AnswersPublished15 sources
Jak przejęcie DNS umożliwiło zdobycie nieautoryzowanych certyfikatów TLS dla Google
Atakujący przejęli infrastrukturę obsługującą domeny .gh, .sl i .as, a następnie zmienili rekordy DNS. Wykorzystali zaufanie urzędów certyfikacji do potwierdzenia kontroli nad domeną: możliwość zmiany odpowiednich danych DNS wystarczyła, by przejść kontrolę, choć nie oznaczała włamania do właściwej witryny ani złama...
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- Atakujący przejęli infrastrukturę obsługującą domeny .gh, .sl i .as, a następnie zmienili rekordy DNS.
- Wykorzystali zaufanie urzędów certyfikacji do potwierdzenia kontroli nad domeną: możliwość zmiany odpowiednich danych DNS wystarczyła, by przejść kontrolę, choć nie oznaczała włamania do właściwej witryny ani złamania...
- Google zablokowało w Chrome rozpoznane nieautoryzowane certyfikaty i współpracowało przy ich unieważnianiu.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did attackers gain control of the .gh, .sl and .as country-code domain registries and use DNS changes to obtain unauthorized TLS certifi. Article summary: The attackers compromised third-party infrastructure for the .gh, .sl and .as country-code domains, then changed DNS information for selected names. That made certificate authorities see the attackers as controlling thos. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
Atakujący przejęli infrastrukturę podmiotów obsługujących domeny krajowe .gh, .sl i .as, a potem zmienili autorytatywne rekordy DNS dla wybranych nazw. Dzięki temu przeszli kontrole urzędów certyfikacji i uzyskali nieautoryzowane certyfikaty HTTPS dla kilku domen Google oraz domen innych organizacji. Google poinformowało, że jego własne systemy nie zostały naruszone. Publiczne doniesienia nie wyjaśniają, w jaki sposób napastnicy po raz pierwszy uzyskali dostęp do infrastruktury domen. 1
4
Dlaczego zmiana DNS wystarczyła do uzyskania certyfikatów
Urząd certyfikacji (CA) sprawdza, czy wnioskodawca potrafi wykazać kontrolę nad domeną, zanim wyda do niej certyfikat. W tym przypadku dostęp do infrastruktury domen pozwolił atakującym zmienić autorytatywne dane DNS i przejść taką kontrolę dla wybranych nazw. Doniesienia potwierdzają zmianę DNS i pomyślną weryfikację, ale nie wskazują, jakiej dokładnie metody walidacji użyto przy każdym certyfikacie. 1
4
Nie było to złamanie kryptografii TLS, lecz nadużycie dowodu kontroli nad domeną, na którym opiera się wydawanie certyfikatów. Atakujący nie musieli włamywać się do właściwej witryny: możliwość zmiany odpowiednich rekordów DNS mogła wystarczyć, by urząd certyfikacji uznał kontrolę nad nazwą. 4
Co ujawniło Google, a co pozostaje niewiadome
Google wskazało trzy objęte incydentem domeny krajowe: .gh (Ghana), .sl (Sierra Leone) i .as (Samoa Amerykańskie). Poinformowało, że nieautoryzowane certyfikaty obejmowały kilka domen Google oraz domeny innych organizacji. Jednocześnie podkreśliło, że systemy Google nie zostały przejęte. 1
Publiczny opis nie wskazuje, jak napastnicy uzyskali początkowy dostęp, ani nie zawiera pełnej listy dotkniętych organizacji i certyfikatów. Sam fakt wydania certyfikatu nie dowodzi też, że atakujący przechwytywali ruch użytkowników. 1
4
Reakcja Google i zalecenia dla właścicieli domen
Google poinformowało, że zablokowało w Chrome rozpoznane nieautoryzowane certyfikaty i współpracowało z urzędami certyfikacji przy ich unieważnianiu. Zablokowanie znanych certyfikatów ogranicza ryzyko, ale nie dowodzi, że wykryto każdy nieautoryzowany certyfikat ani że ochrona obejmuje wszystkich użytkowników. 1
16
Właściciele domen w dotkniętych strefach powinni sprawdzić dostęp do kont rejestracyjnych, delegacje serwerów nazw oraz autorytatywne rekordy DNS. Warto też przeglądać logi Certificate Transparency — publiczne rejestry wydanych certyfikatów — w poszukiwaniu tych, których nie zamawiano. Nieoczekiwany wpis należy zbadać i zgłosić odpowiedniemu rejestratorowi, operatorowi rejestru oraz urzędowi certyfikacji. 16
Jak ten incydent różni się od DigiNotar i Sea Turtle
W przypadku DigiNotar punkt awarii był inny: napastnicy przejęli urząd certyfikacji i uzyskali fałszywy certyfikat dla Google. Wykorzystano go w atakach na użytkowników w Iranie. W incydencie dotyczącym domen .gh, .sl i .as atakujący manipulowali infrastrukturą domenową, by przejść kontrole certyfikacyjne — nie przejęli samego urzędu certyfikacji. 21
Bliższym porównaniem po stronie DNS jest kampania Sea Turtle. W jej ramach napastnicy przejmowali infrastrukturę zarządzania domenami i zmieniali DNS, by przekierowywać użytkowników. To przykład tego, jak kontrola nad DNS może podważyć zaufanie do tożsamości witryny. 28
Dostępne materiały nie zawierają wystarczająco szczegółowych, możliwych do zweryfikowania informacji o osobnym przypadku google.tg, by rzetelnie porównać jego przebieg z opisanymi incydentami. Szerszy wniosek jest jednak istotny: certyfikat może być prawidłowo podpisany przez zaufany urząd, a mimo to wydany bez uprawnienia, jeśli napastnik przejmie kontrolę nad dowodem własności domeny.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Jak przejęcie DNS umożliwiło zdobycie nieautoryzowanych certyfikatów TLS dla Google"?
Atakujący przejęli infrastrukturę obsługującą domeny .gh, .sl i .as, a następnie zmienili rekordy DNS.
What are the key points to validate first?
Atakujący przejęli infrastrukturę obsługującą domeny .gh, .sl i .as, a następnie zmienili rekordy DNS. Wykorzystali zaufanie urzędów certyfikacji do potwierdzenia kontroli nad domeną: możliwość zmiany odpowiednich danych DNS wystarczyła, by przejść kontrolę, choć nie oznaczała włamania do właściwej witryny ani złamania...
What should I do next in practice?
Google zablokowało w Chrome rozpoznane nieautoryzowane certyfikaty i współpracowało przy ich unieważnianiu.