תוקפים חטפו שלוש סיומות מדינה והשיגו תעודות HTTPS תקפות לדומיינים של Google
Google חשפה שתוקפים השתלטו על מפעילי הסיומות של גאנה, סיירה לאון וסמואה האמריקנית, ובעזרתן הוציאו תעודות אבטחה לדומיינים שלה ושל מותגים גדולים. Chrome חוסם, אבל לא בטוח שהכל אותר.
TL;DR בקצרה
- ב-6 באוקטובר דיווחה Google על חטיפת המרשמים של הסיומות gh, sl ו-as.
- התוקפים שינו רשומות DNS והוציאו תעודות HTTPS תקפות לדומיינים של Google ושל ארגונים נוספים.
- Chrome חסם את התעודות והן בוטלו, אבל Google לא מבטיחה שאיתרה את כל הדומיינים שנפגעו.
- Google ממליצה לבעלי דומיינים לנטר יומני Certificate Transparency ולפרסם רשומות CAA מגבילות.
Google חשפה ב-6 באוקטובר שתוקפים השתלטו על הגופים שמפעילים שלוש סיומות אינטרנט לאומיות. אלה .gh של גאנה, .sl של סיירה לאון ו-.as של סמואה האמריקנית. בעזרת השליטה הזו הם הוציאו תעודות HTTPS תקפות לכמה דומיינים של Google. הם הוציאו גם תעודות לדומיינים של ארגונים גדולים נוספים.
Google חסמה את התעודות ב-Chrome ופעלה לבטל אותן. אבל היא הודתה שאינה יכולה להבטיח שאיתרה את כל הדומיינים שנפגעו.
איך משיגים תעודות HTTPS ״אמיתיות״ בלי לפרוץ לאתר
כדי להבין את החומרה צריך להבין איך עובדת תעודת HTTPS, זו שמאחורי המנעול בשורת הכתובת. רשות אישורים (CA) מנפיקה תעודה למי שמוכיח שהוא שולט בדומיין. הרשות בודקת זאת בדרך כלל באמצעות רשומת DNS או בקובץ שמוצב באתר. את הבדיקה הזו מכנים DCV, אימות שליטה בדומיין.
מי ששולט במרשם (registry) של סיומת שלמה יכול לשנות רשומות DNS סמכותיות. זה נכון לכל דומיין תחת הסיומת. לכן הוא יכול גם לעבור את הבדיקה.
לפי Google, זה מה שקרה. התוקפים פרצו למפעילים החיצוניים של שלוש הסיומות. הם שינו רשומות DNS וקיבלו תעודות. התוקפים לא פרצו למערכות של Google עצמה.
החברה מציינת שאין לה סיבה לחשוב שרשויות האישורים פעלו שלא כראוי. הרשויות האלה הנפיקו את התעודות. מבחינתן, מי ששלט ב-DNS באותו רגע עבר את הבדיקה כחוק. Google לא מסרה איך פרצו למרשמים ומי עומד מאחורי המתקפה. היא גם לא פירטה אילו דומיינים שלה הושפעו.
הסכנה בתעודות HTTPS כאלה ברורה. תוקף שמצליח גם להפנות גולשים לשרת שלו יכול להציג להם אתר מזויף. לאתר יהיו מנעול תקין וכתובת נכונה. התעודה היא בדיוק הסימן שהדפדפן והמשתמש סומכים עליו כדי לדעת שהם במקום הנכון.
מה Google עשתה נגד תעודות HTTPS לא מורשות, ולמה זה לא מספיק
Google חסמה מיד את התעודות שהונפקו לנכסים שלה באמצעות CRLSets. זה מנגנון שמאפשר ל-Chrome לחסום תעודות בלי לחכות לעדכון גרסה. במקביל היא עבדה עם רשויות האישורים כדי לבטל את התעודות. הצעד הזה מגן גם על דפדפנים ותוכנות אחרות.
יומני Certificate Transparency הם המאגרים הציבוריים שבהם נרשמת כל תעודה שמונפקת. בבדיקה של היומנים האלה התגלו ארגונים נוספים שנפגעו. Google מתארת אותם כ״כמה מותגים גלובליים מובילים ושירותים מקוונים נפוצים״, בלי לנקוב בשמות. גם התעודות שלהם נחסמו ב-Chrome, והחברה פנתה אליהם ככל שיכלה.
לפי Google, משתמשי Chrome לא צריכים לעשות דבר כדי להיות מוגנים. אבל החברה מדגישה שהחסימה בדפדפן לא מגינה באופן אמין על מי שמשתמש בדפדפן אחר. היא מוסיפה שאולי לא כל הדומיינים שנפגעו זוהו.
בטווח הארוך היא מקדמת קיצור של תוקף התעודות. היא מקדמת גם קיצור של הזמן שבו הרשויות רשאיות להסתמך על אימות DCV שבוצע בעבר. בנוסף היא מקדמת תוכנית חדשה של Chrome לתעודות עמידות למחשוב קוונטי.
מה זה אומר עבורכם
- נטרו Certificate Transparency. Google ממליצה לעקוב אחרי תעודות חדשות לכל הדומיינים של הארגון. זה כולל דומיינים חונים ודומיינים בסיומות של מדינות. הגדירו התראה על כל הנפקה שלא ביקשתם.
- מחזיקים דומיין באחת משלוש הסיומות? עברו על רשומות ה-CT האחרונות שלו וחפשו תעודות לא צפויות. אם מצאתם, פנו לרשות האישורים שהנפיקה אותן בבקשה לבטל.
- פרסמו רשומות CAA מגבילות. רשומת CAA ב-DNS קובעת אילו רשויות אישורים רשאיות להנפיק תעודות לדומיין. היא קובעת גם אילו חשבונות ACME רשאים לעשות זאת. לפי Google זה לא מונע הנפקה בזמן חטיפה פעילה. אבל זה חוסם ניצול של אימותים שמורים אחרי שהשליטה חוזרת אליכם.
- אל תסתמכו רק על Chrome: מערכות, אפליקציות וכלים פנימיים שלא רצים ב-Chrome לא נהנים מהחסימה. ודאו שהם בודקים ביטול תעודות.
- הסיומת היא גם ספק: בחירת סיומת לדומיין היא גם בחירה במרשם שמפעיל אותה. לדומיינים קריטיים לעסק, שקלו את רמת האבטחה והשקיפות של המפעיל.
מה הלאה
המקרה מחזק את הטענה של Google ושל דפדפנים אחרים. לטענתם, תעודות צריכות לחיות פחות זמן. כל תעודה שהונפקה בזמן חטיפה ממשיכה להיות תקפה עד שמבטלים אותה. אבל ביטול לא תמיד מגיע לכל הלקוחות.
Google מקדמת את השינוי דרך תוכנית השורש של Chrome ודרך הצעה בפורום CA/Browser. זה הגוף שקובע את הכללים לרשויות האישורים.
מקורות והרחבה
- Chrome's Response to Recent ccTLD Registry HijacksGoogle
- Hackers hijack three country-code domain registries, obtain HTTPS certificates for Google domainsHelp Net Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
