Rekords DNS maħtufa wasslu għal ċertifikati ta’ Google

Il-katnazz maġenb indirizz tal-web ifisser li awtorità taċ-ċertifikati—kumpanija li l-browser tiegħek jafda—ivverifikat li min talab iċ-ċertifikat jikkontrolla dak l-isem. Fis-6 ta’ Ottubru, Google qalet li attakkanti li biddlu rekords tad-DNS taħt tliet dominji tal-kodiċi tal-pajjiż—.gh tal-Ghana, .sl tas-Sierra Leone u .as tas-Samoa Amerikana—kisbu ċertifikati fdati mill-browsers għal diversi dominji ta’ Google u għall-ismijiet ta’ organizzazzjonijiet oħra (Google). Google tgħid li s-sistemi tagħha stess ma ġewx kompromessi u li ma hemm l-ebda evidenza pubblika li ċ-ċertifikati ntużaw kontra l-viżitaturi.

Il-punt dgħajjef kien ’il fuq mis-siti web, fid-DNS, is-sistema li tibdel l-ismijiet f’indirizzi. Immaġina kull tfittxija bħala katina ta’ riferimenti. F’każ ipotetiku bħal acme.gh, iż-żona .gh fiha indikazzjoni li tispeċifika s-servers li jwieġbu għal acme.gh, u dawk is-servers jagħtu l-indirizz tas-sit. Jekk xi ħadd jibdel dik l-indikazzjoni prinċipali, it-talbiet dwar acme.gh jaslu għand servers magħżula mill-attakkant (RFC 1034). Google ma qalitx liema rekords inbidlu, u lanqas semmiet l-operaturi tar-reġistri jew il-kontijiet involuti.

Kif ktieb tal-indirizzi mbagħbas jista’ jwassal għal katnazz

Qabel toħroġ ċertifikat, awtorità trid tivverifika li l-applikant jikkontrolla l-isem. Mod awtomatizzat komuni biex tagħmel dan jgħaddi mid-DNS innifsu. L-awtorità tagħti kodiċi każwali ġdid u tivverifika jekk fid-DNS ta’ dak l-isem deherx rekord li jaqbel miegħu (RFC 8555). Immaġina li tipprova li tgħix f’post billi tirċievi ittra mibgħuta hemmhekk.

B’hekk, ħtif tad-DNS jista’ jwassal għall-ħruġ ta’ ċertifikat mingħajr ma ħadd imiss is-servers tas-sid veru. Jeżistu verifiki oħra, fosthom sfidi bbażati fuq il-web (Let's Encrypt), u Google ma qalitx liema waħda għaddew minnha l-attakkanti.

Għalhekk Google temmen li l-awtoritajiet li ħarġu ċ-ċertifikati ma għamlu xejn ħażin. Skont ir-regoli tal-industrija, awtorità tqis verifika li tirnexxi bħala prova li l-applikant jikkontrolla l-isem (CA/Browser Forum). Jekk il-ktieb tal-indirizzi nnifsu jagħti tweġibiet qarrieqa, awtorità li ssegwi l-proċedura eżatt tista’ toħroġ ċertifikat validu lil min fil-fatt ma jikkontrollax l-isem.

Żewġ difiżi standard juru kemm hu sensittiv dak il-ktieb tal-indirizzi. Id-DNSSEC iżid firem diġitali mat-tweġibiet tad-DNS, bħal siġill li juri jekk ikunx imbagħbas, biex is-servizz tat-tiftix fuq it-tagħmir tiegħek ikun jista’ jikkonferma li tweġiba waslet mill-katina mistennija ta’ awtoritajiet. Is-siġill ma jurix jekk sid id-dominju riedx il-bidla; għalhekk, bidla ppubblikata minn awtorità maħtufa ’l fuq fl-istruttura tad-dominju xorta tgħaddi mill-verifika.

Ir-rekords CAA jippermettu lil sid jelenka liema awtoritajiet taċ-ċertifikati jistgħu joħorġu ċertifikati għall-ismijiet tiegħu. Iżda dik il-lista tinsab fl-istess DNS, u għalhekk min jikkontrolla t-tweġibiet jista’ fil-prinċipju jiktibha mill-ġdid (RFC 8659). Google ma qalitx jekk waħda minn dawn iż-żewġ miżuri ta’ protezzjoni kinitx fis-seħħ għall-ismijiet affettwati.

Chrome jimblokka ċ-ċertifikati

Chrome imblokka ċ-ċertifikati identifikati minn Google permezz ta’ CRLSets, lista ta’ revoka li l-browser iqassam lill-utenti tiegħu stess (Chromium). Google mbagħad fittxet fiċ-ċertifikati fir-reġistri pubbliċi ta’ Certificate Transparency, fejn jiġu rreġistrati ċ-ċertifikati maħruġa—xi ftit bħal reġistru tal-artijiet li kulħadd jista’ jfittex (Certificate Transparency). Hemmhekk sabet aktar ċertifikati għal miri oħra, li ddeskriviet bħala ditti globali ewlenin mingħajr ma semmiethom.

Google tgħid li kkuntattjat lis-sidien li setgħet tilħaq, imblukkat iċ-ċertifikati tagħhom fi Chrome u ħadmet mal-awtoritajiet li ħarġuhom biex jirrevokawhom għall-użu f’softwer ieħor. Twissi li l-miżuri ta’ Chrome ma jipproteġux b’mod affidabbli lill-utenti ta’ browsers oħra, u li ma tistax tiggarantixxi li sabet kull dominju affettwat.

Ċertifikat waħdu ma jidderieġi lil ħadd lejn xi mkien. Biex jisfrutta wieħed, attakkant ikollu wkoll jiddevja l-konnessjonijiet tan-nies lejn server li jippreżentah. Google ma rrapportat l-ebda sit falz, sessjoni interċettata jew kredenzjali misruqa, u r-rappurtar ta’ Ars Technica fil-biċċa l-kbira jirrakkonta mill-ġdid dak li sabet Google, minflok jikkonfermah b’mod indipendenti (Ars Technica). Ma hemm l-ebda evidenza pubblika li ċ-ċertifikati ntużaw kontra l-viżitaturi.

L-inċident juri li katnazz huwa affidabbli biss daqs l-awtorità tad-DNS li tinsab ’il fuq minn kull isem, anki meta jkun hemm suffissi reġjonali żgħar. Google tagħti parir lis-sidien biex jissorveljaw kontinwament ir-reġistri ta’ Certificate Transparency għall-portafoll kollu tagħhom, inklużi d-dominji miżmuma mingħajr użu u dawk reġjonali, għax hemmhekk ċertifikat li qatt ma talbu jidher għall-ewwel darba (Google).