на рисковете при повторение на подобни инциденти, се препоръчва на собствениците на домейни да организират постоянно наблюдение на публичните логове CT (Certificate Transparency) за откриване на несъгласувано издаване на сертификати. В DNS се препоръчва да се добавят записи CAA (Certification Authority Authorization), определящи списък на удостоверяващите центрове, на които е позволено да издават сертификати за посочения домейн. Поставянето на DNS запис CAA няма да защити от искане на сертификат след подмяна на DNS, но след възстановяване на контрола над DNS ще предотврати повторното издаване на сертификати от злонамерени лица, използвайки кешираните данни за проверка на притежанието на домейн.
Източник: opennet.ru
