Фальшивый замок

Взлом доменных зон трёх стран позволил хакерам получить легитимные ключи от сайтов Google.

Атакующие захватили управление национальными доменами Ганы, Сьерра-Леоне и Американского Самоа. Этого оказалось достаточно, чтобы обмануть систему выдачи HTTPS-сертификатов и заставить браузеры доверять их серверам.

Для выпуска сертификата хакерам нужно было разместить специальную DNS-запись, чтобы выдать себя за владельцев адресов. В итоге Let's Encrypt и ZeroSSL выдали им как минимум 12 настоящих документов для адресов вроде google[.]com[.]gh, google[.]sl и google[.]as.

В отличие от обычного фишинга, где браузер сразу бьёт тревогу, тут всё будет выглядеть чинно. Настоящий сертификат безопасности скроет подмен сайта, в строке останется привычный адрес с замочком, а ваши пароли улетят в руки хакеров.

Спецы из Google быстро заблокировали чужие сертификаты через CRLSets в Chrome. Точное количество пострадавших компаний пока не разглашают, корпорация не может гарантировать, что нашла все затронутые адреса.

НеКасперский