Злоумышленники перехватили контроль над тремя национальными доменными зонами и выпустили поддельные TLS-сертификаты для Google и других крупных организаций.
Атаке подверглись домены первого уровня .gh, .sl и .as. Хакеры изменили DNS-записи отдельных доменов, прошли автоматические проверки, подтвердили права на домены и получили несанкционированные сертификаты.
Сертификаты затронули несколько адресов Google и «ряд ведущих мировых брендов и популярных онлайн-сервисов». Google не раскрыла список своих доменов и других пострадавших организаций.
TLS-сертификаты стандарта X.509 цифровой подписью связывают домен с открытым ключом, а закрытый ключ хранит владелец сайта. С поддельными сертификатами атакующие могут выдавать свои ресурсы за подлинные.
Google обновила Chrome для блокировки всех выявленных поддельных сертификатов и связалась с выдавшими их центрами сертификации, чтобы отозвать сертификаты для ресурсов Google.
Официальный отзыв сертификата сложен и медленен, поэтому разработчикам пришлось блокировать их на уровне браузеров. Google не уверена, что отследила все поддельные сертификаты.
Компания подчёркивает, что инфраструктура не скомпрометирована, а центры сертификации действовали в соответствии с установленными требованиями.
Пользователям Chrome ничего делать не нужно, но полностью полагаться на защиту браузера не стоит. Владельцам доменов Google рекомендует:
отслеживать журналы прозрачности сертификатов на предмет неожиданного выпуска сертификатов для своих доменов
опубликовать ограничительные DNS-записи CAA, чтобы нельзя было повторно использовать кешированные данные проверки после восстановления контроля над DNS
Похожий случай был в 2011 году: после взлома нидерландского центра сертификации DigiNotar появились поддельные сертификаты для google.com и более 200 других ресурсов. Их использовали для атак минимум на 300 000 человек.