Kapring av Google-domener knyttes til datainnbrudd hos nasjonale domeneregistre

Angripere kapret flere Google-domener og skaffet seg uautoriserte HTTPS-sertifikater etter å ha kompromittert tredjeparts domeneoperatører. Hendelsene med kapring av Google-domener rammet nasjonale toppdomener for Ghana, Sierra Leone og Amerikansk Samoa.

Andre organisasjoner ble også utsatt for domenekapring innenfor toppdomenene .GH, .SL og .AS. Google opplyste imidlertid at angrepene ikke kompromitterte selskapets egne systemer.

Angriperne manipulerte autoritative DNS-oppføringer, noe som gjorde det mulig å omdirigere berørte domener til infrastruktur de selv kontrollerte.

Kontroll over DNS gjorde det mulig å utgi seg for å være legitime nettsteder

DNS-oppføringer leder besøkende til serverne som er knyttet til et domene. Ved å endre disse oppføringene kunne angriperne sende personer som besøkte legitime adresser, til sin egen infrastruktur.

Denne tilgangen hjalp dem også med å skaffe gyldige HTTPS-sertifikater for domener de ikke eide.

Sertifikatutstedere verifiserer kontrollen over et domene før de utsteder sertifikater. En vanlig metode krever at den som ber om sertifikatet, publiserer en DNS TXT-oppføring som inneholder en verdi levert av sertifikatutstederen.

Fordi angriperne kontrollerte de relevante DNS-oppføringene, kunne de oppfylle kravene i verifiseringsprosessen. Dermed kunne de utgi seg for å representere legitime merkevarer og vise sitt eget innhold gjennom de berørte domenene.

Google opplyste at selskapet ikke hadde grunn til å tro at de involverte sertifikatutstederne hadde handlet feil.

Google blokkerte sertifikater og ba om tilbakekalling

Som svar på hendelsene med kapring av Google-domener blokkerte selskapet uautoriserte sertifikater for sine tjenester i Chrome ved hjelp av CRLSets.

Denne nødmekanismen gjør det mulig for Chrome raskt å avvise utvalgte tilbakekalte eller upålitelige HTTPS-sertifikater. Google samarbeidet også med sertifikatutstederne om å tilbakekalle sertifikatene, noe som utvidet beskyttelsen utover Chromes eget blokkeringssystem.

Samtidig avdekket en gjennomgang av Certificate Transparency-logger ytterligere sertifikater som tilsynelatende var knyttet til angrepene.

Funnene pekte på andre berørte organisasjoner, inkludert store globale merkevarer og mye brukte nettjenester. Google blokkerte deretter de mistenkelige sertifikatene i Chrome og varslet organisasjonene der det var mulig.

Chromes beskyttelse dekker kanskje ikke alle berørte domener

Chrome-brukere trenger ikke å foreta seg noe for å få beskyttelsen Google innførte som følge av hendelsen.

Selskapet advarte imidlertid om at undersøkelsen kanskje ikke hadde identifisert alle berørte domener. Sertifikatblokkeringene dekker derfor muligens ikke hele omfanget av angrepene.

Dessuten beskytter CRLSets spesifikt Chrome-brukere. Personer som bruker andre nettlesere, kan ikke anta at Chromes tiltak også beskytter nettleserøktene deres.

Tilbakekalling av sertifikater er et separat mottiltak, men Google advarte mot å betrakte selskapets Chrome-tiltak som en universell beskyttelse.

Domeneeiere bør overvåke utstedelsen av sertifikater

Google oppfordret organisasjoner til å overvåke Certificate Transparency-logger for hele domeneporteføljen sin. Dette omfatter også parkerte domener, som fortsatt krever oppfølging selv om de ikke har et aktivt nettsted.

Selskapet anbefalte også restriktive Certification Authority Authorization-oppføringer der det er hensiktsmessig. Disse DNS-oppføringene kan begrense sertifikatutstedelse til autoriserte ACME-kontoer og bestemte valideringsmetoder.

CAA-oppføringer kan imidlertid ikke forhindre uautorisert sertifikatutstedelse så lenge angriperne aktivt kontrollerer DNS.

Verdien deres gjelder også under gjenopprettingen. Etter at en eier har gjenopprettet legitim kontroll over DNS, kan restriktive innstillinger hindre angripere i å skaffe ytterligere sertifikater gjennom hurtiglagret domenevalidering.

Google identifiserte ikke angriperne og oppga heller ikke det totale antallet uautoriserte sertifikater som var involvert.