Zusammenfassung:
Viele Domainnamen, darunter auch Google, wurden gekapert. Nachdem die Hacker die Kontrolle über die Domänennamen erlangt haben, besteht ihr Hauptverhalten darin, DNS-Einträge zu manipulieren, um die Ausstellung eines TLS-Zertifikats zu beantragen. Sobald das Zertifikat erfolgreich ausgestellt wurde, können sie den Domänennamen auf den Server des Hackers verweisen und ihn für die Entführung und Entschlüsselung des Datenverkehrs verwenden. Google enthüllte in einem Blog, dass nicht autorisierte TLS-Zertifikate für Domainnamen mehrerer Organisationen, darunter Google, ausgestellt wurden.
Google betonte, dass das interne System des Unternehmens nicht kompromittiert wurde und es keinen Grund zu der Annahme gibt, dass die Zertifizierungsstelle (CA), die das Zertifikat ausgestellt hat, gegen relevante Verfahren verstoßen hat, da sie gemäß den bestehenden CA-Verfahren nachweisen kann, dass der Antragsteller Eigentümer des Domainnamens ist, sodass das Zertifikat ausgestellt werden kann, solange dem Domainnamen ein gültiger DNS-Eintrag hinzugefügt wird.
Nachdem Google diesen Vorfall entdeckt hatte, blockierte Google eine große Anzahl identifizierter nicht autorisierter Zertifikate über den Chrome CRLSet-Mechanismus. Gleichzeitig kontaktierte Google die zuständige Zertifizierungsstelle, um die Zertifikate zum Schutz anderer Browser und Clients zu widerrufen. Anschließend analysierte Google die Zertifikatstransparenzprotokolle und stellte fest, dass viele globale Marken und häufig genutzte Online-Dienste betroffen sein könnten, sodass Nutzer auch die Blockierungsaufforderungen von Chrome sehen, wenn sie die entsprechenden Websites besuchen.
Google hat die Liste der betroffenen Unternehmen oder Dienste und die Anzahl der Zertifikate nicht offengelegt. Google sagte, dass DNS-Hijacking sehr komplex sei und nicht garantieren könne, dass alle betroffenen Domain-Namen gefunden würden. Das browserseitige Abfangen kann Nicht-Chrome-Benutzer nicht zuverlässig schützen. Benutzer relevanter Domänennamen sollten Zertifikate und DNS-Schutzeinträge überprüfen. Wenn ungewöhnliche Datensätze gefunden werden, sollten diese rechtzeitig gelöscht werden.
Wenn Sie GH-, SL- und AS-Domänennamen verwenden, kann der Inhaber des Domänennamens die Website crt.sh besuchen, um das vom entsprechenden Domänennamen ausgestellte Zertifikat abzufragen. Wenn Sie feststellen, dass es ein Zertifikat gibt, das Sie nicht beantragt haben, sollten Sie sich so schnell wie möglich an die Zertifizierungsstelle wenden, um das entsprechende Zertifikat zu widerrufen, um zu verhindern, dass Hacker diese Zertifikate weiterhin zur Übernahme von Benutzern verwenden.
Weitere Informationen:
https://blog.google/security/chromes-response-to-recent-cctld-registry-hijacks/
Kommentare