Google: Hackeři zfalšovali naše bezpečnostní certifikáty

Útočníci převzali kontrolu nad třemi národními doménami nejvyšší úrovně a využili tento přístup k získání neoprávněných TLS certifikátů pro několik domén Google a dalších velkých značek a široce používaných online služeb, uvedl Google v úterý 6. října. Útoky cílily na .gh (Ghana), .sl (Sierra Leone) a .as (Americká Samoa).arstechnica+1

Google, vlastněný společností Alphabet ↗ 0.87%, uvedl, že aktualizoval prohlížeč Chrome tak, aby zablokoval každý certifikát, který identifikoval jako neoprávněný. Spolupracoval také s certifikačními autoritami, které je vydaly, aby byly certifikáty pro vlastnictví Google zneplatněny. Společnost neuvedla, které z jejích domén byly ovlivněny, nejmenovala další zúčastněné organizace a neřekla, kolik certifikátů bylo vydáno.ua+1

Jak útok fungoval

Podle Ars Technica útočníci změnili autoritativní DNS záznamy pro vybrané domény pod těmito třemi registry. S kontrolou nad těmito záznamy prošli automatickými kontrolami ověření domény, které certifikační autority provádějí před vydáním certifikátu. Google uvedl, že infrastruktura vlastníků dotčených domén nebyla kompromitována a že certifikační autority dodržely pravidla. Kontrola nad zónami umožnila útočníkům změnit IP adresy a delegování jmenných serverů, takže mohli přesměrovat provoz a odpovídat na validační výzvy.arstechnica+1

TLS certifikát používá digitální podpis k propojení názvu domény s veřejným klíčem. Někdo, kdo drží neoprávněný certifikát, se může kryptograficky vydávat za skutečný web. Startup Fortune poznamenal, že ověření domény "pouze dokazuje, že doménu ovládáte v okamžiku kontroly," nikoli zda byste ji měli ovládat.startupfortune+1

Rady Googlu pro vlastníky domén

Google uvedl, že uživatelé prohlížeče Chrome nemusí dělat nic, aby byli chráněni. Varoval vlastníky domén, aby se nespoléhali pouze na blokování na straně prohlížeče. Doporučil jim sledovat protokoly o transparentnosti certifikátů kvůli neočekávaným certifikátům a publikovat omezující DNS záznamy pro autorizaci certifikační autority (CAA). Tyto záznamy zabraňují útočníkům znovu použít data z mezipaměti ověření poté, co vlastník domény získá kontrolu nad DNS zpět.arstechnica

Opakující se slabina

Tento incident následuje po podobných epizodách. Podle Startup Fortune byl certifikát Let's Encrypt vydán pro google.tg začátkem roku 2026 poté, co byl kompromitován registr .tg v Togu. V roce 2011 útočníci, kteří napadli nizozemskou certifikační autoritu DigiNotar, zfalšovali wildcard certifikát pro google.com a použili jej proti uživatelům internetu v Íránu. Výzkumníci hrozeb Googlu také sledovali kampaň zvanou Sea Turtle, která používala ukradené přihlašovací údaje k únosu domén u několika registrů ccTLD a získání certifikátů pro ně.startupfortune

"Tento incident nepotřeboval zero-day zranitelnost v OpenSSL ani kryptografické prolomení," napsal Startup Fortune. "Potřeboval podfinancovaný a nedostatečně zabezpečený vládní registr domén."startupfortune