Kolm domeenisuuna registraride kompromiteerimine võimaldas hankida TLS-sertifikaadid Google'i teenustele

Google teatas juhtumist, mille tõttu õnnestus ründajatel saada TLS-sertifikaate üksikutele Google'i domeenidele (näiteks google.as), veebiteenustele ja suurtele ettevõtetele domeenides, nagu „.gh“, „.sl“ ja „.as“. Rünnak toimus riiklike tippdomeenide registrite kompromiteerimise kaudu — „.gh“ (Ghana), „.sl“ (Sierra Leone) ja „.as“ (Ameerika Samoa), mis võimaldas asendada DNS-servereid nende domeenide jaoks ja suunata päringud ründajate serveritesse. Suunates liiklust, suutsid ründajad kinnitada domeenide omandiõigust ja saada TLS-sertifikaate, kuna pärast DNS-i andmete muutmist saadeti autentimise päringud sertifitseerimiskeskustelt mitte reaalsetele, vaid valeväärilistele hostidele ja need töödeldi seal.

Tuvastatud on volitamata sertifikaatide saamine Certificate Transparency logide analüüsi käigus, kus sertifitseerimiskeskused peavad arvestust kõikide väljastatud ja tühistatud sertifikaatide üle. Firma Google blokeeris rünnaku käigus saadud ebaseaduslikud sertifikaadid Chrome brauseris CRLSets mehhanismi abil ning nõudis nende sertifikaatide tühistamist sertifitseerimiskeskustelt. Praegu ei avalikustata, mille jaoks täpselt domeenide olid välja antud petised sertifikaadid ja millised ettevõtted rünnakust kannatasid.

Selleks, et minimeerida riske sarnaste juhtumite kordumise korral, soovitatakse domeenide omanikel korraldada pidev jälgimine avalikes CT (Certificate Transparency) logides, et tuvastada volitamata sertifikaatide väljastamine. DNS-i tuleks lisada CAA (Certification Authority Authorization) kirjed, mis määravad sertifitseerimiskeskuste nimekirja, kellele on lubatud väljastada sertifikaate määratud domeeni jaoks. DNS-i CAA kirje seadmine ei kaitse sertifikaadi taotlemise eest pärast DNS-i muutmist, kuid pärast kontrolli taastamist DNS-i üle takistab see valeväljaandjate sertifikaatide korduvat väljastamist, kasutades eelnevalt vahemälus olevaid domeeni omandiõiguse kontrollimise andmeid.

Allikas: opennet.ru