Onbekende aanvallers hebben de domeinnaamregistries van drie landcodes gekaapt en daarmee twaalf geldige HTTPS-certificaten voor Google- en YouTube-domeinen bemachtigd. Dat meldde Google op 6 oktober. Het ging om de registries achter .gh (Ghana), .sl (Sierra Leone) en .as (Amerikaans Samoa).
Bij zo’n registry-hijack wijzigen aanvallers de autoritatieve DNS-records van een heel landendomein, niet van één losse website. Met die controle plaatsten ze zelf de DNS-records waarmee certificaatautoriteiten domeinvalidatie uitvoeren. De CA’s zagen een geldige validatie en gaven certificaten uit, zonder te weten dat de DNS erachter was overgenomen. Een CAA-record, dat vastlegt welke certificaatautoriteit mag uitgeven voor een domein, bood geen bescherming. Wie de DNS beheert, kan dat record net zo eenvoudig verwijderen of vervalsen. Dat maakt een registry-hijack fundamenteel anders dan het kapen van één website: wie de registry zelf controleert, kan in principe de DNS van ieder domein onder die extensie aanpassen, niet alleen die van Google en YouTube.
Uit Certificate Transparency-logs blijkt dat de certificaten zijn uitgegeven voor zeven domeinvarianten, waaronder google.com.gh, youtube.com.gh, google.sl en google.as, inclusief de bijbehorende wildcardversies. Let’s Encrypt gaf elf van de twaalf certificaten uit, ZeroSSL de laatste. De .gh-certificaten verschenen op 22 september in de logs, de .sl-certificaten op 25 september en de .as-certificaten op 27 september.
Google blokkeerde de ongeautoriseerde certificaten voor zijn eigen domeinen via CRLSets in Chrome en liet de certificaatautoriteiten ze intrekken: de .gh-certificaten op 26 september, de .sl- en .as-certificaten op 1 oktober. Het bedrijf benadrukt dat zijn eigen systemen niet zijn gecompromitteerd en dat het probleem volledig bij de gekaapte registries lag. Uit de Certificate Transparency-data zouden ook andere, niet nader genoemde organisaties zijn getroffen door dezelfde actie. Of de certificaten daadwerkelijk zijn gebruikt om zich voor te doen als Google of YouTube, laat het bedrijf open: Google zegt daarvoor geen bewijs te hebben gevonden, al sluit dat misbruik niet volledig uit.
Voor Nederlandse organisaties die domeinen onder een ccTLD beheren, is dit een nuttige les: domeinvalidatie is maar zo veilig als de DNS erachter. Controleer regelmatig via een dienst als crt.sh welke certificaten er voor je eigen domeinen zijn uitgegeven en stel een strikt CAA-record in dat uitgifte beperkt tot je vertrouwde certificaatautoriteit. Zie je daar een certificaat dat je niet hebt aangevraagd, meld dat dan direct bij de uitgevende partij. Let’s Encrypt heeft de geldigheidsduur van eerdere domeinvalidaties inmiddels teruggebracht naar 30 dagen en wil die op termijn verder verkorten naar enkele uren, juist om misbruik van verlopen of gekaapte validaties zoals deze te beperken.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
Beheer je domeinen onder een ccTLD, controleer dan periodiek via een dienst als crt.sh welke certificaten er voor jouw domeinen in de Certificate Transparency-logs verschijnen. Stel daarnaast een CAA-record in dat uitgifte beperkt tot je eigen vertrouwde certificaatautoriteit, zodat een ongeautoriseerd certificaat sneller opvalt.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.