El control de tres dominios nacionales permitió a atacantes alterar el DNS y obtener certificados TLS fraudulentos para varios dominios de Google y otras organizaciones, según un reporte de Ars Technica. Google bloqueó los certificados que identificó en Chrome, pero advirtió que esa medida no garantiza protección para todos los usuarios.
El secuestro del DNS abrió la puerta a la emisión
El incidente involucró los dominios de primer nivel .gh, .sl y .as. Los atacantes tomaron control de esos espacios y modificaron registros DNS autoritativos de dominios seleccionados, lo que les permitió superar las comprobaciones automatizadas que exigen demostrar control de un nombre antes de emitir un certificado.
Con esa capacidad, pudieron cambiar direcciones IP y alterar las delegaciones de servidores de nombres de ciertos dominios. Google informó que los certificados fraudulentos correspondían a varios de sus dominios, además de dominios de varias marcas globales y servicios en línea, aunque no identificó cuáles eran ni reveló los nombres de las otras organizaciones.
Chrome bloqueó los certificados, pero no todos los riesgos
Google actualizó Chrome para bloquear los certificados no autorizados que logró identificar y trabajó con las autoridades de certificación emisoras para procurar la revocación de los que afectaban sus propiedades. La compañía sostuvo que los usuarios de Chrome no necesitan realizar ninguna acción para quedar protegidos frente a esos certificados conocidos.
Sin embargo, advirtió que no puede garantizar que se hayan detectado todos ni que la protección alcance a quienes usan otros navegadores. También recomendó vigilar los registros de transparencia de certificados y publicar políticas DNS CAA restrictivas para reducir el riesgo de nuevas emisiones no autorizadas.
