La empresa Google informó sobre un incidente en el que los atacantes lograron obtener certificados TLS para ciertos dominios de Google (por ejemplo, google.as), servicios en línea y grandes empresas en las zonas ".gh", ".sl" y ".as". El ataque se llevó a cabo mediante la compromisión de los registradores de dominios de nivel superior nacionales: ".gh" (Ghana), ".sl" (Sierra Leona) y ".as" (Samoa Americana), lo que permitió cambiar los servidores DNS de los dominios en estas zonas y redirigir las solicitudes a los servidores de los delincuentes. Al redirigir el tráfico, los atacantes pudieron confirmar la propiedad de los dominios y obtener certificados TLS, ya que tras el cambio de datos en DNS, las consultas de verificación de los centros de validación se enviaron a hosts falsificados en lugar de a los reales y fueron tratadas allí.
Se identificó la obtención no autorizada de certificados como resultado del análisis de los registros de Transparencia de Certificados, en los cuales las autoridades de certificación reflejan todos los certificados emitidos y revocados. La empresa Google bloqueó los certificados ilegítimos que se obtuvieron durante el ataque mediante el mecanismo CRLSets en el navegador Chrome, y también logró que las autoridades de certificación revocaran estos certificados. Aún no se revela para cuáles exactamente dominios se emitieron los certificados fraudulentos y qué empresas sufrieron el ataque.
Para minimizar los riesgos en caso de repetición de incidentes similares, se recomienda a los propietarios de dominios organizar un monitoreo constante de los registros públicos de CT (Certificate Transparency) para detectar la emisión no autorizada de certificados. En DNS, se aconseja agregar registros CAA (Authorization de Autoridad de Certificación), que definen la lista de centros de validación autorizados para emitir certificados para el dominio especificado. La inclusión de un registro DNS CAA no protegerá contra la solicitud de un certificado tras el cambio del DNS, pero al recuperar el control sobre el DNS evitará la reemisión de certificados por parte de delincuentes utilizando datos de verificación de propiedad en caché.
Fuente: opennet.ru
