Kompania Google njoftoi për një incident ku sulmuesit arritën të merrnin certifikata TLS për disa domene të Google (p.sh., google.as), shërbime online dhe kompani të mëdha në zonat ".gh", ".sl" dhe ".as". Sulmi u realizua përmes komprometimit të regjistratorëve të zonave kombëtare të domain-it më të lartë - ".gh" (Gana), ".sl" (Sierra Leone) dhe ".as" (Samoa Amerikane), çka lejoj të zëvendësohen serverët DNS për këto domene dhe të drejtohen pyetjet në serverat e keqbërësve. Duke drejtuar trafikun, sulmuesit arritën të konfirmonin pronësinë e domeve dhe të merrnin certifikata TLS, pasi pas ndryshimit të të dhënave në DNS, pyetjet verifikuese nga autoritetet e certifikimit u dërguan jo në hostet reale, por në ato të manipuluara dhe u përpunuan atje.
Mundësitë e paautorizuara për marrjen e certifikatave u zbuluan si rezultat i analizës së logëve të Transparencës së Certifikatave, në të cilat qendrat e certifikimit reflektojnë të gjitha certifikat e lëshuara dhe të tërhequra. Kompania Google bllokoi certifikatat e paligjshme të marrë gjatë sulmit përmes mekanizmit CRLSets në shfletuesin Chrome, dhe gjithashtu arriti të sigurojë tërheqjen e këtyre certifikatave nga qendrat e certifikimit. End e panjohur se për cilat pikërisht të domenëve u lëshuan certifikatat e falsifikuara dhe cilat kompani pësuan nga sulmi.
Për të minimizuar rrezikun nga përsëritja e incidenteve të tilla, pronarëve të domeve u rekomandohet të organizojnë monitorimin e vazhduar të regjistrave publikë CT (Transparency e Certifikatave) për identifikimin e lëshimeve të certifikatave paautorizuara. Në DNS, rekomandohet të shtohen regjistrat CAA (Authorization e Autoritetit të Certifikatës), që përcaktojnë listën e autoriteteve të certifikimit që kanë leje për të lëshuar certifikata për domenin e caktuar. Vendosja e regjistrit CAA në DNS nuk do të mbrojë nga kërkesa për certifikatën pas manipulimit të DNS, por pas rikthimit të kontrollit mbi DNS do të parandalojë lëshimin e përsëritur të certifikatave nga keqbërësit, duke përdorur të dhënat e keqcache-uar për verifikimin e pronësisë së domain-it.
Burimi: opennet.ru
