ВЫПУСК ОТ 7 ОКТЯБРЯ 2026 Г.
Перехват DNS позволяет получать несанкционированные сертификаты TLS
По данным Google, злоумышленники перехватили управление доменами верхнего уровня, чтобы получить сертификаты TLS для её сервисов и других организаций. Chrome блокирует выявленные сертификаты, но охват остаётся неполным. Инцидент подчёркивает зависимость проверки сертификатов от контроля над DNS.
Правовое уведомление: этот материал создан системой искусственного интеллекта. Редакционная прозрачность
По данным Google, контроль над DNS позволил злоумышленникам получить несанкционированные сертификаты TLS. Объявленные меры в Chrome снижают выявленный риск, но их охват остаётся ограниченным. Этот инцидент показывает уязвимость проверки сертификатов при перехвате управления доменами.
Злоумышленники перехватили управление доменами верхнего уровня .gh, .sl и .as, чтобы получить несанкционированные сертификаты TLS для сервисов Google и других крупных организаций. Ars Technica передаёт это заявление Google. Даты самих атак не уточняются. Число выпущенных сертификатов и список других затронутых организаций также остаются неизвестными.
Описанный механизм основан на контроле над DNS. Злоумышленники изменили авторитетные записи и делегирование серверов имён для некоторых доменов. Таким образом они прошли автоматизированные проверки, призванные установить, что заявитель контролирует домен, для которого запрашивает сертификат. По данным Google, центры сертификации соблюдали применимые требования, а инфраструктура владельцев затронутых доменов не была скомпрометирована.
Сертификаты TLS связывают доменное имя с открытым ключом и участвуют в аутентификации интернет-сервисов. Поэтому получение несанкционированного сертификата может позволить выдать себя за целевую инфраструктуру. Анализ этого инцидента выявляет конкретное ограничение: проверку, основанную на контроле над доменом, может пройти злоумышленник, перехвативший этот контроль. В таком случае соблюдения процедуры выпуска недостаточно, чтобы установить правомерность запроса заявителя.
Google сообщает, что обновила Chrome, чтобы заблокировать все сертификаты, выявленные как несанкционированные. Компания также заявляет, что работала с выпустившими их центрами сертификации над отзывом сертификатов, относящихся к её собственным сервисам. Она уточняет, что пользователям Chrome не требуется никаких действий для получения этой защиты. Однако такой ответ не даёт общей гарантии: Google не может утверждать, что выявила все затронутые домены, а меры в Chrome не обеспечивают надёжной защиты пользователям других браузеров.
Владельцам доменов Google рекомендует отслеживать журналы прозрачности сертификатов, чтобы обнаруживать неожиданные выпуски. Компания также советует публиковать ограничительные записи DNS Certification Authority Authorization, в частности для предотвращения повторного использования закэшированных данных проверки после восстановления контроля над DNS. Объявленные блокировки снизили известный риск, но отсутствие исчерпывающего перечня оставляет открытым вопрос о сертификатах, которые могли остаться незамеченными.