Google meddelade om en incident dÀr angripare lyckades fÄ TLS-certifikat för specifika Google-domÀner (till exempel google.as), onlinetjÀnster och stora företag i zonerna '.gh', '.sl' och '.as'. Attacken utfördes genom att registratorer för nationella toppdomÀner ' .gh' (Ghana), '.sl' (Sierra Leone) och '.as' (Amerikanska Samoa) kompromitterades, vilket möjliggjorde en Àndring av DNS-servrar för domÀner i dessa zoner och omdirigering av förfrÄgningar till angriparnas servrar. Genom att omdirigera trafiken kunde angriparna bekrÀfta Àgande av domÀnerna och fÄ TLS-certifikat, eftersom kontrollfrÄgorna frÄn certifikatutfÀrdarna efter Àndringen av DNS-data skickades till falska vÀrdar istÀllet för de verkliga och hanterades dÀr.
Obehörig erhÄllning av certifikat upptÀcktes genom analys av loggar frÄn Certificate Transparency, dÀr certifikatutfÀrdare reflekterar alla utfÀrdade och Äterkallade certifikat. Google blockerade de illegitima certifikat som erhölls under attacken med hjÀlp av CRLSets-mekanismen i webblÀsaren Chrome och krÀvde Àven att dessa certifikat skulle Äterkallas av certifikatutfÀrdarna. Det avslöjas Ànnu inte för vilka specifika domÀner falska certifikat utfÀrdades och vilka företag som drabbades av attacken.
För att minimera riskerna vid upprepning av liknande incidenter rekommenderas domÀnÀgare att organisera en kontinuerlig övervakning av offentliga CT-loggar (Certificate Transparency) för att upptÀcka obehörig utfÀrdande av certifikat. I DNS rekommenderas att lÀgga till CAA-poster (Certification Authority Authorization) som definierar en lista över certifikatutfÀrdare som har rÀtt att utfÀrda certifikat för den angivna domÀnen. Att stÀlla in en DNS-post för CAA skyddar inte mot begÀran om certifikat efter en DNS-förÀndring, men efter att kontroll över DNS har ÄterstÀllts förhindrar det att angriparna utfÀrdar certifikat igen med hjÀlp av cachad data för domÀnens Àgande.
KĂ€lla: opennet.ru
