Google đã báo cáo một sự cố trong đó tin tặc đã chiếm đoạt chứng chỉ TLS cho một số tên miền của Google (như google.as), các dịch vụ trực tuyến và các công ty lớn có đuôi ".gh", ".sl" và ".as". Cuộc tấn công được thực hiện bằng cách xâm nhập vào các nhà đăng ký tên miền cấp cao quốc gia (ccTLD) — ".gh" (Ghana), ".sl" (Sierra Leone) và ".as" (Samoa thuộc Mỹ) — cho phép chúng thay thế máy chủ DNS cho các tên miền này và chuyển hướng các yêu cầu đến máy chủ của tin tặc. Bằng cách chuyển hướng lưu lượng truy cập, tin tặc có thể xác minh quyền sở hữu tên miền và lấy được chứng chỉ TLS, vì sau khi thay đổi dữ liệu DNS, các yêu cầu xác minh từ các cơ quan cấp chứng chỉ đã được gửi đến các máy chủ giả mạo thay vì máy chủ thật và được xử lý trên đó.
Việc chiếm đoạt chứng chỉ trái phép được phát hiện thông qua phân tích nhật ký Minh bạch Chứng chỉ (Certificate Transparency logs), nơi các tổ chức cấp chứng chỉ (CA) ghi lại tất cả các chứng chỉ đã cấp và bị thu hồi. Google đã chặn các chứng chỉ bất hợp pháp thu được trong cuộc tấn công bằng cơ chế CRLSets trong trình duyệt Chrome và cũng yêu cầu các CA thu hồi các chứng chỉ này. Hiện vẫn chưa rõ các chứng chỉ giả mạo này được cấp cho những tên miền nào hoặc những công ty nào bị ảnh hưởng.
Để giảm thiểu nguy cơ xảy ra các sự cố tương tự, chủ sở hữu tên miền nên thường xuyên theo dõi nhật ký CT (Certificate Transparency) công khai để phát hiện việc cấp chứng chỉ trái phép. Nên thêm bản ghi CAA (Certification Authority Authorization) vào DNS, xác định danh sách các tổ chức cấp chứng chỉ được phép cấp chứng chỉ cho tên miền được chỉ định. Việc thiết lập bản ghi DNS CAA sẽ không bảo vệ được khỏi các yêu cầu cấp chứng chỉ sau khi bị chiếm quyền kiểm soát DNS, nhưng sau khi giành lại quyền kiểm soát DNS, nó sẽ ngăn chặn kẻ tấn công cấp lại chứng chỉ bằng cách sử dụng dữ liệu xác minh quyền sở hữu tên miền được lưu trong bộ nhớ cache.
Nguồn: opennet.ru
