Útočníci získali falešné certifikáty pro domény Googlu v zónách .gh, .sl a .as

Útočníci získali kontrolu nad národními doménovými zónami .gh, .sl a .as, změnili jejich DNS záznamy a získali neoprávněné HTTPS certifikáty pro několik domén Googlu i dalších organizací. DNS určuje, ke kterému serveru se prohlížeč po zadání webové adresy připojí.

HTTPS certifikát prohlížeči potvrzuje, že server může vystupovat pod danou doménou. Útočníci však ovládali směrování návštěvnosti a měli soukromé klíče k vydaným certifikátům. Mohli proto napodobit legitimní web bez obvyklého varování prohlížeče, zachytávat nebo měnit přenášená data a zneužít známou značku k phishingu či šíření škodlivého softwaru.

Google uvedl, že jeho vlastní systémy napadeny nebyly. Podle firmy také nic nenasvědčuje pochybení certifikačních autorit, které dotčené certifikáty vydaly. Chrome podezřelé certifikáty v napadených doménových zónách zablokoval.

Google upozornil, že zásah v Chromu nechrání uživatele jiných prohlížečů a že analýza nemusela odhalit všechny dotčené domény. Firma nezveřejnila konkrétní napadené adresy ani názvy dalších organizací.

Majitelům domén Google doporučuje průběžně sledovat záznamy Certificate Transparency. Tyto veřejné protokoly vydaných certifikátů mohou na nový certifikát upozornit téměř okamžitě. Provozovatelé domén v zónách .gh, .sl a .as mají zkontrolovat nedávné záznamy a vyhledat certifikáty, o které nežádali.

Další pojistkou jsou DNS záznamy CAA, které určují, které certifikační autority smějí pro doménu vydat certifikát. Během převzetí DNS samotnému vydání nezabrání. Po obnovení kontroly však mohou omezit riziko dalšího vydání certifikátu na základě dřívějšího ověření domény.

U domén mimo zóny .gh, .sl a .as Google přímý zásah nepotvrdil. Analýza však nemusela zachytit všechny napadené adresy a ochrana Chromu se nevztahuje na jiné prohlížeče. Pravidelná kontrola vydaných certifikátů proto doplňuje dohled nad DNS také u regionálních nebo běžně nepoužívaných domén.