Хакери са получили неоторизирани HTTPS сертификати за няколко домейна на Google и са превзели домейни в националните домейни от от първо ниво (ccTLD) за Гана, Американска Самоа и Сиера Леоне след компрометиране на външни оператори и промяна на авторитетните DNS записи.

Google подчертава, че атаките са засегнали домейни на други организации в ccTLD .GH, .SL и .AS, но „не включват компрометиране на системите на Google“.

Чрез получаване на достъп до записите в системата за имена на домейни (DNS), злонамерен субект може да поиска HTTPS сертификат от удостоверителен орган (CA) за домейн, който не притежава.

Удостоверителните органи издават сертификати след потвърждаване на собствеността върху домейна — процес, който обикновено изисква заявителят да създаде TXT запис със случайна стойност, предоставена от органа.

Промяната на авторитетните DNS записи е позволила на атакуващия да пренасочи .GH, .SL и .AS домейни към контролирана от него инфраструктура, докато получава валидни TLS сертификати за тези домейни.

Това е позволило на атакуващия да се представи за легитимни марки и да сервира на посетителите произволно съдържание от засегнатите домейни.

Google незабавно блокира неоторизираните сертификати за своите ресурси в Chrome чрез CRLSets и работи с издаващите органи за тяхното оттегляне, разширявайки защитата и към други клиенти.

Компанията заяви, че нейните системи не са били засегнати от инцидента по никакъв начин и че няма причина да вярва, че издаващите удостоверителни органи са действали неправилно.

След преглед на дневниците за прозрачност на сертификатите (Certificate Transparency - CT), технологичният гигант блокира допълнителни сертификати, които изглеждат свързани с атаките, и уведоми засегнатите организации, където е възможно.

„След първоначалното ограничаване на последиците, данните от дневниците за прозрачност на сертификатите (CT) разкриха допълнителни организации, включително няколко водещи световни марки и широко използвани онлайн услуги, за които се смята, че са били засегнати от същите атаки“, обясниха от Google.

„За да гарантираме, че потребителите на тези сайтове са защитени възможно най-бързо, ние проактивно блокирахме тези сертификати в Chrome.“

CRLSets е „авариен механизъм“ на Chrome, предназначен да позволи бързо блокиране на избрани оттеглени или ненадеждни HTTPS сертификати. Потребителите на Chrome не трябва да предприемат никакви действия, за да се защитят от този инцидент.

Въпреки това Google предупреждава, че може да не е идентифицирал всеки засегнат домейн, така че настоящите му списъци за блокиране може да не покриват всички потенциални заплахи.

Технологичната компания също така напомни на потребителите, че CRLSets покрива само потребителите на Chrome, което означава, че потребителите на други браузъри може да не са защитени.

„Поради сложността на отвличането на DNS записи не можем да гарантираме, че нашият анализ е идентифицирал всеки засегнат домейн, нито че мерките в Chrome ще защитят надеждно потребителите, които не използват Chrome“, казват от Google.

  • Да следят CT дневниците в целия си портфейл от домейни, включително паркираните домейни.
  • Да публикуват ограничителни записи за авторизация на удостоверителни органи (CAA) според нуждите, за да ограничат издаването до оторизирани ACME профили и методи за валидиране.

DNS записите за авторизация на удостоверителни органи (CAA) не могат да спрат издаването на сертификат по време на активно отвличане на DNS, но предотвратяват получаването на допълнителни сертификати чрез кеширана валидация на домейн, след като легитимният контрол върху DNS бъде възстановен, отбелязва Google.

Съобщението не посочва авторите на заплахата или броя на сертификатите, за които е потвърдено, че са били отвлечени.