Google sier hackere forfalsket sikkerhetssertifikater

Angripere tok kontroll over tre nasjonale toppnivådomener og brukte tilgangen til å hente ut uautoriserte TLS-sertifikater for flere Google-domener samt andre store merkevarer og mye brukte nettjenester, opplyste Google tirsdag 6. oktober. Angrepene var rettet mot .gh (Ghana), .sl (Sierra Leone) og .as (Amerikansk Samoa).arstechnica+1

Google, som eies av Alphabet ↗ 0.22%, opplyste at de har oppdatert Chrome for å blokkere alle sertifikater de har identifisert som uautoriserte. De har også samarbeidet med sertifikatutstederne for å få tilbakekalt sertifikatene for Google-tjenester. Selskapet oppga ikke hvilke av deres domener som ble rammet, navnga ikke de andre involverte organisasjonene, og sa heller ikke hvor mange sertifikater som ble utstedt.ua+1

Slik fungerte angrepet

Ifølge Ars Technica endret angriperne autoritative DNS-oppføringer for utvalgte domener under de tre registrene. Med kontroll over disse oppføringene bestod de de automatiserte valideringskontrollene som sertifikatutstedere kjører før et sertifikat utstedes. Google uttalte at de berørte domeneeiernes egen infrastruktur ikke var kompromittert, og at sertifikatutstederne fulgte gjeldende regler. Kontroll over sonene lot angriperne endre IP-adresser og navnetjenerdelegeringer, slik at de kunne omdirigere trafikk og svare på valideringsutfordringene.arstechnica+1

Et TLS-sertifikat bruker en digital signatur for å knytte et domenenavn til en offentlig nøkkel. Noen som innehar et uautorisert sertifikat, kan kryptografisk utgi seg for å være det ekte nettstedet. Startup Fortune bemerket at domenevalidering "bare beviser at du kontrollerer domenet i det øyeblikket kontrollen utføres," ikke om du faktisk skal ha kontroll over det.startupfortune+1

Googles råd til domeneeiere

Google opplyser at Chrome-brukere ikke trenger å foreta seg noe for å være beskyttet. De advarte domeneeiere mot å stole utelukkende på blokkering i nettleseren. De rådet eiere til å overvåke logger for sertifikatgjennomsiktighet etter uventede sertifikater, samt å publisere restriktive DNS-oppføringer for Certification Authority Authorization (CAA). Slike oppføringer hindrer angripere i å gjenbruke bufret valideringsdata etter at domeneeieren har gjenvunnet kontrollen over DNS.arstechnica

En gjentakende svakhet

Hendelsen følger lignende episoder. Ifølge Startup Fortune ble et Let's Encrypt-sertifikat utstedt for google.tg tidligere i 2026 etter at Togos .tg-register ble kompromittert. I 2011 forfalsket angripere som brøt seg inn hos den nederlandske sertifikatutstederen DigiNotar et joker-sertifikat for google.com, og brukte det mot internettbrukere i Iran. Googles sikkerhetsforskere har også fulgt en kampanje kalt Sea Turtle, som brukte stjålne påloggingsdetaljer til å kapre domener på flere ccTLD-registre og hente ut sertifikater for dem.startupfortune

"Dette angrepet trengte ikke en null-dags-sårbarhet i OpenSSL eller et kryptografisk brudd," skrev Startup Fortune. "Det trengte bare et underfinansiert og dårlig sikret statlig domeneregister."startupfortune