Kapring af Google-domæner forbindes med sikkerhedsbrud hos nationale domæneregistre

Angribere kaprede flere Google-domæner og skaffede sig uautoriserede HTTPS-certifikater efter at have kompromitteret tredjepartsdomæneoperatører. Hændelserne med kapring af Google-domæner ramte nationale topdomæner for Ghana, Sierra Leone og Amerikansk Samoa.

Andre organisationer blev også udsat for domænekapring inden for topdomænerne .GH, .SL og .AS. Google oplyste dog, at angrebene ikke kompromitterede virksomhedens egne systemer.

Angriberne manipulerede autoritative DNS-poster, hvilket gjorde det muligt for dem at omdirigere berørte domæner til infrastruktur, som de selv kontrollerede.

Kontrol over DNS gjorde det muligt at efterligne legitime hjemmesider

DNS-poster leder besøgende til de servere, der er knyttet til et domæne. Ved at ændre disse poster kunne angriberne sende personer, der besøgte legitime adresser, videre til deres egen infrastruktur.

Denne adgang hjalp dem også med at skaffe gyldige HTTPS-certifikater til domæner, som de ikke ejede.

Certifikatudstedere verificerer kontrollen over et domæne, før de udsteder certifikater. En almindelig metode kræver, at den, der anmoder om certifikatet, offentliggør en DNS TXT-post med en værdi, som certifikatudstederen har leveret.

Fordi angriberne kontrollerede de relevante DNS-poster, kunne de opfylde kravene i verificeringsprocessen. Dermed kunne de udgive sig for at repræsentere legitime brands og vise deres eget indhold gennem de berørte domæner.

Google oplyste, at virksomheden ikke havde grund til at tro, at de involverede certifikatudstedere havde handlet forkert.

Google blokerede certifikater og anmodede om tilbagekaldelse

Som reaktion på hændelserne med kapring af Google-domæner blokerede virksomheden uautoriserede certifikater til sine tjenester i Chrome ved hjælp af CRLSets.

Denne nødmekanisme gør det muligt for Chrome hurtigt at afvise udvalgte tilbagekaldte eller ikke-betroede HTTPS-certifikater. Google samarbejdede også med de udstedende certifikatmyndigheder om at tilbagekalde certifikaterne, hvilket udvidede beskyttelsen ud over Chromes eget blokeringssystem.

Samtidig afslørede en gennemgang af Certificate Transparency-logfiler yderligere certifikater, som tilsyneladende var forbundet med angrebene.

Resultaterne pegede på andre berørte organisationer, herunder store globale brands og udbredte onlinetjenester. Google blokerede efterfølgende de mistænkelige certifikater i Chrome og underrettede organisationerne, hvor det var muligt.

Chromes beskyttelse dækker muligvis ikke alle berørte domæner

Chrome-brugere behøver ikke at foretage sig noget for at få den beskyttelse, som Google indførte i forbindelse med hændelsen.

Virksomheden advarede dog om, at undersøgelsen muligvis ikke havde identificeret alle berørte domæner. Certifikatblokeringerne dækker derfor måske ikke det fulde omfang af angrebene.

Desuden beskytter CRLSets specifikt Chrome-brugere. Personer, der bruger andre browsere, kan ikke gå ud fra, at Chromes tiltag også beskytter deres browsersessioner.

Tilbagekaldelse af certifikater udgør et separat modtræk, men Google advarede mod at betragte virksomhedens Chrome-tiltag som en universel beskyttelse.

Domæneejere bør overvåge udstedelsen af certifikater

Google opfordrede organisationer til at overvåge Certificate Transparency-logfiler på tværs af hele deres domæneportefølje. Dette omfatter også parkerede domæner, som stadig kræver overvågning, selvom de ikke har en aktiv hjemmeside.

Virksomheden anbefalede også restriktive Certification Authority Authorization-poster, hvor det er relevant. Disse DNS-poster kan begrænse certifikatudstedelse til autoriserede ACME-konti og bestemte valideringsmetoder.

CAA-poster kan dog ikke forhindre uautoriseret certifikatudstedelse, så længe angriberne aktivt kontrollerer DNS.

Deres værdi omfatter også genopretningen. Når en ejer har genoprettet legitim kontrol over DNS, kan restriktive indstillinger forhindre angribere i at skaffe yderligere certifikater gennem cachelagret domænevalidering.

Google identificerede ikke angriberne og oplyste heller ikke det samlede antal uautoriserede certifikater, der var involveret.