Google melaporkan sebuah insiden di mana penyerang memperoleh sertifikat TLS untuk domain Google tertentu (seperti google.as), layanan online, dan perusahaan besar di domain ".gh," ".sl," dan ".as". Serangan tersebut dilakukan dengan meretas registrar domain tingkat atas nasional (ccTLD)—".gh" (Ghana), ".sl" (Sierra Leone), dan ".as" (Samoa Amerika)—yang memungkinkan mereka untuk mengganti server DNS untuk domain-domain ini dan mengalihkan permintaan ke server penyerang. Dengan mengalihkan lalu lintas, penyerang dapat memverifikasi kepemilikan domain dan memperoleh sertifikat TLS, karena setelah mengubah data DNS, permintaan verifikasi dari otoritas sertifikasi dikirim ke host palsu, bukan ke host asli, dan diproses di host tersebut.
Akuisisi sertifikat tanpa izin tersebut ditemukan melalui analisis log Transparansi Sertifikat, di mana otoritas sertifikasi (CA) mencatat semua sertifikat yang diterbitkan dan dicabut. Google memblokir sertifikat ilegal yang diperoleh selama serangan tersebut menggunakan mekanisme CRLSets di browser Chrome dan juga meminta CA untuk mencabut sertifikat tersebut. Belum diungkapkan untuk domain mana sertifikat palsu tersebut diterbitkan atau perusahaan mana yang terpengaruh.
Untuk meminimalkan risiko terulangnya insiden serupa, pemilik domain disarankan untuk terus memantau log CT (Certificate Transparency) publik untuk mendeteksi penerbitan sertifikat yang tidak sah. Disarankan untuk menambahkan catatan CAA (Certification Authority Authorization) ke DNS, yang menentukan daftar otoritas sertifikat yang berwenang untuk menerbitkan sertifikat untuk domain yang ditentukan. Menyiapkan catatan DNS CAA tidak akan melindungi dari permintaan sertifikat setelah pembajakan DNS, tetapi setelah mendapatkan kembali kendali atas DNS, hal itu akan mencegah penyerang menerbitkan kembali sertifikat menggunakan data verifikasi kepemilikan domain yang di-cache.
Sumber: opennet.ru
