Google heeft melding gemaakt van een incident waarbij hackers erin geslaagd zijn TLS-certificaten te verkrijgen voor bepaalde domeinen van Google (bijvoorbeeld google.as), online diensten en grote bedrijven in de zones «.gh», «.sl» en «.as». De aanval werd uitgevoerd door de compromittering van de registrars van de nationale top-level domeinen — «.gh» (Ghana), «.sl» (Sierra Leone) en «.as» (Amerikaans Samoa), waardoor de DNS-servers voor domeinen in deze zones konden worden vervangen en verzoeken naar de servers van de aanvallers konden worden geleid. Door het verkeer om te leiden, konden de aanvallers het eigendom van de domeinen bevestigen en TLS-certificaten verkrijgen, aangezien na de wijziging van de gegevens in DNS de verificatieverzoeken van certificeringsinstanties niet naar de echte maar naar de vervalste hosts werden gestuurd en daarop werden verwerkt.
Ongeoorloofd verkregen certificaten werden ontdekt in de loganalyse van Certificate Transparency, waarin certificeringsinstanties alle uitgegeven en ingetrokken certificaten registreren. Google heeft de illegitieme certificaten die tijdens de aanval zijn verkregen, geblokkeerd met behulp van de CRLSets-mechanisme in de Chrome-browser en heeft ervoor gezorgd dat deze certificaten door de certificeringsinstanties worden ingetrokken. Tot nu toe is niet bekendgemaakt voor welke specifieke domeinen bedrogencertificaten zijn uitgegeven en welke bedrijven getroffen zijn door de aanval.
Om de risico's bij herhaling van dergelijke incidenten te minimaliseren, wordt domeineigenaren aangeraden om een constante monitoring van de publieke CT-logs (Certificate Transparency) op te zetten om ongeautoriseerde uitgifte van certificaten te detecteren. In DNS is het raadzaam om CAA-records (Certification Authority Authorization) toe te voegen, die de lijst van certificeringsinstanties bepalen die gemachtigd zijn om certificaten uit te geven voor het opgegeven domein. Het instellen van een DNS-record CAA beschermt niet tegen een certificaatsaanvraag na vervalsing van DNS, maar voorkomt na het terugkrijgen van de controle over DNS dat certificaten opnieuw worden uitgegeven door aanvallers met gebruik van gecachete verificatiegegevens van het domein.
Bron: opennet.ru
