Google säger att hackare använde kapade domäner för att få certifikat för stora tjänster

Google säger att angripare kapade tre landskodstoppdomäner och använde dem för att få HTTPS-certifikat som omfattade Google-domäner och webbplatser som drivs av andra organisationer. Företaget uppger att tusentals webbplatser utsattes för risk och att alla certifikat som användes i attackerna nu har blockerats.

De kapade domänerna var .gh för Ghana, .sl för Sierra Leone och .as för Amerikanska Samoa. Angriparna ändrade auktoritativa DNS-poster, vilket gjorde att de kunde få certifikat för domänerna. Google säger att aktiviteten påverkade ”flera ledande globala varumärken och vanligt förekommande nättjänster”, men namngav inte organisationerna eller uppgav hur många som drabbades.

Google blockerade obehöriga certifikat för sina tjänster i Chrome med CRLSets och arbetade med de utfärdande certifikatutfärdarna för att återkalla dem. Företaget säger att det inte finns skäl att tro att utfärdarna gjorde något fel. Google varnade för att åtgärderna kanske inte identifierade alla berörda domäner eller skyddade användare av andra webbläsare.

Företaget uppger att Chrome-användare inte behöver göra något. Det rekommenderade domänägare att bevaka Certificate Transparency och publicera restriktiva CAA-poster med ACME-kontobindningar.

Händelsen påminner om tidigare certifikatincidenter. År 2011 komprometterade angripare den nederländska certifikatutfärdaren DigiNotar och skapade 531 falska certifikat för domäner, däribland Googles, Microsofts, Mozillas och Skypes. Google hänvisade också till en separat kontostöld 2011 med koppling till Comodo, som ledde till nio falska certifikat, samt upptäckten 2015 av ett obehörigt certifikat som Thawte utfärdat under interna tester.

Google säger att företaget fortsätter arbetet med förbättringar av HTTPS, bland annat kortare certifikatgiltighet och mindre återanvändning av DCV, genom Chrome Root Program och Chrome Quantum-resistant Root Program.