Společnost Google oznámila incident, při kterém se útočníkům podařilo získat TLS certifikáty pro jednotlivé domény Google (například google.as), online služby a velké společnosti v oblastech ".gh", ".sl" a ".as". Útok byl proveden prostřednictvím kompromitace registrátorů národních domén nejvyšší úrovně – ".gh" (Ghana), ".sl" (Sierra Leone) a ".as" (Americká Samoa), což umožnilo nahradit DNS servery pro domény v těchto oblastech a přesměrovat požadavky na servery útočníků. Přesměrováním provozu dokázali útočníci potvrdit vlastnictví domén a získat TLS certifikáty, protože po změně údajů v DNS byly ověřovací požadavky od certifikačních autorit zasílány na falešné hostitele a zpracovány na nich.
Nesankcionované získávání certifikátů bylo odhaleno na základě analýzy protokolů Certificate Transparency, ve kterých certifikační úřady zaznamenávají všechny vydané a odvolané certifikáty. Společnost Google zablokovala certifikáty získané během útoku jako nelegitimní pomocí mechanismu CRLSets v prohlížeči Chrome a také dosáhla jejich odvolání certifikačními úřady. Zatím není odhaleno, pro jaké konkrétní domén. byly vydány podvodné certifikáty a které společnosti utrpěly škody v důsledku útoku.
Pro minimalizaci rizik při opakování podobných incidentů se doporučuje majitelům domén zorganizovat trvalý monitoring veřejných logů CT (Certificate Transparency) pro odhalení neoprávněného vydání certifikátů. V DNS se doporučuje přidat záznamy CAA (Certification Authority Authorization), které určují seznam certifikačních autorit, jimž je povoleno vydávat certifikáty pro uvedenou doménu. Vytvoření DNS záznamu CAA nechrání před žádostí o certifikát po změně DNS, ale po navrácení kontroly nad DNS zabrání opětovnému vydání certifikátů útočníky při použití uložených ověřovacích dat o vlastnictví domény.
Zdroj: opennet.ru
