Google har rapporteret om en hændelse, hvor angribere var i stand til at få TLS-certifikater for specifikke Google-domæner (f.eks. google.as), online-tjenester og store virksomheder i områderne «.gh», «.sl» og «.as». Angrebet blev udført gennem kompromittering af registratorerne af nationale topdomæner — «.gh» (Ghana), «.sl» (Sierra Leone) og «.as» (Amerikansk Samoa), hvilket gjorde det muligt at ændre DNS-serverne for domæner i disse områder og omdirigere forespørgsler til angribernes servere. Ved at omdirigere trafikken kunne angriberne bekræfte ejerskab af domænerne og få TLS-certifikater, da kontrolanmodninger fra certifikatudstedere blev sendt ikke til de reelle, men til de falske værter og blev behandlet på dem.
Uautoriseret modtagelse af certifikater blev opdaget som et resultat af analysen af logfilerne for Certificate Transparency, hvor certifikatmyndighederne registrerer alle udstedte og tilbagekaldte certifikater. Virksomheden Google blokkerede de illegitime certifikater, der blev erhvervet under angrebet, ved hjælp af mekanismen CRLSets i Chrome-browseren og opnåede også tilbagekaldelse af disse certifikater fra certifikatmyndighederne. Det afsløres endnu ikke, til hvilke specifikke domæner formål de falske certifikater blev udstedt, og hvilke virksomheder der blev ramt af angrebet.
For at minimere risiciene ved gentagelse af sådanne hændelser anbefales det til domæneejerne at organisere løbende overvågning af offentlige CT-logs (Certificate Transparency) for at opdage uautoriseret udstedelse af certifikater. Det anbefales at tilføje CAA (Certification Authority Authorization) DNS-poster, som definerer listen over certifikatudstedere, der har tilladelse til at udstede certifikater for det angivne domæne. Opsætning af en CAA DNS-post vil ikke beskytte mod anmodninger om certifikater efter ændring af DNS, men efter genopretning af kontrol over DNS kan det forhindre gentagen udstedelse af certifikater af angribere ved at bruge cachede data til ejerskabskontrol.
Kilde: opennet.ru
