AnswersPublished15 sources
Hoe DNS-kaping ongeautoriseerde TLS-certificaten voor Google mogelijk maakte
Aanvallers kregen toegang tot infrastructuur voor de landdomeinen .gh, .sl en .as. De aanval misbruikte het bewijs waarmee domeinbeheer wordt gecontroleerd; de aanvallers hoefden daarvoor niet in te breken bij de websites zelf of TLS cryptografie te kraken.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Aanvallers kregen toegang tot infrastructuur voor de landdomeinen .gh, .sl en .as.
- De aanval misbruikte het bewijs waarmee domeinbeheer wordt gecontroleerd; de aanvallers hoefden daarvoor niet in te breken bij de websites zelf of TLS cryptografie te kraken.
- Google blokkeerde de ongeautoriseerde certificaten die het kon identificeren en werkte aan intrekking ervan.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did attackers gain control of the .gh, .sl and .as country-code domain registries and use DNS changes to obtain unauthorized TLS certifi. Article summary: The attackers compromised third-party infrastructure for the .gh, .sl and .as country-code domains, then changed DNS information for selected names. That made certificate authorities see the attackers as controlling thos. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Aanvallers compromitteerden infrastructuur van derden voor de landdomeinen .gh, .sl en .as. Daarna wijzigden ze voor bepaalde domeinnamen de gezaghebbende DNS-records. Daarmee konden ze de domeincontroles van certificaatautoriteiten doorstaan en ongeautoriseerde HTTPS-certificaten verkrijgen voor meerdere Google-domeinen en domeinen van andere organisaties. Google zegt dat zijn eigen systemen niet zijn gehackt. Uit de openbare berichtgeving blijkt niet hoe de aanvallers in eerste instantie toegang kregen tot de domeininfrastructuur. 1
4
Hoe DNS-wijzigingen certificaten mogelijk maakten
Voordat een certificaatautoriteit (CA) een certificaat uitgeeft, controleert die of de aanvrager kan aantonen dat hij het betreffende domein beheert. In dit geval konden de aanvallers door hun toegang tot de domeininfrastructuur gezaghebbende DNS-informatie aanpassen en zo de controles voor bepaalde namen doorstaan. De berichtgeving bevestigt de DNS-wijzigingen en de geslaagde validatie, maar vermeldt niet welke precieze controlemethode voor elk certificaat is gebruikt. 1
4
Dit was misbruik van het bewijs waarmee domeinbeheer wordt vastgesteld, geen kraak van TLS-cryptografie. De aanvallers hoefden de website van de betrokken dienst niet te hacken om de controle van de certificaatautoriteit te laten slagen: toegang tot de relevante DNS-records kon daarvoor al voldoende zijn. 4
Wat Google bekendmaakte — en wat onduidelijk blijft
Google noemde de getroffen landdomeinen .gh (Ghana), .sl (Sierra Leone) en .as (Amerikaans-Samoa). De ongeautoriseerde certificaten betroffen meerdere Google-domeinen en domeinen van andere organisaties. Google benadrukte dat zijn eigen systemen niet waren gecompromitteerd. 1
De openbare informatie noemt niet hoe de aanvallers aanvankelijk toegang kregen. Ook is er geen volledige lijst gepubliceerd van getroffen organisaties en certificaten. Dat er certificaten zijn uitgegeven, bewijst op zichzelf bovendien niet dat aanvallers gebruikersverkeer hebben onderschept. 1
4
Google blokkeerde bekende certificaten
Google meldde dat Chrome de ongeautoriseerde certificaten blokkeerde die het had geïdentificeerd. Ook werkte het bedrijf met certificaatautoriteiten aan de intrekking ervan. Dat is een maatregel om het risico te beperken, maar geen bewijs dat elk ongeautoriseerd certificaat is opgespoord of dat iedere gebruiker beschermd is. 1
16
Beheerders van domeinen onder de getroffen achtervoegsels doen er goed aan hun toegang tot de domeinregistratie, nameserverdelegaties en gezaghebbende DNS-records te controleren. Ook kunnen ze Certificate Transparency-logs nalopen op certificaten waarvoor ze geen toestemming hebben gegeven. Een onverwacht certificaat is reden om onderzoek te doen en contact op te nemen met de betrokken registrar, registry en certificaatautoriteit. 16
Vergelijking met DigiNotar en Sea Turtle
Bij DigiNotar lag het probleem ergens anders: aanvallers drongen binnen bij een certificaatautoriteit en verkregen een frauduleus certificaat voor Google. Dat certificaat werd gebruikt bij aanvallen op gebruikers in Iran. Bij de incidenten rond .gh, .sl en .as manipuleerden aanvallers juist de domeininfrastructuur om certificaatcontroles te doorstaan; ze hoefden de certificaatautoriteit zelf niet te hacken. 21
Sea Turtle is een nauwere vergelijking aan de DNS-kant. Bij die campagne werd domeinbeheerinfrastructuur gekaapt om DNS te wijzigen en bezoekers om te leiden. Het laat zien hoe controle over DNS het vertrouwen in de identiteit van een website kan ondermijnen. 28
Over de afzonderlijke zaak rond google.tg is onvoldoende verifieerbare informatie beschikbaar om de precieze werkwijze betrouwbaar met deze incidenten te vergelijken. De bredere les is dat een certificaat weliswaar correct door een vertrouwde certificaatautoriteit kan zijn ondertekend, maar toch ongeautoriseerd kan zijn als een aanvaller de controle heeft overgenomen waarmee domeinbeheer wordt bewezen.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Hoe DNS-kaping ongeautoriseerde TLS-certificaten voor Google mogelijk maakte"?
Aanvallers kregen toegang tot infrastructuur voor de landdomeinen .gh, .sl en .as.
What are the key points to validate first?
Aanvallers kregen toegang tot infrastructuur voor de landdomeinen .gh, .sl en .as. De aanval misbruikte het bewijs waarmee domeinbeheer wordt gecontroleerd; de aanvallers hoefden daarvoor niet in te breken bij de websites zelf of TLS cryptografie te kraken.
What should I do next in practice?
Google blokkeerde de ongeautoriseerde certificaten die het kon identificeren en werkte aan intrekking ervan.