Атака на реестры доменов .gh, .sl и .as привела к выдаче сертификатов для доменов Google
Google сообщила 6 октября о компрометации трех национальных доменов верхнего уровня — .gh (Гана), .sl (Сьерра-Леоне) и .as (Американское Самоа). Злоумышленники получили несанкционированные HTTPS-сертификаты для нескольких доменов Google, что позволило бы выдавать себя за легитимные ресурсы. Собственные системы Google при этом не пострадали, однако под угрозой оказались все домены в этих зонах.
Подробности
По данным Google, собственные системы компании не были скомпрометированы. Однако любой домен, оканчивающийся на .gh, .sl или .as, оказался под угрозой. Скомпрометировав реестры этих доменов верхнего уровня, атакующие смогли получить сертификаты для отдельных доменов Google, относящихся к этим зонам. Наличие такого сертификата позволяет злоумышленнику выдавать себя за настоящий сайт по зашифрованному соединению — то есть проводить полноценные атаки типа «человек посередине» и фишинговые кампании, которые не вызывают предупреждений браузера. Механизм атаки строится на злоупотреблении доверием к доменам верхнего уровня при проверке прав на домен в процессе выпуска сертификата. Если реестр ccTLD скомпрометирован, атакующий может манипулировать записями DNS и подтверждать контроль над доменами, которые ему не принадлежат. Это дает возможность получить валидный TLS-сертификат от удостоверяющего центра, даже не имея доступа к самому домену. Google не раскрыла, какие именно домены и в каких зонах были затронуты, а также не привела идентификаторы CVE. Компания не уточнила, какой удостоверяющий центр выдал сертификаты и были ли они отозваны. Не сообщается и о том, кто стоит за атакой и как именно были скомпрометированы реестры.Что делать
Владельцам доменов в зонах .gh, .sl и .as следует незамедлительно проверить целостность своих DNS-записей и убедиться, что они указывают на легитимные ресурсы. Рекомендуется включить DNSSEC там, где это поддерживается реестром, — это усложнит подмену записей. Стоит проверить журналы выдачи сертификатов через сервисы мониторинга прозрачности сертификатов (Certificate Transparency) на предмет появления сертификатов для ваших доменов, которые вы не запрашивали. Обнаруженные подозрительные сертификаты необходимо отозвать через удостоверяющий центр. Организациям, чьи сервисы используют домены в этих зонах, рекомендуется усилить мониторинг подозрительной активности и рассмотреть возможность перевода критичных сервисов на более контролируемые домены. Пользователям следует проявлять повышенную осторожность при переходе по ссылкам на сайты в зонах .gh, .sl и .as и проверять сертификаты вручную. Инцидент показывает, что безопасность интернета зависит от weakest link — слабейшего звена: даже надежно защищенные системы Google оказались косвенно затронуты из-за компрометации сторонних реестров. Компаниям стоит учитывать риски цепочки поставок, включая доменные зоны, и не полагаться исключительно на TLS как на гарантию подлинности ресурса.Источник: The Hacker News