Spoločnosť Google oznámila incident, pri ktorom sa útočníkom podarilo získať TLS certifikáty pre jednotlivé domény Google (napríklad google.as), online služby a významné spoločnosti v zónach ".gh", ".sl" a ".as". Útok bol uskutočnený prostredníctvom kompromitácie registrátorov národných doménových zón najvyššej úrovne — ".gh" (Ghana), ".sl" (Sierra Leone) a ".as" (Americká Samoa), čo umožnilo nahradiť DNS servery pre domény v týchto zónach a presmerovať požiadavky na servery útočníkov. Presmerovaním prevádzky mohli útočníci potvrdiť vlastníctvo domén a získať TLS certifikáty, keďže po zmene údajov v DNS bolo overovacie požiadavky od certifikačných autorít odoslané nie na skutočné, ale na podvrhnuté hosty a spracované na nich.
Neoprávnené získanie certifikátov bolo zistené na základe analýzy záznamov Certificate Transparency, v ktorých certifikačné autority odrážajú všetky vydané a odvolané certifikáty. Spoločnosť Google zablokovala získané certifikáty z útoku ako nelegitímne pomocou mechanizmu CRLSets v prehliadači Chrome a tiež dosiahla ich odvolanie tými certifikačnými autoritami. Zatiaľ nie je zverejnené, pre ktoré konkrétne domén boli vydané falošné certifikáty a ktoré spoločnosti boli zasiahnuté útokom.
Aby sa minimalizovali riziká pri opakovaní podobných incidentov, majiteľom domén sa odporúča organizovať trvalý monitoring verejných logov CT (Certificate Transparency) na zistenie neoprávneného vydávania certifikátov. V DNS sa odporúča pridať záznamy CAA (Certification Authority Authorization), ktoré určujú zoznam certifikačných autorít, ktorým je povolené vydávať certifikáty pre uvedenú doménu. Nastavenie DNS záznamu CAA neochráni pred požiadavkou na certifikát po pozmenení DNS, ale po obnovení kontroly nad DNS zabráni opätovnému vydaniu certifikátov útočníkmi, ktorí využívajú uložené údaje o vlastníctve domény.
Zdroj: opennet.ru
