Suklastoti TLS sertifikatai pasiekė Google ir kitas paslaugas

Užpuolikai perėmė tris šalims priklausančius aukščiausio lygio domenus ir išsiėmė neleistinus TLS sertifikatus Google bei kitoms paslaugoms.

Ars Technica spalio 6 dieną remiasi Google pranešimu, kuriame minimi .gh, .sl ir .as šalims priklausantys aukščiausio lygio domenai.

Tai svarbu visai skaitmeninei infrastruktūrai, nes TLS sertifikatai yra vienas pagrindinių būdų naršyklėms patikrinti, ar svetainė tikrai priklauso nurodytam savininkui.

Pasak Ars Technica, užpuolikai pakeitė autoritetingus DNS įrašus pasirinktoms sritims šiose domenų zonose ir taip galėjo praeiti automatinius domeno valdymo patikrinimus.

Tokie patikrinimai paprastai naudojami sertifikatų išdavimo procese, kai sertifikavimo institucija tikrina, ar prašytojas valdo konkretų domeną.

Google teigė, kad užpuolikai gavo neleistinus sertifikatus keliems Google domenams ir keliems kitiems dideliems pasauliniams prekių ženklams bei plačiai naudojamoms interneto paslaugoms.

Ars Technica rašo, kad Google atnaujino Chrome, kad naršyklė blokuotų visus tokio incidento metu išduotus sertifikatus.

Šis incidentas parodo, kad sertifikatų saugumas priklauso ne tik nuo pačių interneto paslaugų, bet ir nuo domenų registrų bei DNS grandinės.

Jei užpuolikas laikinai įtikina sertifikavimo sistemą, kad kontroliuoja domeną, jis gali gauti sertifikatą, kuris atrodo teisėtas automatizuotoms sistemoms.

Tokie sertifikatai gali būti naudojami apsimesti svetaine arba perimti srautą, jei užpuolikas kartu kontroliuoja ryšio kelią ar aukos konfigūraciją.

Ars Technica pabrėžia, kad ataka prasidėjo nuo domenų registrų kompromitavimo, todėl problema yra aukščiau už vienos svetainės slaptažodžius ar serverio pataisas.

Įmonėms tai primena, kad saugumo stebėsena turi apimti ne tik debesijos paskyras, bet ir domenų registratorių, DNS, sertifikatų skaidrumo žurnalus bei naršyklių blokavimo signalus.

DI įrankiai gali padėti tokius žurnalus stebėti greičiau, bet pats incidentas rodo, kad automatizuotas pasitikėjimas be grandinės kontrolės lieka pažeidžiamas.

Ars Technica nurodo, kad incidentas palietė ne tik Google, bet ir kitus didelius pasaulinius prekių ženklus bei plačiai naudojamas interneto paslaugas.

Tai reiškia, kad problema buvo ne vien vienos įmonės domeno klaida, o platesnės sertifikatų ekosistemos priklausomybė nuo domenų valdymo grandinės.

Sertifikatų skaidrumo žurnalai tokiais atvejais tampa svarbiu ankstyvo aptikimo sluoksniu, nes jie leidžia pastebėti netikėtai išduotus sertifikatus.

Toliau svarbu, kaip registrai ir sertifikavimo institucijos pakeis tikrinimo procedūras, kad trumpas DNS perėmimas neleistų išduoti patikimai atrodančių sertifikatų.