Tvrtka Google izvijestila je o incidentu tijekom kojeg su napadači uspjeli dobiti TLS certifikate za određene Google domene (npr. google.as), online usluge i velike tvrtke u zonama ".gh", ".sl" i ".as". Napad je izveden putem kompromitacije registra nacionalnih domena najvišeg reda — ".gh" (Gana), ".sl" (Sijera Leone) i ".as" (Američka Samoa), što je omogućilo promjenu DNS poslužitelja za domene u tim zonama i preusmjeravanje zahtjeva na poslužitelje napadača. Preusmjeravanjem prometa, napadači su uspjeli potvrditi vlasništvo nad domenama i dobiti TLS certifikate, jer su nakon izmjene podataka u DNS-u provjeravajući zahtjevi od certifikacijskih tijela slani na lažne, umjesto na stvarne, poslužitelje i obrađeni su na njima.
Neovlašteno stjecanje certifikata otkriveno je analizom logova Certificate Transparency, u kojima certifikacijska tijela prikazuju sve izdate i povučene certifikate. Tvrtka Google blokirala je nelegitimne certifikate dobivene u napadu putem mehanizma CRLSets u pregledniku Chrome, a također je zatražila povlačenje tih certifikata od certifikacijskih tijela. Trenutačno se ne otkriva za koje su točno domena izdani lažni certifikati i koje su tvrtke pretrpjele štetu od napada.
Kako bi se minimalizirali rizici od ponavljanja sličnih incidenata, vlasnicima domena preporučuje se organizirati stalni nadzor javnih CT logova (Certificate Transparency) za otkrivanje neovlaštenog izdavanja certifikata. U DNS se savjetuje dodati CAA (Certification Authority Authorization) zapise, koji definiraju popis certifikacijskih tijela kojima je dopušteno izdavati certifikate za navedenu domenu. Postavljanje DNS CAA zapisa neće zaštititi od zahtjeva za certifikatom nakon promjene DNS-a, ali će, nakon povratka kontrole nad DNS-om, spriječiti ponovno izdavanje certifikata od strane napadača koristeći predmemorirane podatke o vlasništvu domene.
Izvor: opennet.ru
