La compañía Google reveló que ciberdelincuentes lograron tomar el control de tres dominios nacionales de internet y, a partir de esa intrusión, obtuvieron certificados digitales falsos para varios de sus servicios y otras marcas reconocidas a nivel mundial. La empresa activó de inmediato el bloqueo de los certificados identificados en el navegador Chrome, aunque reconoció que no puede garantizar haber localizado la totalidad de los documentos emitidos durante el incidente.
Los dominios comprometidos corresponden a los territorios de Ghana (.gh), Sierra Leona (.sl) y Samoa Americana (.as), administraciones nacionales encargadas de gestionar las extensiones de internet asignadas a cada país. Los atacantes modificaron los registros DNS, el sistema que vincula una dirección web con el servidor numérico donde está alojada.
Esa alteración les permitió recibir y enviar tráfico como si fueran los legítimos propietarios de los dominios seleccionados. Con ese nivel de control, lograron evadir los procedimientos automatizados de validación que aplican las entidades certificadoras antes de conceder un certificado TLS.
El secuestro de dominios y los certificados fraudulentos
Un certificado TLS tiene la función de autenticar la identidad de un sitio web y cifrar la comunicación entre la página y sus visitantes. Este vincula al operador con una clave pública, mientras que la clave privada correspondiente permanece bajo el control exclusivo del responsable legítimo del sitio.
Cuando el navegador verifica que ambas claves coinciden, confirma que la conexión se dirige al sitio auténtico. Un certificado obtenido de manera fraudulenta podría facilitar la suplantación de una web si el atacante además logra interceptar el tráfico de la víctima.
Google indicó que los certificados se emitieron para “varios dominios de Google” y para “varias marcas globales líderes y servicios en línea muy utilizados”, sin revelar la identidad de las demás organizaciones afectadas. La firma aseguró que su propia infraestructura y la de esas empresas no fueron comprometidas.
La compañía tampoco atribuyó responsabilidades a las entidades certificadoras que emitieron los documentos. El problema, explicó, se originó en el control ilícito de los registros de los dominios nacionales y no en el proceso de emisión de certificados.
Chrome recibió una actualización para impedir el uso de los certificados detectados mediante CRLSets, un mecanismo que distribuye listas de bloqueo en segundo plano sin necesidad de una actualización completa del navegador. Asimismo, Google coordinó con las entidades certificadoras la revocación oficial de esos certificados para proteger a usuarios de otros navegadores.
La posibilidad de certificados aún no detectados
Google advirtió que el bloqueo desde el navegador no basta como única defensa frente a esta clase de ataques. “La intervención del lado del navegador no debería ser la única protección”, señaló la empresa, que instó a los propietarios de dominios a revisar los registros públicos de transparencia de certificados.
Esos registros deben incluir, por norma, cada certificado emitido para un dominio. La revisión permitiría a los dueños identificar documentos no autorizados que hubieran sido generados mientras los atacantes controlaban la configuración DNS.
La empresa recomendó además publicar registros CAA, una configuración de DNS que especifica qué entidades certificadoras están autorizadas a emitir certificados para cada dominio. Esa medida no impide un secuestro mientras está en marcha, pero evita que un atacante reutilice una validación previa para solicitar nuevos certificados una vez que el dominio regresó a su dueño legítimo.
El antecedente de mayor envergadura ocurrió en 2011, cuando el secuestro de la entidad certificadora neerlandesa DigiNotar permitió emitir certificados fraudulentos para Google.com y más de 200 dominios de alto tráfico, recordó Ars Technica. Esos certificados fueron utilizados contra al menos 300.000 personas vinculadas con Irán mientras navegaban en sitios suplantados.
Google no informó cuántos certificados se emitieron durante el ataque contra los dominios de Ghana, Sierra Leona y Samoa Americana, ni identificó a los responsables. La compañía tampoco confirmó si algún certificado aún no detectado llegó a utilizarse para interceptar tráfico de usuarios antes de que los documentos conocidos fueran bloqueados.
Fuente: Infobae