Zdjęcie: © Albert Stoynov / Unsplash
Źródło: unsplash.com/photos/dyUp7WPu5q4
Google poinformował, że kilka jego domen zostało objętych skutkami niedawnego przejęcia zewnętrznych krajowych domen najwyższego poziomu, czyli ccTLD. Incydent dotyczył końcówek .gh przypisanej Ghanie, .sl przypisanej Sierra Leone oraz .as używanej przez Samoa Amerykańskie. Zdarzenie miało miejsce w ubiegłym tygodniu i stworzyło ryzyko dla wszystkich domen korzystających z tych końcówek.
Według Google napastnicy zmodyfikowali autorytatywne rekordy DNS, czyli authoritative DNS odpowiedzialny za wskazywanie właściwej obsługi domen. Następnie uzyskali nieautoryzowane certyfikaty HTTPS obejmujące kilka domen Google oraz domeny należące do innych organizacji. Sam fakt wydania certyfikatu nie oznacza, że doszło do skutecznego przejęcia każdej objętej nim usługi, ale potwierdza, że mechanizmy kontroli domen zostały wykorzystane w sposób, którego ich właściciele nie autoryzowali.
Słownik artykułu
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
Rekord DNS określający, które urzędy certyfikacji mogą wystawiać certyfikaty dla danej domeny.
Końcówka domeny przypisana państwu lub terytorium, na przykład .gh dla Ghany, .sl dla Sierra Leone i .as dla Samoa Amerykańskiego.
Rekordy DNS utrzymywane przez źródło odpowiedzialne za wskazywanie, gdzie kierować zapytania dotyczące danej domeny.
Publiczny mechanizm rejestrowania wydanych certyfikatów HTTPS, ułatwiający wykrywanie certyfikatów wystawionych bez wiedzy właściciela domeny.
Proces, w którym urząd certyfikacji sprawdza, czy wnioskodawca kontroluje daną domenę przed wydaniem certyfikatu.
Po otrzymaniu informacji o incydencie Google zablokował nieautoryzowane certyfikaty dotyczące jego domen w przeglądarce Chrome. Firma współpracowała również z urzędami certyfikacji przy ich unieważnianiu. Google zaznaczył, że urzędy, które wydały certyfikaty, nie powinny być obwiniane za ten konkretny incydent, ponieważ problem wynikał z przejęcia kontroli nad zewnętrznymi domenami i późniejszej zmiany rekordów DNS.
Firma wykorzystała dane z logów Certificate Transparency, aby znaleźć kolejne potencjalnie dotknięte organizacje. Na tej podstawie zidentyfikowano certyfikaty dotyczące także innych globalnych marek i popularnych usług online. Google twierdzi, że tam, gdzie było to możliwe, powiadamiał zainteresowane podmioty o swoich ustaleniach i podjętych działaniach. Jednocześnie ostrzegł, że niektóre domeny mogą nadal wymagać sprawdzenia.
Google zaleca właścicielom monitorowanie logów CT dla wszystkich posiadanych domen, ze szczególnym uwzględnieniem adresów kończących się na .gh, .sl lub .as. Takie logi pozwalają sprawdzić, czy dla domeny pojawił się certyfikat, którego organizacja nie zamawiała. W przypadku wykrycia nieznanego wpisu potrzebna jest weryfikacja z odpowiednim urzędem certyfikacji oraz sprawdzenie konfiguracji domeny.
Drugim zaleceniem jest publikacja restrykcyjnych rekordów CAA DNS po przywróceniu kontroli nad domeną. Rekordy CAA mogą ograniczyć możliwość wystawiania certyfikatów do wskazanych urzędów certyfikacji, kont i metod walidacji kontroli domeny, określanej także jako DCV. Google zwraca uwagę, że urzędy certyfikacji mogą przechowywać i ponownie wykorzystywać zakończone kontrole DCV przy kolejnych wydaniach. Ograniczenie CAA ma więc zmniejszyć ryzyko użycia zachowanego stanu walidacji po zakończeniu przejęcia.
Incydent pokazuje, że bezpieczeństwo domen zależy nie tylko od konfiguracji pojedynczej witryny, lecz także od kontroli nad rejestrem, systemem DNS i procesem wydawania certyfikatów. Szybkie blokowanie certyfikatów w przeglądarkach ogranicza zasięg problemu, ale nie zastępuje stałego monitorowania logów CT i utrzymywania ograniczeń dotyczących tego, kto może wystawić certyfikat dla danej domeny.
Brak komentarzy. Bądź pierwszy!