В Google сообщили о серии атак на национальные доменные зоны .gh, .sl и .as. Атаки позволили злоумышленникам подменять DNS-записи отдельных доменов в этих зонах и получать для них несанкционированные TLS-сертификаты, в том числе для нескольких доменов Google и ряда других крупных сервисов.

По информации исследователей, атаки затронули национальные доменные зоны .gh, .sl и .as. В результате компрометации злоумышленники могли менять DNS-записи отдельных доменов в этих зонах и указывать для них другие авторитетные DNS-серверы. В итоге хакеры успешно проходили автоматические проверки удостоверяющих центров, которые должны подтверждать, что сертификат запрашивает тот, кто действительно управляет доменом.

В компании предупредили, что таким образом хакеры получили сертификаты для «нескольких доменов Google», а также «нескольких ведущих мировых брендов и широко используемых онлайн-сервисов». Какие именно организации и домены пострадали, в Google не раскрывают, и общее количество выпущенных мошенниками сертификатов тоже неизвестно.

Фактически TLS-сертификат связывает доменное имя с публичным ключом и позволяет браузеру проверить подлинность сайта. Если злоумышленник получает действительный сертификат для чужого домена, он получает возможность выдавать свою инфраструктуру за легитимную и, например, использовать ее в MitM-атаках.

В Google подчеркивают, что инфраструктуру владельцев пострадавших доменов никто не взламывал, а удостоверяющие центры соблюдали существующие требования. Слабым звеном оказалась именно процедура проверки контроля над доменом, что позволило хакерам получить действительные TLS-сертификаты для чужих доменов.

Подчеркивается, что разработчики Chrome уже заблокировали все обнаруженные фальшивые сертификаты. Кроме того, специалисты Google связались с выпустившими их удостоверяющими центрами, чтобы сертификаты официально отозвали.

Так как после первоначальной блокировки специалисты Google проанализировали логи Certificate Transparency и обнаружили дополнительные сертификаты, связанные с этой атакой, по возможности в компании уведомили все пострадавшие организации.

Хотя пользователям не нужно предпринимать никаких действий, эксперты предупреждают владельцев доменов, что нельзя просто полагаться на защиту браузера. Дело в том, что компания не может гарантировать, что обнаружила все пострадавшие от атак домены, а блокировки в Chrome в любом случае не защищают пользователей других браузеров.

Владельцам доменов рекомендуют следить за логами Certificate Transparency и проверять, не появляются ли там подозрительные сертификаты. Также рекомендуется настроить CAA-записи в DNS таким образом, чтобы сертификаты для домена могли выпускать только разрешенные удостоверяющие центры.

Пока неясно, удалось ли специалистам компании выявить и заблокировать все сертификаты, выпущенные для других организаций. Так как официальный отзыв сертификатов занимает немало времени, разработчики браузеров обычно используют собственные механизмы экстренной блокировки, и все известные на данный момент поддельные сертификаты уже заблокированы.

Отметим, что подобные атаки происходили и раньше. Одним из самых известных случаев такого рода стал взлом голландского удостоверяющего центра DigiNotar, произошедший в 2011 году. Тогда злоумышленники выпустили поддельные сертификаты для Google.com и более чем 200 других популярных доменов, а затем использовали сертификаты в атаках на как минимум 300 000 пользователей, связанных с Ираном (например, просматривали почту пользователей Gmail из Ирана).