Google afirma que hackers usaron dominios secuestrados para obtener certificados de grandes servicios

Google afirma que los atacantes secuestraron tres dominios de nivel superior con código de país y los utilizaron para obtener certificados HTTPS que cubrían dominios de Google y sitios web gestionados por otras organizaciones. La empresa dijo que miles de sitios web quedaron expuestos a riesgos y que todos los certificados utilizados en los ataques ya fueron bloqueados.

Los dominios secuestrados fueron .gh, de Ghana; .sl, de Sierra Leona; y .as, de Samoa Americana. Los atacantes modificaron registros DNS autoritativos, lo que les permitió obtener certificados para esos dominios. Google dijo que la actividad afectó a “varias marcas globales líderes y servicios en línea de uso extendido”, pero no identificó a las organizaciones ni indicó cuántas fueron afectadas.

Google bloqueó en Chrome los certificados no autorizados de sus propiedades mediante CRLSets y trabajó con las autoridades de certificación emisoras para revocarlos. La empresa dijo que no tenía motivos para creer que esas autoridades hubieran actuado mal. Google advirtió que sus medidas quizá no identificaran todos los dominios afectados ni protegieran a los usuarios de otros navegadores.

La empresa dijo que los usuarios de Chrome no necesitan hacer nada. Recomendó a los propietarios de dominios supervisar Certificate Transparency y publicar registros CAA restrictivos con vinculaciones de cuentas ACME.

El incidente recuerda fallos anteriores relacionados con certificados. En 2011, unos atacantes comprometieron la autoridad de certificación neerlandesa DigiNotar y generaron 531 certificados fraudulentos para dominios de Google, Microsoft, Mozilla y Skype, entre otros. Google también mencionó el robo, en 2011, de una cuenta vinculada a Comodo, que dio lugar a nueve certificados fraudulentos, y el hallazgo en 2015 de un certificado no autorizado emitido por Thawte durante pruebas internas.

Google dijo que seguirá trabajando en mejoras de HTTPS, como reducir la validez de los certificados y la reutilización de DCV, mediante Chrome Root Program y Chrome Quantum-resistant Root Program.