A Google bejelentette, hogy egy incidens következtében a támadók TLS-tanúsítványokat szereztek meg bizonyos Google-domainekhez (például google.as), online szolgáltatásokhoz és nagyvállalatokhoz az ".gh", ".sl" és ".as" zónákban. A támadás a nemzeti legfelső szintű domain zónák regisztrátorainak kompromittálásán keresztül történt — ".gh" (Ghána), ".sl" (Sierra Leone) és ".as" (Amerikai Szamoa) — lehetővé téve a DNS-szerverek cseréjét ezekben a zónákban, és a kérések átirányítását a támadók szervereire. A forgalom átirányításával a támadók igazolni tudták a domainek tulajdonjogát és megszerezték a TLS-tanúsítványokat, mivel a DNS adatok módosítása után a hitelesítő központok ellenőrzési kérelmei nem a valós, hanem a manipulált hosztokra lettek küldve, és ott lettek feldolgozva.
A jogosulatlan tanúsítványok megszerzése a Certificate Transparency naplóinak elemzése révén került napvilágra, ahol a tanúsító hatóságok tükrözik az összes kiadott és visszavont tanúsítványt. A Google blokkolta a támadás során megszerzett illegitim tanúsítványokat a Chrome böngésző CRLSets mechanizmusának segítségével, és elérte a vonatkozó tanúsítványok visszavonását a tanúsító hatóságoktól. Jelenleg nem derült ki, hogy pontosan milyen domainok hamis tanúsítványokat adtak ki, és mely cégek szenvedtek a támadástól.
A hasonló incidensek megismétlődésének kockázatának minimalizálása érdekében a domaintulajdonosoknak javasolt, hogy folyamatosan figyelemmel kísérjék a nyilvános CT (Certificate Transparency) naplókat az illetéktelen tanúsítványkiadás észlelésére. A DNS-ben ajánlott CAA (Certification Authority Authorization) bejegyzések hozzáadása, amelyek meghatározzák azon hitelesítő központok listáját, amelyeknek engedélyezett a tanúsítványok kiadása az adott domainhez. A CAA DNS-bejegyzés megadása nem véd meg a tanúsítvány kérésétől DNS-manipuláció után, de a DNS feletti ellenőrzés visszaszerzése után megakadályozza a tanúsítványok újbóli kiadását a támadók által, a domain tulajdonjogának ellenőrzésére vonatkozó gyorsítótárazott adatok felhasználásával.
Forrás: opennet.ru
