A empresa Google relatou um incidente em que os invasores conseguiram obter certificados TLS para domínios específicos do Google (por exemplo, google.as), serviços online e grandes empresas nas zonas ".gh", ".sl" e ".as". O ataque foi realizado por meio da comprometimento de registradores das zonas de domínio de nível superior do país — ".gh" (Gana), ".sl" (Serra Leoa) e ".as" (Samoa Americana), o que permitiu substituir os servidores DNS para domínios nessas zonas e redirecionar as solicitações para os servidores dos criminosos. Ao redirecionar o tráfego, os atacantes conseguiram confirmar a propriedade dos domínios e obter certificados TLS, pois após a alteração dos dados no DNS, as solicitações de verificação dos centros de certificação foram enviadas não para hosts reais, mas para hosts falsificados e processadas neles.
A obtenção não autorizada de certificados foi identificada a partir da análise dos logs de Transparency do Certificado, nos quais as autoridades certificadoras registram todos os certificados emitidos e revogados. A empresa Google bloqueou os certificados ilegítimos obtidos durante o ataque utilizando o mecanismo CRLSets no navegador Chrome, além de ter conseguido a revogação desses certificados pelas autoridades certificadoras. Ainda não foi revelado para quais exatamente domínios foram emitidos os certificados fraudulentos e quais empresas foram afetadas pelo ataque.
Para minimizar os riscos de repetição de incidentes semelhantes, recomenda-se aos proprietários de domínios organizar um monitoramento contínuo dos logs públicos de CT (Transparência de Certificados) para identificar emissões não autorizadas de certificados. No DNS, é aconselhável adicionar registros CAA (Autorização da Autoridade de Certificação), que definem a lista de centros de certificação autorizados a emitir certificados para o domínio designado. A configuração do registro DNS CAA não protege contra a solicitação de um certificado após a modificação do DNS, mas após a retomada do controle sobre o DNS, impede a reemissão de certificados pelos criminosos, utilizando dados em cache da verificação de propriedade do domínio.
Fonte: opennet.ru
