Samengevat: Aanvallers hebben geldige HTTPS-certificaten gekregen voor domeinen van Google en andere organisaties. Ze braken niet in op de systemen van die bedrijven. Ze kaapten de beheerders van drie landextensies: .gh, .sl en .as. Google blokkeerde de certificaten in Chrome. Chrome-gebruikers hoeven niets te doen.
Wat is er gebeurd?
Aanvallers namen de controle over drie landextensies over. Het gaat om .gh van Ghana, .sl van Sierra Leone en .as van Amerikaans-Samoa. Ze compromitteerden de externe beheerders van die extensies. Daarmee liepen alle domeinen onder die extensies risico.
Daarna wijzigden de aanvallers de DNS-gegevens. Zo konden ze bij certificaatautoriteiten aantonen dat ze het domein controleerden. Die autoriteiten gaven daarop certificaten uit. Browsers zagen die certificaten als geldig.
Google meldde dat zijn eigen systemen niet zijn gehackt.
Waarom is dit zo gevaarlijk?
Een geldig certificaat laat een nepsite echt lijken. De browser toont het slotje. De gebruiker ziet geen waarschuwing. Een aanvaller kan zo verkeer onderscheppen of een kopie van een site tonen.
Hoe reageerde Google?
Google blokkeerde de ongeautoriseerde certificaten voor zijn eigen domeinen via CRLSets. Dat is een lijst die Chrome op de achtergrond ophaalt. Google nam ook contact op met getroffen organisaties, waar dat kon. Gebruikers van Chrome hoeven geen actie te ondernemen.
Wat is nog onbekend?
Google maakte dit niet bekend:
hoe de beheerders van de landextensies zijn gehackt
wie erachter zit
sinds wanneer de aanvallen lopen
welke Google-domeinen zijn geraakt
welke andere bedrijven zijn getroffen
Het gebeurde eerder
Een vergelijkbaar geval deed zich eerder voor bij het domein google.tg. Daar kreeg iemand een certificaat nadat het register van Togo was gehackt. Alleen vastgezette sleutels voor Google-domeinen in Chrome voorkwamen misbruik.
Nederland kent ook een historisch voorbeeld. In 2011 werd de certificaatautoriteit DigiNotar gehackt. Aanvallers maakten toen een vals certificaat voor *.google.com.
Wat kunnen domeineigenaren doen?
Google wijst op een maatregel met CAA-records. Daarmee beperk je welke accounts en validatiemethoden certificaten mogen aanvragen. Zo kunnen aanvallers na het herstel van een DNS-kaping niet opnieuw certificaten krijgen op basis van oude validaties.
Google wil ook de geldigheidsduur van certificaten verder verkorten. Het bedrijf wil bovendien het hergebruik van domeinvalidaties beperken. Zo krijgen aanvallers minder tijd om valse certificaten te gebruiken.
Veelgestelde vragen
Is Google gehackt?
Nee. Google zegt dat zijn eigen systemen niet zijn gecompromitteerd.
Hoe kregen de aanvallers certificaten?
Ze kaapten de beheerders van drie landextensies en wijzigden DNS-gegevens. Daarmee bewezen ze domeincontrole.
Welke landextensies zijn geraakt?
.gh, .sl en .as.
Moet ik iets doen als Chrome-gebruiker?
Nee. Google zegt dat Chrome-gebruikers beschermd zijn.
Zijn andere bedrijven getroffen?
Ja, maar Google noemt ze niet.
Maak jouw eigen website met JouwWeb