Comprometieron los registros de dominios de nivel superior de Ghana (.gh), Sierra Leona (.sl) y Samoa Americana (.as). Utilizaron este acceso para obtener certificados HTTPS no autorizados de Google y otras organizaciones. Google trabajó con las autoridades de certificación para revocar dichos certificados, mientras que Chrome los bloqueó automáticamente.

Comprometieron los registros de dominios de código de país .gh, .sl y .as, y utilizaron su acceso para obtener certificados HTTPS no autorizados para Google y otras organizaciones. Chrome bloqueó automáticamente los certificados identificados, mientras que Google trabajó con las autoridades de certificación para revocar aquellos que cubrían sus propiedades.

En su divulgación del 6 de octubre, Google dijo que tuvo conocimiento de los ataques la semana anterior. Las terminaciones de dominio afectadas pertenecen a Ghana, Sierra Leona y Samoa Americana. El compromiso puso en riesgo cualquier dominio que utilice estas terminaciones, aunque Google no afirmó que todos los dominios fueran secuestrados.

Google subrayó que sus propios sistemas no fueron vulnerados. También indicó que no hay razones para creer que las autoridades de certificación que emitieron los certificados afectados hayan hecho nada mal. En su lugar, los atacantes se dirigieron a la infraestructura de dominios de terceros de la cual dependen las comprobaciones de los certificados.

Cómo el secuestro de DNS permitió obtener certificados

Los atacantes cambiaron los registros DNS autoritativos, que proporcionan las respuestas oficiales para las búsquedas de dominios. El control sobre estos registros puede permitir que un atacante parezca controlar un dominio cuando una autoridad de certificación verifica si una solicitud de certificado es válida.

Este proceso, llamado validación de control de dominio, demuestra el control en lugar de identificar al propietario legítimo de la empresa. Por ejemplo, una autoridad de certificación puede pedir al solicitante que publique un registro DNS específico. Alguien que controle el DNS del dominio puede completar esa comprobación sin el permiso de su dueño.

Un certificado HTTPS no autorizado puede ayudar a los atacantes a suplantar un sitio web confiable si también pueden redirigir a los usuarios a sus servidores. El cifrado por sí solo no resuelve ese problema: una conexión puede estar cifrada mientras llega a la parte equivocada. La divulgación de Google no estableció si los certificados se utilizaron para interceptar el tráfico.

Google no ha nombrado públicamente a los atacantes, ni ha explicado cómo obtuvieron el acceso inicialmente, ni ha proporcionado una lista completa de los dominios y certificados afectados. Esas lagunas dejan el alcance total de los incidentes sin aclarar.

Chrome bloquea los certificados identificados

Google bloqueó primero los certificados no autorizados para sus dominios a través de CRLSets, el sistema de Chrome para bloquear rápidamente certificados durante emergencias de seguridad. También se puso en contacto con las autoridades emisoras para organizar la revocación, extendiendo la protección más allá de Chrome, donde otros clientes aplican la revocación de certificados.

Comprobaciones adicionales de los registros de Transparencia de Certificados descubrieron certificados vinculados a otras organizaciones, incluyendo marcas importantes y servicios ampliamente utilizados. Google bloqueó esos certificados en Chrome y alertó a las organizaciones afectadas donde fue posible. Tú, como usuario de Chrome, no necesitas realizar ninguna acción para recibir esta protección.

Sin embargo, Google advirtió que su investigación podría no haber encontrado todos los dominios afectados. Por lo tanto, el bloqueo del navegador no debe sustituir las comprobaciones del propietario del dominio, y las medidas de Chrome no protegen de manera fiable a las personas que utilizan otros navegadores o aplicaciones.

Las organizaciones deben supervisar los registros de Transparencia de Certificados en toda su cartera de dominios, incluidos los dominios aparcados y los sitios web regionales. Si eres propietario de dominios .gh, .sl y .as, deberías revisar las entradas recientes en busca de certificados que no hayas solicitado.

Google también recomienda registros restrictivos de Autorización de Autoridad de Certificación, incluyendo cuentas ACME y métodos de validación aprobados. Estos no pueden evitar la emisión durante un secuestro de DNS activo, pero pueden evitar que los atacantes reutilicen la validación almacenada en caché después de que se recupere el control. Los cambios a largo plazo incluyen vidas útiles de certificados más cortas y una reducción de la reutilización de la validación.