LA EDICIÓN DEL 7 DE OCTUBRE DE 2026
El secuestro del DNS permite obtener certificados TLS no autorizados
Según Google, unos atacantes secuestraron dominios de nivel superior para obtener certificados TLS relativos a sus servicios y otras organizaciones. Chrome bloquea los certificados identificados, pero el alcance sigue siendo incompleto. El incidente subraya la dependencia de la validación de certificados del control del DNS.
Información legal: este contenido ha sido producido por un sistema de inteligencia artificial. Transparencia editorial
El control del DNS permitió a unos atacantes obtener certificados TLS no autorizados, según Google. Las medidas anunciadas en Chrome reducen el riesgo identificado, pero su alcance sigue siendo limitado. Este incidente pone de manifiesto la fragilidad de la validación de certificados cuando se secuestra el control de los dominios.
Unos atacantes secuestraron los dominios de nivel superior .gh, .sl y .as para obtener certificados TLS no autorizados relativos a servicios de Google y otras grandes organizaciones. Ars Technica recoge esta declaración de Google. No se precisa la fecha de los ataques. También se desconocen el número de certificados emitidos y la lista de las demás organizaciones afectadas.
El mecanismo descrito se basa en el control del DNS. Los atacantes modificaron registros autoritativos y delegaciones de servidores de nombres de determinados dominios. Así lograron superar las verificaciones automatizadas destinadas a establecer que un solicitante controla el dominio para el que pide un certificado. Según Google, las autoridades de certificación cumplieron los requisitos aplicables y las infraestructuras de los propietarios de los dominios afectados no se vieron comprometidas.
Los certificados TLS vinculan un nombre de dominio con una clave pública y contribuyen a la autenticación de los servicios de Internet. Obtener un certificado no autorizado puede, por tanto, permitir suplantar la identidad de la infraestructura objetivo. El análisis de este incidente revela una limitación concreta: un atacante que haya secuestrado el control de un dominio puede superar una validación basada en ese control. En ese caso, el cumplimiento del procedimiento de emisión no basta para establecer la legitimidad del solicitante.
Google indica que ha actualizado Chrome para bloquear todos los certificados identificados como no autorizados. La empresa también afirma haber trabajado con las autoridades emisoras para revocar los relacionados con sus propios servicios. Precisa que los usuarios de Chrome no tienen que realizar ninguna acción para beneficiarse de esta protección. Sin embargo, esta respuesta no constituye una garantía general: Google no puede asegurar que haya identificado todos los dominios afectados, y las intervenciones en Chrome no protegen de forma fiable a los usuarios de otros navegadores.
Para los propietarios de dominios, Google recomienda supervisar los registros de transparencia de certificados para detectar emisiones inesperadas. La empresa también aconseja publicar registros DNS Certification Authority Authorization restrictivos, en particular para impedir la reutilización de datos de validación almacenados en caché tras recuperar el control del DNS. Los bloqueos anunciados han reducido el riesgo conocido, pero la ausencia de un inventario exhaustivo deja abierta la cuestión de los certificados que podrían haber escapado a la detección.