Компрометация регистраторов доменных зон .gh, .sl и .as позволила получить TLS-сертификаты для сервисов Google

Компания Google раскрыла подробности инцидента, в ходе которого злоумышленникам удалось получить TLS-сертификаты для отдельных доменов Google, включая google.as, а также для онлайн-сервисов и ресурсов крупных компаний, находящихся в доменных зонах ".gh", ".sl" и ".as". Атака стала возможной не из-за уязвимости в инфраструктуре самих сервисов, а из-за компрометации регистраторов, обслуживающих национальные домены верхнего уровня. Это подрывает базовый принцип доверия, на котором строится вся система выдачи сертификатов: если злоумышленник контролирует DNS-ответы домена, он может убедить удостоверяющий центр в том, что действительно владеет этим доменом.

Подробности

Атака затронула регистраторов трёх национальных доменных зон верхнего уровня: ".gh" (Гана), ".sl" (Сьерра-Леоне) и ".as" (Американское Самоа). Получив контроль над регистраторами, злоумышленники смогли изменить данные DNS-серверов, обслуживающих домены в этих зонах, и перенаправить запросы на подконтрольные им серверы. Ключевой этап атаки — обход процедуры подтверждения владения доменом, которую используют удостоверяющие центры (CA) при выдаче TLS-сертификатов. После изменения записей DNS проверочные запросы от CA направлялись уже не на реальные хосты владельцев доменов, а на подменённые серверы злоумышленников. Те, в свою очередь, успешно обрабатывали эти проверки, что позволило подтвердить «владение» доменами и получить на них валидные TLS-сертификаты. Среди пострадавших доменов упоминается google.as. Также сертификаты были получены для отдельных онлайн-сервисов и ресурсов крупных компаний, зарегистрированных в указанных зонах. Таким образом, атакующие получили возможность выдавать себя за легитимные ресурсы при установке защищённых соединений — что открывает путь к перехвату трафика, проведению фишинговых атак и компрометации пользователей, доверяющих валидному сертификату.

Что делать

Инцидент затрагивает в первую очередь владельцев доменов в зонах ".gh", ".sl" и ".as", а также организации, чьи сервисы используют эти домены. Рекомендуется: - Проверить журналы выдачи сертификатов (Certificate Transparency) на предмет появления сертификатов для ваших доменов, которые вы не запрашивали. - При обнаружении подозрительных сертификатов инициировать их отзыв через удостоверяющий центр и уведомить его о компрометации. - Усилить контроль за DNS-инфраструктурой: использовать DNSSEC там, где это возможно, и внимательно отслеживать изменения в записях NS и A/AAAA. - Для критичных сервисов рассмотреть применение CAA-записей, ограничивающих круг удостоверяющих центров, имеющих право выпускать сертификаты для домена. - Пользователям — сохранять бдительность: наличие валидного TLS-сертификата больше не гарантирует, что соединение ведёт к подлинному ресурсу. Итог: компрометация регистраторов доменных зон показывает, что безопасность TLS-сертификатов напрямую зависит от целостности DNS и регистрационной инфраструктуры. Контроль над регистратором фактически позволяет обойти проверки удостоверяющих центров и выдать сертификаты от имени чужих доменов.

Источник: opennet