Συναγερμός στην κυβερνοασφάλεια: Χάκερ εξέδωσαν πλαστά πιστοποιητικά TLS για την Google και μεγάλες πλατφόρμες

Συναγερμός έχει σημάνει στην παγκόσμια κοινότητα κυβερνοασφάλειας, έπειτα από την αποκάλυψη της Google ότι κυβερνοεγκληματίες κατάφεραν να εκδώσουν μη εξουσιοδοτημένα ψηφιακά πιστοποιητικά ασφαλείας TLS για διαδικτυακές της υπηρεσίες, καθώς και για άλλες κορυφαίες διεθνείς εταιρείες. Η επίθεση πραγματοποιήθηκε μέσω της κατάληψης κρίσιμων εθνικών μητρώων διευθύνσεων διαδικτύου (ccTLD), επιτρέποντας στους επιτιθέμενους να παρακάμψουν τους συνήθεις ελέγχους επαλήθευσης.

Πώς στήθηκε η επίθεση μέσω κρατικών domains

Σύμφωνα με τα τεχνικά δεδομένα που δημοσιοποίησε η Google, οι επιτιθέμενοι στόχευσαν και απέκτησαν έλεγχο σε τρεις εθνικούς τομείς ανώτατου επιπέδου: το .gh της Γκάνας, το .sl της Σιέρα Λεόνε και το .as της Αμερικανικής Σαμόα. Αποκτώντας πρόσβαση σε αυτά τα μητρώα, κατάφεραν να τροποποιήσουν τις έγκυρες εγγραφές DNS (Domain Name System) για επιλεγμένους ιστοτόπους υψηλού προφίλ.

Με τον έλεγχο του DNS στα χέρια τους, οι δράστες μπόρεσαν να απαντήσουν επιτυχώς στις αυτοματοποιημένες διαδικασίες επικύρωσης κατοχής domain (Domain Control Validation). Ως αποτέλεσμα, οι εκδότριες αρχές πιστοποίησης (Certificate Authorities) εξέδωσαν έγκυρα αλλά παράνομα πιστοποιητικά TLS για διάφορους τομείς της Google και άλλων παγκόσμιων ψηφιακών υπηρεσιών, χωρίς να έχει παραβιαστεί η εσωτερική υποδομή των ίδιων των εταιρειών.

Ο κίνδυνος των πλαστών πιστοποιητικών TLS

Τα πιστοποιητικά TLS αποτελούν τη ραχοκοκαλιά της ασφάλειας και της κρυπτογράφησης στο διαδίκτυο. Πρόκειται για κρυπτογραφικά διαπιστευτήρια βασισμένα στο πρότυπο x.509, τα οποία συνδέουν μια διεύθυνση διαδικτύου με ένα δημόσιο κλειδί. Όταν ο χρήστης συνδέεται σε έναν ιστότοπο, το πρόγραμμα περιήγησης επαληθεύει ότι το δημόσιο κλειδί ταιριάζει με το ιδιωτικό κλειδί του παρόχου, διασφαλίζοντας ότι η σύνδεση είναι αυθεντική και κρυπτογραφημένη.

Η κατοχή μη εξουσιοδοτημένων πιστοποιητικών από κακόβουλους παράγοντες δημιουργεί άμεσο κίνδυνο επιθέσεων τύπου «man-in-the-middle». Οι επιτιθέμενοι μπορούν να πλαστογραφήσουν απόλυτα τις νόμιμες υπηρεσίες, να αποκρυπτογραφήσουν την κίνηση των χρηστών και να υποκλέψουν ευαίσθητα δεδομένα, όπως κωδικούς πρόσβασης και οικονομικά στοιχεία, χωρίς το θύμα να αντιληφθεί οποιαδήποτε προειδοποίηση στον φυλλομετρητή του.

Η αντίδραση της Google και οι συστάσεις προστασίας

Η Google αντέδρασε άμεσα αναβαθμίζοντας τον Chrome, ώστε να μπλοκάρει όλα τα γνωστά πλαστά πιστοποιητικά, ενώ παράλληλα συνεργάστηκε με τις αρχές πιστοποίησης για την ανάκλησή τους. Ωστόσο, η εταιρεία προειδοποίησε ότι η προστασία στο επίπεδο του φυλλομετρητή δεν επαρκεί για να καλύψει το σύνολο των χρηστών του διαδικτύου, ιδίως όσους χρησιμοποιούν εναλλακτικά προγράμματα περιήγησης.

Για τον λόγο αυτό, απευθύνει έκκληση στους διαχειριστές ιστοτόπων να ενισχύσουν την άμυνά τους. Συγκεκριμένα, συστήνει τη στενή παρακολούθηση των αρχείων καταγραφής Certificate Transparency για τον εντοπισμό τυχόν ύποπτων εκδόσεων, καθώς και την εφαρμογή περιοριστικών εγγραφών Certification Authority Authorization (CAA) στο DNS, οι οποίες ορίζουν αυστηρά ποιες αρχές επιτρέπεται να εκδίδουν πιστοποιητικά για κάθε domain.

Το περιστατικό επαναφέρει στη μνήμη την ιστορική επίθεση στην ολλανδική αρχή DigiNotar το 2011, υπενθυμίζοντας ότι η αλυσίδα εμπιστοσύνης του διαδικτύου παραμένει ευάλωτη όταν διακυβεύονται θεμελιώδεις υποδομές, όπως το σύστημα DNS.