Kompanija Google je objavila incident u kojem su napadači uspeli da dobiju TLS sertifikate za određene Google domene (na primer, google.as), online usluge i velike kompanije u zonama ".gh", ".sl" i ".as". Napad je izvršen kompromitovanjem registrara nacionalnih vrhovnih domena — ".gh" (Gana), ".sl" (Sijera Leone) i ".as" (Američka Samoa), što je omogućilo promenu DNS servera za domene u ovim zonama i preusmeravanje zahteva na servere napadača. Preusmeravanjem saobraćaja, napadači su uspeli da potvrde vlasništvo nad domenima i dobiju TLS sertifikate, pošto su nakon promene podataka u DNS-u, validacijski zahtevi od sertifikacionih centara slati ne na stvarne, već na lažne hostove i obrađivani na njima.
Neovlašćeno dobijanje sertifikata otkriveno je analizom logova Certificate Transparency, u kojima sertifikacioni centri beleže sve izdate i opozvane sertifikate. Kompanija Google je blokirala dobijene tokom napada nelegitimne sertifikate pomoću mehanizma CRLSets u pretraživaču Chrome, kao i uspela da postigne opoziv tih sertifikata od strane sertifikacionih centara. Za sada se ne otkrivaju za koje tačno domena su izdati lažni sertifikati i koje su kompanije pretrpele štetu od napada.
Kako bi minimalizovali rizike od ponovnog pojavljivanja sličnih incidenata, vlasnicima domena preporučuje se da organizuju stalni nadzor javnih logova CT (Certificate Transparency) za otkrivanje neovlašćenog izdavanja sertifikata. U DNS se savetuje dodavanje CAA zapisa (Certification Authority Authorization), koji definišu listu sertifikacionih centara kojima je dozvoljeno izdavanje sertifikata za navedeni domen. Postavljanje DNS CAA zapisa neće zaštititi od zahteva za sertifikat nakon promene DNS-a, ali će nakon vraćanja kontrole nad DNS-om sprečiti ponovno izdavanje sertifikata od strane napadača koristeći kesirane podatke o vlasništvu domena.
Izvor: opennet.ru
