Cyberprzestępcy uzyskali fałszywe certyfikaty TLS dla domen Google — Ars Technica

Cyberprzestępcy przejęli kontrolę nad trzema krajowymi strefami domenowymi i wykorzystali ją do uzyskania nieautoryzowanych certyfikatów TLS dla kilku domen Google, a także innych dużych marek i popularnych usług internetowych. Powołując się na oświadczenie Google, informuje Ars Technica.

Kontrola nad rekordami DNS

Ataki były wymierzone w krajowe domeny najwyższego poziomu .gh, .sl i .as. Po przejęciu kontroli nad tymi strefami cyberprzestępcy zmieniali autorytatywne rekordy DNS dla wybranych domen. Pozwoliło im to przejść zautomatyzowaną weryfikację kontroli nad domeną, stosowaną przez urzędy certyfikacji przy wydawaniu certyfikatów.

Google zaktualizowało Chrome, aby zablokować wszystkie wykryte nieautoryzowane certyfikaty. Firma współpracowała również z urzędami certyfikacji, aby unieważnić certyfikaty wydane dla zasobów Google. Google nie wskazało innych poszkodowanych organizacji, a liczba nieautoryzowanie wydanych certyfikatów pozostaje nieznana.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Ryzyko kryptograficznego podszywania się

Certyfikaty TLS służą do uwierzytelniania i szyfrowania połączeń ze stronami internetowymi, serwerami pocztowymi i inną infrastrukturą internetową. Łączą nazwę domeny z publicznym kluczem kryptograficznym, podczas gdy klucz prywatny powinien być przechowywany wyłącznie przez właściciela zasobu. Nieautoryzowany certyfikat może umożliwić cyberprzestępcom kryptograficzne podszywanie się pod odpowiednią infrastrukturę.

Według Google infrastruktura właścicieli dotkniętych domen nie została naruszona, a urzędy certyfikacji spełniły ustalone wymagania. Kontrola nad strefami domenowymi pozwoliła atakującym zmieniać adresy IP wybranych stron. Umożliwiło im to przekierowywanie ruchu tych stron, zmianę autorytatywnych rekordów DNS oraz delegacji serwerów nazw wymaganych do przejścia weryfikacji kontroli nad domeną.

Firma ostrzegła właścicieli domen, aby nie polegali wyłącznie na blokowaniu certyfikatów w przeglądarkach. Google zaleciło monitorowanie dzienników przejrzystości certyfikatów pod kątem nieoczekiwanego wydania oraz publikowanie restrykcyjnych rekordów DNS Certification Authority Authorization, aby zapobiec ponownemu wykorzystaniu danych weryfikacyjnych z pamięci podręcznej po odzyskaniu kontroli nad DNS.

Czytaj nas na Telegram i Sends