Google: επιτιθέμενοι εκμεταλλεύτηκαν τους τομείς .gh, .sl και .as για πιστοποιητικά των ιστοτόπων της

Η Google δήλωσε στις 6 Οκτωβρίου ότι επιτιθέμενοι στόχευσαν τρεις τομείς ανωτάτου επιπέδου κωδικού χώρας, τους .gh (Γκάνα), .sl (Σιέρα Λεόνε) και .as (Αμερικανική Σαμόα), και άλλαξαν τις έγκυρες (authoritative) εγγραφές DNS για επιλεγμένους τομείς κάτω από αυτούς. Ο έλεγχος αυτών των εγγραφών επέτρεψε στους επιτιθέμενους να περάσουν τους αυτοματοποιημένους ελέγχους κυριότητας που εκτελούν οι αρχές πιστοποίησης (CA) πριν εκδώσουν ένα πιστοποιητικό, και απέκτησαν πιστοποιητικά HTTPS για αρκετούς τομείς της Google. Η παρούσα περιγραφή βασίζεται σε δημοσιεύματα των Ars Technica, BleepingComputer και The Hacker News που περιγράφουν την ανάρτηση της Google· το ittechwire δεν έχει εξετάσει την ίδια την ανάρτηση.

Σύμφωνα με τα δημοσιεύματα αυτά, η Google αναφέρει ότι τα συστήματά της δεν παραβιάστηκαν και ότι δεν βλέπει λόγο να υποψιάζεται ότι οι εκδότριες CA ενήργησαν ανάρμοστα. Το Chrome μπλόκαρε τα πιστοποιητικά για τους τομείς της Google μέσω των CRLSets, ενός μηχανισμού έκτακτης ανάγκης για την ταχεία άρση της εμπιστοσύνης σε συγκεκριμένα πιστοποιητικά, και η Google συνεργάστηκε με τις CA για την ανάκλησή τους, ώστε να καλύπτονται και άλλους browsers και εφαρμογές. Η Google αναφέρει ότι τα αρχεία καταγραφής Certificate Transparency (CT) αποκάλυψαν στη συνέχεια και άλλους οργανισμούς που, κατά την εκτίμησή της, επλήγησαν από την ίδια εκστρατεία, μεταξύ των οποίων «αρκετές κορυφαίες παγκόσμιες μάρκες και ευρέως χρησιμοποιούμενες διαδικτυακές υπηρεσίες». Μπλόκαρε και αυτά τα πιστοποιητικά στο Chrome και ειδοποίησε τους κατόχους όπου ήταν δυνατόν, αλλά δεν έχει κατονομάσει ούτε αυτούς ούτε τους δικούς της τομείς που επηρεάστηκαν.

Το The Hacker News αναφέρει ότι αναζήτησε στα αρχεία καταγραφής CT στις 7 Οκτωβρίου και βρήκε τουλάχιστον 12 πιστοποιητικά που εκδόθηκαν μεταξύ 22 και 27 Σεπτεμβρίου για ονόματα της Google και του YouTube στους τρεις τομείς, μεταξύ των οποίων τα google.com.gh, google.sl και google.as. Σύμφωνα με τη δική του καταμέτρηση, καλύπτουν επτά τομείς· η Let's Encrypt εξέδωσε τα 11 και η ZeroSSL ένα. Καταγράφηκαν ανά έναν τομέα χώρας κάθε φορά: ο .gh στις 22 Σεπτεμβρίου, ο .sl στις 25 Σεπτεμβρίου και ο .as στις 27 Σεπτεμβρίου. Το μέσο αναφέρει ότι και τα 12 είχαν ανακληθεί έως τις 7 Οκτωβρίου: τα δύο πιστοποιητικά του .gh και αυτό της ZeroSSL στις 26 Σεπτεμβρίου και τα υπόλοιπα εννέα την 1η Οκτωβρίου. Εξέτασε μόνο ένα μικρό σύνολο ονομάτων, οπότε ο πραγματικός αριθμός μπορεί να είναι μεγαλύτερος. Το μέσο επικαλείται επίσης μέλος του προσωπικού της Let's Encrypt, το οποίο επιβεβαίωσε στο φόρουμ της κοινότητας της συγκεκριμένης CA ότι είχαν εκδοθεί και αργότερα ανακληθεί πιστοποιητικά για τη Google και το YouTube.

Πολλά παραμένουν ανεπιβεβαίωτα. Σύμφωνα με το The Hacker News, η ανάρτηση της Google δεν κατονομάζει τους επιτιθέμενους, δεν εξηγεί πώς παραβιάστηκαν οι τομείς κωδικού χώρας ή αν είναι πλέον ασφαλείς, και δεν αναφέρει αν κάποιο πιστοποιητικό χρησιμοποιήθηκε πράγματι για την πλαστοπροσωπία ιστοτόπου ή την υποκλοπή δεδομένων χρηστών. Εδώ τα δημοσιεύματα διαφέρουν: το BleepingComputer γράφει, χωρίς να το αποδίδει στην Google, ότι οι τροποποιημένες εγγραφές επέτρεψαν στον επιτιθέμενο να κατευθύνει τους τομείς στη δική του υποδομή, να υποδυθεί νόμιμες μάρκες και να σερβίρει στους επισκέπτες περιεχόμενο της επιλογής του, ενώ το The Hacker News σημειώνει ότι η ανάρτηση της Google σιωπά για οποιαδήποτε πραγματική κατάχρηση. Το Ars Technica αναφέρει ότι δεν είναι σαφές πόσα μη εξουσιοδοτημένα πιστοποιητικά υπάρχουν ούτε αν έχουν μπλοκαριστεί όλα όσα αφορούν άλλους οργανισμούς. Τα μέσα διατυπώνουν επίσης διαφορετικά το σημείο εισόδου: το BleepingComputer κάνει λόγο για παραβίαση τρίτων φορέων λειτουργίας, ενώ το Ars Technica μιλά για παραβίαση τριών μητρώων τομέων. Η ίδια η Google προειδοποιεί: «δεν μπορούμε να εγγυηθούμε ότι η ανάλυσή μας εντόπισε κάθε τομέα που επηρεάστηκε».

Η Google αναφέρει ότι οι χρήστες του Chrome δεν χρειάζεται να κάνουν τίποτα, αλλά συστήνει στους κατόχους τομέων να μη βασίζονται στο μπλοκάρισμα από την πλευρά του προγράμματος περιήγησης. Τους συμβουλεύει να παρακολουθούν τα αρχεία καταγραφής CT για κάθε τομέα που κατέχουν, συμπεριλαμβανομένων των σταθμευμένων (parked), και να δημοσιεύουν μια περιοριστική εγγραφή Certification Authority Authorization (CAA). Μια τέτοια εγγραφή δεν μπορεί να αποτρέψει την έκδοση κατά τη διάρκεια μιας ενεργής υφαρπαγής DNS, σημειώνει η Google, μπορεί όμως να εμποδίσει έναν επιτιθέμενο να επαναχρησιμοποιήσει έναν προηγούμενο επιτυχή έλεγχο τομέα για να αποκτήσει περισσότερα πιστοποιητικά αφού ο κάτοχος ανακτήσει τον έλεγχο. Το The Hacker News προσθέτει ότι οι κανόνες για τις CA επιτρέπουν σήμερα μια τέτοια επαναχρησιμοποίηση για έως 200 ημέρες, ένα διάστημα που προγραμματίζεται να μειωθεί στις 100 ημέρες από τον Μάρτιο του 2027 και στις 10 ημέρες από τον Μάρτιο του 2029, και ότι οποιοσδήποτε μπορεί να αναφέρει ένα πιστοποιητικό που δεν ζητήθηκε στην CA που το εξέδωσε.