Phát hiện chứng chỉ TLS giả mạo cho các dịch vụ lớn
"Attackers hijacked the .gh, .sl, and .as ccTLDs and altered authoritative DNS records to pass domain control validation, enabling them to obtain unauthorized TLS certificates for several Google domains and other major services. Google said Chrome was updated to block the identified certificates and that the affected certificates were revoked, while advising domain owners to monitor certificate transparency logs and use CAA DNS records to reduce future abuse."
Rủi ro ở mức cao do chứng chỉ TLS trái phép có thể cho phép giả mạo dịch vụ hợp pháp; kiểm soát DNS bị lạm dụng để vượt qua xác thực miền; cần giám sát CT logs và CAA records.
Có thể ảnh hưởng đến uy tín dịch vụ, niềm tin người dùng và quy trình vận hành chứng chỉ; các tổ chức cần tăng cường giám sát cấp phát và kiểm soát DNS để giảm gián đoạn.
Google cho biết các tác nhân tấn công đã chiếm quyền ba ccTLD là .gh, .sl và .as, sau đó sửa đổi bản ghi DNS có thẩm quyền của một số miền để vượt qua quy trình xác thực quyền kiểm soát tên miền. Từ đó, họ đã xin được chứng chỉ TLS trái phép cho một số miền của Google và nhiều dịch vụ, thương hiệu lớn khác.
Theo Google, Chrome đã được cập nhật để chặn các chứng chỉ bị xác định là không hợp lệ, đồng thời làm việc với các cơ quan cấp chứng chỉ để thu hồi các chứng chỉ liên quan đến tài sản của Google. Công ty lưu ý người dùng Chrome không cần thao tác thêm, nhưng khuyến cáo chủ sở hữu miền không nên chỉ dựa vào biện pháp chặn ở trình duyệt.
Khuyến nghị kỹ thuật gồm: theo dõi Certificate Transparency logs để phát hiện cấp phát bất thường, và triển khai CAA DNS records để hạn chế việc cấp chứng chỉ ngoài ý muốn. Sự cố cho thấy khi kẻ tấn công kiểm soát được hạ tầng DNS, họ có thể tạo ra rủi ro xác thực ở cấp giao thức, ngay cả khi nhà cung cấp chứng chỉ tuân thủ quy trình.