Übernahme von Google-Domains mit Sicherheitsverletzungen bei nationalen Domain-Registrierungsstellen in Verbindung gebracht

Angreifer übernahmen mehrere Google-Domains und beschafften sich unautorisierte HTTPS-Zertifikate, nachdem sie externe Domainbetreiber kompromittiert hatten. Die Vorfälle im Zusammenhang mit der Übernahme von Google-Domains betrafen länderspezifische Top-Level-Domains für Ghana, Sierra Leone und Amerikanisch-Samoa.

Auch andere Organisationen waren von Domain-Übernahmen innerhalb der Namensräume .GH, .SL und .AS betroffen. Google erklärte jedoch, dass die Angriffe die eigenen Systeme des Unternehmens nicht kompromittiert hätten.

Die Angreifer manipulierten autoritative DNS-Einträge und konnten dadurch betroffene Domains auf eine von ihnen kontrollierte Infrastruktur umleiten.

DNS-Kontrolle ermöglichte es Angreifern, Websites zu imitieren

DNS-Einträge leiten Besucher zu den Servern weiter, die einer Domain zugeordnet sind. Durch die Änderung dieser Einträge konnten Angreifer Personen, die legitime Adressen aufriefen, auf ihre eigene Infrastruktur umleiten.

Dieser Zugriff half ihnen außerdem dabei, gültige HTTPS-Zertifikate für Domains zu erhalten, die ihnen nicht gehörten.

Zertifizierungsstellen überprüfen die Kontrolle über eine Domain, bevor sie Zertifikate ausstellen. Eine gängige Methode verlangt, dass der Antragsteller einen DNS-TXT-Eintrag mit einem von der Zertifizierungsstelle bereitgestellten Wert veröffentlicht.

Da die Angreifer die entsprechenden DNS-Einträge kontrollierten, konnten sie diesen Verifizierungsprozess erfolgreich durchlaufen. Dadurch konnten sie sich als legitime Marken ausgeben und über die betroffenen Domains eigene Inhalte anzeigen.

Google erklärte, es gebe keinen Grund zu der Annahme, dass die beteiligten Zertifizierungsstellen fehlerhaft gehandelt hätten.

Google blockierte Zertifikate und veranlasste deren Widerruf

Als Reaktion auf die Vorfälle mit der Übernahme von Google-Domains blockierte das Unternehmen mithilfe von CRLSets unautorisierte Zertifikate für seine Dienste in Chrome.

Dieser Notfallmechanismus ermöglicht es Chrome, bestimmte widerrufene oder nicht vertrauenswürdige HTTPS-Zertifikate schnell zurückzuweisen. Google arbeitete außerdem mit den ausstellenden Zertifizierungsstellen zusammen, um die Zertifikate widerrufen zu lassen. Dadurch wurde der Schutz über das eigene Blockierungssystem von Chrome hinaus erweitert.

Unterdessen ergab eine Untersuchung der Certificate-Transparency-Protokolle, dass offenbar weitere Zertifikate mit den Angriffen in Verbindung standen.

Diese Erkenntnisse deuteten auf zusätzliche betroffene Organisationen hin, darunter große internationale Marken und weitverbreitete Onlinedienste. Google blockierte daraufhin die verdächtigen Zertifikate in Chrome und benachrichtigte die Organisationen, soweit dies möglich war.

Der Schutz von Chrome deckt möglicherweise nicht alle betroffenen Domains ab

Chrome-Nutzer müssen keine Maßnahmen ergreifen, um den Schutz zu erhalten, den Google im Zusammenhang mit diesem Vorfall eingeführt hat.

Das Unternehmen warnte jedoch, dass seine Untersuchung möglicherweise nicht alle betroffenen Domains identifiziert habe. Daher könnten die Zertifikatsperren nicht das gesamte Ausmaß der Angriffe abdecken.

Darüber hinaus schützt CRLSets speziell Chrome-Nutzer. Personen, die andere Browser verwenden, können nicht davon ausgehen, dass die Maßnahmen von Chrome auch ihre Browsersitzungen schützen.

Der Widerruf von Zertifikaten stellt eine separate Gegenmaßnahme dar. Google warnte jedoch davor, seine Chrome-Maßnahmen als universellen Schutz zu betrachten.

Domaininhaber sollten die Ausstellung von Zertifikaten überwachen

Google forderte Organisationen dazu auf, Certificate-Transparency-Protokolle für ihr gesamtes Domainportfolio zu überwachen. Dazu gehören auch geparkte Domains, die weiterhin überwacht werden müssen, obwohl sie keine aktive Website besitzen.

Das Unternehmen empfahl außerdem, gegebenenfalls restriktive Certification Authority Authorization-Einträge einzusetzen. Diese DNS-Einträge können die Zertifikatsausstellung auf autorisierte ACME-Konten und bestimmte Validierungsmethoden beschränken.

CAA-Einträge können jedoch die unautorisierte Ausstellung von Zertifikaten nicht verhindern, solange Angreifer die DNS-Einträge aktiv kontrollieren.

Ihr Nutzen erstreckt sich auch auf die Wiederherstellung. Nachdem ein Domaininhaber die rechtmäßige Kontrolle über DNS wiederhergestellt hat, können restriktive Einstellungen verhindern, dass Angreifer durch zwischengespeicherte Domainvalidierungen weitere Zertifikate erhalten.

Google identifizierte die Angreifer nicht und gab auch die Gesamtzahl der beteiligten unautorisierten Zertifikate nicht bekannt.