Firma Google poinformowała o incydencie, w wyniku którego napastnicy uzyskali certyfikaty TLS dla niektórych domen Google (na przykład google.as), usług online i dużych firm w strefach ".gh", ".sl" i ".as". Atak został przeprowadzony poprzez kompromitację rejestratorów krajowych stref najwyższego poziomu — ".gh" (Ghana), ".sl" (Sierra Leone) i ".as" (Amerykańskie Samoa), co pozwoliło na zmianę serwerów DNS dla domen w tych strefach i przekierowanie zapytań na serwery przestępców. Przekierowując ruch, napastnicy byli w stanie potwierdzić własność domen i uzyskać certyfikaty TLS, ponieważ po zmianie danych w DNS, żądania weryfikacyjne od centrów certyfikacji były wysyłane nie do rzeczywistych, ale do podstawionych hostów i tam przetwarzane.
Nieautoryzowane pozyskiwanie certyfikatów zostało wykryte w wyniku analizy logów Certificate Transparency, w których urzędy certyfikacji rejestrują wszystkie wydane i odwołane certyfikaty. Firma Google zablokowała uzyskane podczas ataku nielegalne certyfikaty za pomocą mechanizmu CRLSets w przeglądarce Chrome, a także doprowadziła do ich odwołania przez urzędy certyfikacji. Na razie nie ujawniono, dla jakich dokładnie domenów wydano oszukańcze certyfikaty i które firmy ucierpiały w wyniku ataku.
Aby zminimalizować ryzyko powtórzenia podobnych incydentów, właściciele domen powinni zorganizować stały monitoring publicznych dzienników CT (Certificate Transparency) w celu wykrycia nieautoryzowanego wydania certyfikatów. W DNS zaleca się dodanie wpisów CAA (Certification Authority Authorization), które określają listę centrów certyfikacji, którym zezwala się na wydawanie certyfikatów dla danej domeny. Ustawienie wpisu DNS CAA nie ochroni przed żądaniem certyfikatu po zmianie DNS, ale po odzyskaniu kontroli nad DNS zapobiegnie ponownemu wydaniu certyfikatów przez przestępców, wykorzystujących wcześniej zbuforowane dane potwierdzające własność domeny.
Źródło: opennet.ru
