Злоумышленники получили контроль над тремя национальными доменными зонами верхнего уровня и использовали его для перенаправления трафика отдельных сайтов. Это позволило им пройти проверки центров сертификации и оформить несанкционированные сертификаты TLS (протокола защиты соединения). Google сообщил об инциденте в публикации на своём официальном блоге.
Атака не затронула инфраструктуру владельцев доменов и операторов DNS (системы доменных имён). Получив управление доменными зонами, злоумышленники изменили IP-адреса выбранных сайтов. Благодаря этому они смогли принимать и отправлять их трафик, подтверждая центрам сертификации контроль над соответствующими доменами.
Google заявил, что браузер Chrome во время инцидентов выявлял и блокировал предполагаемые поддельные сертификаты в затронутых национальных доменных зонах. Однако компания предупредила, что полагаться только на вмешательство браузера для защиты пользователей нельзя. Сложность атак через DNS не позволяет гарантировать обнаружение всех пострадавших доменов, а пользователи других браузеров не получают такой защиты.
Известные несанкционированные сертификаты уже заблокированы на уровне браузера, поэтому непосредственная угроза снижена. Такой способ применяют как более быстрый вариант по сравнению с официальным отзывом сертификатов, который проходит медленно и требует сложных процедур. При этом ранее не обнаруженные сертификаты всё ещё могут представлять опасность.
Подобные случаи происходили и раньше. В 2011 году взлом нидерландского центра сертификации DigiNotar позволил выпустить поддельные сертификаты для Google.com и более чем 200 популярных доменов. Их использовали против как минимум 300 тысяч человек, связанных с Ираном, когда те посещали сайты, имитированные злоумышленниками.
После этого были зафиксированы и другие инциденты с ошибочной выдачей сертификатов. Причинами становились нарушения со стороны центров сертификации, а также владельцев доменов. При этом точное число выданных в нынешнем случае сертификатов и перечень всех затронутых организаций пока не установлены.