Kapning av Google-domäner kopplas till intrång hos nationella domänregister

Angripare kapade flera Google-domäner och skaffade obehöriga HTTPS-certifikat efter att ha komprometterat externa domänoperatörer. Incidenterna med kapning av Google-domäner drabbade nationella toppdomäner för Ghana, Sierra Leone och Amerikanska Samoa.

Även andra organisationer utsattes för domänkapningar inom toppdomänerna .GH, .SL och .AS. Google uppgav dock att attackerna inte komprometterade företagets egna system.

Angriparna manipulerade auktoritativa DNS-poster, vilket gjorde det möjligt för dem att omdirigera berörda domäner till infrastruktur som de själva kontrollerade.

Kontroll över DNS gjorde det möjligt att imitera webbplatser

DNS-poster leder besökare till de servrar som är kopplade till en domän. Genom att ändra dessa poster kunde angriparna skicka personer som besökte legitima adresser till sin egen infrastruktur.

Denna åtkomst hjälpte dem också att skaffa giltiga HTTPS-certifikat för domäner som de inte ägde.

Certifikatutfärdare verifierar kontrollen över en domän innan de utfärdar certifikat. En vanlig metod kräver att den som begär certifikatet publicerar en DNS TXT-post med ett värde som certifikatutfärdaren tillhandahåller.

Eftersom angriparna kontrollerade de relevanta DNS-posterna kunde de uppfylla verifieringskraven. Därmed kunde de utge sig för att representera legitima varumärken och visa sitt eget innehåll via de drabbade domänerna.

Google uppgav att det inte fanns någon anledning att tro att de berörda certifikatutfärdarna hade agerat felaktigt.

Google blockerade certifikat och begärde återkallelse

Som svar på incidenterna med kapning av Google-domäner blockerade företaget obehöriga certifikat för sina tjänster i Chrome med hjälp av CRLSets.

Denna nödåtgärd gör det möjligt för Chrome att snabbt avvisa utvalda återkallade eller opålitliga HTTPS-certifikat. Google samarbetade också med de utfärdande certifikatmyndigheterna för att återkalla certifikaten, vilket utökade skyddet utöver Chromes eget blockeringssystem.

Samtidigt avslöjade en granskning av Certificate Transparency-loggar ytterligare certifikat som verkade vara kopplade till attackerna.

Resultaten pekade på andra drabbade organisationer, däribland stora globala varumärken och välanvända onlinetjänster. Google blockerade därefter de misstänkta certifikaten i Chrome och underrättade organisationerna där det var möjligt.

Chromes skydd kanske inte omfattar alla drabbade domäner

Chrome-användare behöver inte vidta några åtgärder för att få det skydd som Google införde med anledning av incidenten.

Företaget varnade dock för att utredningen kanske inte hade identifierat alla drabbade domäner. Därför är det möjligt att certifikatblockeringarna inte omfattar attackernas fullständiga omfattning.

Dessutom skyddar CRLSets specifikt Chrome-användare. Personer som använder andra webbläsare kan inte utgå från att Chromes åtgärder även skyddar deras webbsessioner.

Återkallelse av certifikat utgör en separat motåtgärd, men Google varnade för att betrakta företagets Chrome-åtgärder som ett universellt skydd.

Domänägare bör övervaka utfärdandet av certifikat

Google uppmanade organisationer att övervaka Certificate Transparency-loggar för hela sin domänportfölj. Detta omfattar även parkerade domäner, som fortfarande behöver övervakas trots att de saknar en aktiv webbplats.

Företaget rekommenderade också restriktiva Certification Authority Authorization-poster där det är lämpligt. Dessa DNS-poster kan begränsa certifikatutfärdandet till auktoriserade ACME-konton och angivna valideringsmetoder.

CAA-poster kan dock inte förhindra obehörigt certifikatutfärdande så länge angripare aktivt kontrollerar DNS.

Deras värde sträcker sig även till återställningsarbetet. När en ägare har återfått legitim kontroll över DNS kan restriktiva inställningar förhindra att angripare skaffar ytterligare certifikat genom cachad domänvalidering.

Google identifierade inte angriparna och avslöjade inte det totala antalet obehöriga certifikat som var inblandade.