DNS-kaping leverde Google-certificaten op

Het hangslotje naast een webadres betekent dat een certificaatautoriteit, een bedrijf dat je browser vertrouwt, heeft gecontroleerd of de aanvrager de domeinnaam beheert. Op 6 oktober meldde Google dat aanvallers DNS-records hadden aangepast onder drie landdomeinen: Ghana’s .gh, Sierra Leone’s .sl en Amerikaans-Samoa’s .as. Zo verkregen zij door browsers vertrouwde certificaten voor verschillende Google-domeinen en namen van andere organisaties (Google). Google zegt dat zijn eigen systemen niet zijn gehackt. Er is geen openbaar bewijs dat de certificaten tegen bezoekers zijn gebruikt.

De kwetsbaarheid zat hoger in de keten, bij DNS: het systeem dat domeinnamen omzet in adressen. Elke opvraging kun je zien als een reeks doorverwijzingen. Neem het fictieve domein acme.gh: de .gh-zone bevat een verwijzing naar de servers die antwoorden voor acme.gh, en die servers geven het adres van de website door. Verandert iemand die bovenliggende verwijzing, dan gaan vragen over acme.gh naar servers die de aanvaller kiest (RFC 1034). Google heeft niet gezegd welke records zijn aangepast, noch welke beheerders van domeinregisters of accounts erbij betrokken waren.

Hoe een gemanipuleerd adresboek een hangslotje oplevert

Voordat een certificaat wordt uitgegeven, moet de autoriteit controleren of de aanvrager de domeinnaam beheert. Een veelgebruikte geautomatiseerde methode loopt via DNS. De autoriteit geeft een nieuwe, willekeurige code en controleert of een bijbehorend record in de DNS van die domeinnaam verschijnt (RFC 8555). Het lijkt op bewijzen waar je woont door een brief te ontvangen die daarheen is gestuurd.

Een DNS-kaping kan zo een certificaat opleveren zonder dat iemand de servers van de echte eigenaar aanraakt. Er zijn ook andere controles, waaronder webgebaseerde uitdagingen (Let's Encrypt), maar Google heeft niet gezegd welke controle de aanvallers hebben doorstaan.

Daarom denkt Google dat de certificaatuitgevers niets verkeerd hebben gedaan. Volgens de regels van de sector geldt een geslaagde controle als bewijs dat de aanvrager de domeinnaam beheert (CA/Browser Forum). Geeft het adresboek zelf misleidende antwoorden, dan kan een uitgever die de procedure nauwgezet volgt toch een geldig certificaat aan de verkeerde partij afgeven.

Twee standaardbeveiligingen laten zien hoe gevoelig dat adresboek is. DNSSEC voegt digitale handtekeningen toe aan DNS-antwoorden, als een zegel dat manipulatie zichtbaar maakt. Zo kan de DNS-dienst die je apparaat gebruikt nagaan of een antwoord via de verwachte gezagsketen is doorgegeven. De handtekening zegt niet of de domeineigenaar de wijziging wilde. Een aanpassing die een gekaapte autoriteit boven het domein publiceert, wordt daardoor toch als geldig aangemerkt.

Met CAA-records kan een eigenaar vastleggen welke certificaatautoriteiten certificaten voor zijn domeinnamen mogen uitgeven. Die lijst staat echter in dezelfde DNS, dus wie de antwoorden beheert, kan haar in principe aanpassen (RFC 8659). Google heeft niet gezegd of een van beide beveiligingen voor de getroffen domeinnamen was ingesteld.

Chrome blokkeert de certificaten

Chrome blokkeerde de certificaten die Google had gevonden met CRLSets, een intrekkingslijst die de browser zelf naar gebruikers verspreidt (Chromium). Daarna doorzocht Google Certificate Transparency: openbare logboeken waarin uitgegeven certificaten worden vastgelegd, vergelijkbaar met een kadaster dat iedereen kan raadplegen (Certificate Transparency). Daar vond Google meer getroffen domeinnamen, van wat het omschrijft als grote internationale merken. Welke merken dat zijn, maakte Google niet bekend.

Google zegt dat het contact heeft opgenomen met de eigenaren die het kon bereiken, hun certificaten in Chrome heeft geblokkeerd en met uitgevers heeft samengewerkt om de certificaten voor andere software in te trekken. Het waarschuwt dat de maatregelen in Chrome gebruikers van andere browsers niet betrouwbaar beschermen. Ook kan Google niet garanderen dat het alle getroffen domeinnamen heeft gevonden.

Een certificaat leidt op zichzelf geen verkeer om. Om er misbruik van te maken, moet een aanvaller ook het verkeer van gebruikers naar een server sturen die het certificaat toont. Google meldt geen nepsite, onderschepte sessie of gestolen inloggegevens. Het artikel van Ars Technica herhaalt grotendeels Googles bevindingen en bevestigt die niet onafhankelijk (Ars Technica). Er is geen openbaar bewijs dat de certificaten tegen bezoekers zijn gebruikt.

Het incident laat zien dat de betrouwbaarheid van een hangslotje wordt begrensd door de DNS-autoriteit boven elke domeinnaam, ook bij kleine regionale achtervoegsels. Google adviseert eigenaren de Certificate Transparency-logboeken voortdurend te controleren voor hun hele domeinportfolio, ook voor geparkeerde en regionale domeinen. Een certificaat dat ze niet hebben aangevraagd, wordt daar immers als eerste zichtbaar.