Google teatas juhtumist, mille tõttu õnnestus ründajatel saada TLS-sertifikaate üksikutele Google'i domeenidele (näiteks google.as), veebiteenustele ja suurtele ettevõtetele domeenides, nagu „.gh“, „.sl“ ja „.as“. Rünnak toimus riiklike tippdomeenide registrite kompromiteerimise kaudu — „.gh“ (Ghana), „.sl“ (Sierra Leone) ja „.as“ (Ameerika Samoa), mis võimaldas asendada DNS-servereid nende domeenide jaoks ja suunata päringud ründajate serveritesse. Suunates liiklust, suutsid ründajad kinnitada domeenide omandiõigust ja saada TLS-sertifikaate, kuna pärast DNS-i andmete muutmist saadeti autentimise päringud sertifitseerimiskeskustelt mitte reaalsetele, vaid valeväärilistele hostidele ja need töödeldi seal.
Kasutamata sertifikaatide hankimine tuvastati Certificate Transparency logide analüüsi käigus, kus sertifitseerimiskeskused kajastavad kõiki väljastatud ja tühistatud sertifikaate. Google blokeeris rünnaku käigus saadud illegitiimsed sertifikaadid, kasutades Chrome'i brauseri CRLSets mehhanismi, ning nõudis ka nende sertifikaatide tühistamist sertifitseerimiskeskustelt. Praegu ei avalikustata, millistele domeenidele on vale sertifikaadid välja antud ja millised ettevõtted rünnakust kannatasid.
Selleks, et minimeerida riske sarnaste juhtumite kordumise korral, soovitatakse domeenide omanikel korraldada pidev jälgimine avalikes CT (Certificate Transparency) logides, et tuvastada volitamata sertifikaatide väljastamine. DNS-i tuleks lisada CAA (Certification Authority Authorization) kirjed, mis määravad sertifitseerimiskeskuste nimekirja, kellele on lubatud väljastada sertifikaate määratud domeeni jaoks. DNS-i CAA kirje seadmine ei kaitse sertifikaadi taotlemise eest pärast DNS-i muutmist, kuid pärast kontrolli taastamist DNS-i üle takistab see valeväljaandjate sertifikaatide korduvat väljastamist, kasutades eelnevalt vahemälus olevaid domeeni omandiõiguse kontrollimise andmeid.
Allikas: opennet.ru
