In questo articolo Indice dei contenuti 2 sezioni
Un gruppo di attaccanti è riuscito a ottenere certificati TLS non autorizzati per diversi domini Google e per altri importanti servizi online, senza nemmeno sfiorare i sistemi interni dell’azienda. La strada scelta è stata più laterale e per certi versi più insidiosa, perché passa dalla compromissione di tre domini di primo livello nazionali, cioè i suffissi .gh, .sl e .as, gestiti da un’infrastruttura di terze parti.
Il gruppo ha modificato i record DNS autorevoli associati ad alcuni domini e in questo modo ha superato i controlli automatici con cui le Certification Authorities verificano che chi richiede un certificato possieda davvero quel dominio. Google ha individuato i certificati sospetti e ha preso contromisure immediate in Chrome, mentre le autorità di certificazione hanno avviato la revoca di quelli legati alle proprietà della società.
Come è stato aggirato il controllo sui domini
Tutto parte dal Domain Name System, l’infrastruttura che collega i nomi dei siti agli indirizzi dei server. Una volta preso il controllo dei registry dei tre ccTLD, gli aggressori hanno alterato le informazioni DNS di domini scelti con cura. Questo ha permesso loro di dirottare il traffico verso macchine sotto il proprio controllo e soprattutto di rispondere alle richieste che le autorità di certificazione inviano durante la fase di validazione.
Il punto toccato è uno dei passaggi chiave della sicurezza HTTPS. I certificati X.509 legano un dominio a una chiave pubblica tramite una firma digitale e quando una CA accerta che il richiedente controlla effettivamente il dominio può procedere all’emissione. Qui però la verifica DNS era stata manipolata a monte. Gli attaccanti hanno così messo le mani su credenziali crittografiche in grado di far sembrare autentica un’infrastruttura che in realtà gestivano loro.
Google non ha reso noto quali domini siano stati colpiti e non ha nemmeno indicato le altre organizzazioni coinvolte. L’azienda ha precisato che le CA responsabili delle emissioni non sembrano aver violato le procedure previste. La vera falla stava piuttosto nel controllo sull’infrastruttura DNS usata per dimostrare la titolarità dei domini, un anello che di solito si dà per scontato.
Il blocco in Chrome e i limiti della difesa
La prima reazione di Google si è concentrata su Chrome. Il browser ha bloccato attraverso i CRLSets i certificati non autorizzati trovati per le proprietà dell’azienda e, dopo ulteriori controlli nei log di Certificate Transparency, ha allargato lo stop anche ai certificati riconducibili ad altre realtà. Nello stesso momento Google ha lavorato con le CA per ottenere la revoca dei certificati destinati ai propri domini.
In tutta la vicenda il sistema di Certificate Transparency ha avuto un peso decisivo. Rende pubblica ogni emissione e consente di individuare anomalie anche quando l’organizzazione interessata non ha subito alcuna intrusione nei propri sistemi. È stata proprio l’analisi di questi registri a portare alla luce altri soggetti potenzialmente coinvolti.
L’azienda mette comunque in guardia sul fatto che il blocco nel browser non è una protezione universale. Google non può garantire di aver scovato ogni certificato emesso grazie alla compromissione e le difese integrate in Chrome non coprono automaticamente chi naviga con altri programmi. Anche senza attaccare direttamente un colosso come Google, un aggressore può sfruttare un livello intermedio della catena di fiducia per procurarsi certificati validi, e per questo la difesa deve coinvolgere insieme DNS, autorità di certificazione e monitoraggio pubblico delle emissioni.
Ai proprietari dei domini arriva quindi un’indicazione precisa. Il consiglio è di tenere sotto osservazione costante i log di Certificate Transparency e di adottare record CAA restrittivi nel DNS, così da stabilire in modo esplicito quali autorità di certificazione possono emettere certificati per i propri indirizzi.
Fonte: TecnoAndroid
