Das Unternehmen Google hat über einen Vorfall berichtet, bei dem Angreifern die Erlangung von TLS-Zertifikaten für bestimmte Google-Domains (z. B. google.as), Online-Dienste und große Unternehmen in den Zonen ".gh", ".sl" und ".as" gelang. Der Angriff wurde durch die Kompromittierung von Registraren nationaler Top-Level-Domain-Zonen — ".gh" (Ghana), ".sl" (Sierra Leone) und ".as" (Amerikanisch-Samoa) — durchgeführt, was es ermöglichte, die DNS-Server für Domains in diesen Zonen zu ersetzen und Anfragen an die Server der Angreifer umzuleiten. Indem sie den Verkehr umleiteten, konnten die Angreifer die Domain-Besitzrechte bestätigen und TLS-Zertifikate erhalten, da nach der Änderung der DNS-Daten die Überprüfungsanfragen von Zertifizierungsstellen nicht an die echten, sondern an die kompromittierten Hosts gesendet und dort bearbeitet wurden.
Die unbefugte Erlangung von Zertifikaten wurde infolge der Analyse der Certificate Transparency-Protokolle festgestellt, in denen Zertifizierungsstellen alle ausgegebenen und widerrufenen Zertifikate dokumentieren. Google hat die im Zuge des Angriffs erlangten illegitimen Zertifikate mithilfe des CRLSets-Mechanismus im Chrome-Browser blockiert und auch den Widerruf dieser Zertifikate durch die Zertifizierungsstellen erreicht. Bisher ist nicht bekannt, für welche genau Domains betrügerische Zertifikate ausgestellt wurden und welche Unternehmen von dem Angriff betroffen sind.
Um die Risiken bei der Wiederholung solcher Vorfälle zu minimieren, wird Domaininhabern empfohlen, eine kontinuierliche Überwachung der öffentlichen CT-Logs (Certificate Transparency) einzurichten, um unbefugte Zertifikatsausstellungen zu erkennen. Im DNS wird geraten, CAA-Einträge (Certification Authority Authorization) hinzuzufügen, die eine Liste der Zertifizierungsstellen definieren, die berechtigt sind, Zertifikate für die angegebene Domain auszustellen. Das Setzen eines CAA-DNS-Eintrags schützt nicht vor der Zertifikatsanforderung nach einer DNS-Änderung, aber nach der Wiedererlangung der Kontrolle über DNS kann es die erneute Ausstellung von Zertifikaten durch Angreifer unter Verwendung von zwischengespeicherten Domainbesitzüberprüfungsdaten verhindern.
Quelle: opennet.ru
