Chrome zablokoval certifikáty po únosoch registrov .gh, .sl a .as

Chrome zablokoval certifikáty, ktoré boli vydané po kompromitácii registrov národných domén najvyššej úrovne .gh, .sl a .as. Google uviedol, že útočníci zmenili autoritatívne DNS záznamy týchto registrov a získali HTTPS certifikáty pre niekoľko domén Googlu aj ďalších organizácií.

Identifikované certifikáty Chrome zablokoval prostredníctvom mechanizmu CRLSets. Google zároveň spolupracoval s certifikačnými autoritami, ktoré ich vydali, na ich revokácii. Podľa spoločnosti používatelia prehliadača Chrome nemusia robiť žiadne kroky.

Chrome zablokoval certifikáty cez CRLSets

CRLSets sú v Chrome používané na distribúciu informácií o nedôveryhodných alebo odvolaných certifikátoch. Blokovanie na úrovni prehliadača znamená, že Chrome nemá akceptovať identifikované certifikáty, aj keby sa ešte v niektorých kontrolných mechanizmoch javili ako platné.

Google zdôraznil, že incident nepredstavoval kompromitáciu jeho vlastných systémov. Zároveň uviedol, že nemá dôvod predpokladať pochybenie certifikačných autorít, ktoré certifikáty vydali. Problém podľa dostupného opisu vznikol pri dôkaze kontroly nad doménou: zmenené autoritatívne DNS záznamy mohli útočníkom umožniť prejsť DNS overením požadovaným pri vydaní certifikátu.

Únos registra môže zasiahnuť všetky domény pod príponou

Register ccTLD spravuje záznamy pre domény pod konkrétnou národnou príponou. Pri kompromitácii takéhoto registra môže útočník meniť autoritatívne DNS údaje, teda informácie, na ktoré sa spoliehajú ďalšie systémy pri smerovaní a overovaní domén.

V prípade HTTPS certifikátov je DNS jednou z ciest, ako žiadateľ preukazuje kontrolu nad doménou. Ak útočník dokáže dočasne zmeniť relevantný DNS záznam, môže splniť podmienku na vydanie certifikátu bez súhlasu skutočného vlastníka domény. Takto získaný certifikát môže technicky vyzerať ako platný, hoci bol vydaný neoprávnene.

Google upozornil, že samotná platnosť TLS certifikátu preto nemusí byť dostatočným dôkazom bezpečnej identity služby, ak je narušený DNS mechanizmus používaný na overenie kontroly domény.

Rozsah incidentu a zneužitie certifikátov nie sú potvrdené

Verejne zatiaľ nie je potvrdené, kto útoky vykonal, koľko domén bolo zasiahnutých ani či boli neoprávnené certifikáty použité pri aktívnych útokoch proti používateľom. Google tiež pripustil, že nemusel identifikovať všetky dotknuté domény.

Ochrana nasadená v Chrome sa navyše týka používateľov tohto prehliadača. Pre ostatné klienty a prehliadače je podstatná revokácia certifikátov, ako aj odstránenie príčiny na úrovni registrov a vlastníkov domén. Nezávislé verejné potvrdenie od prevádzkovateľov všetkých troch dotknutých registrov zatiaľ nebolo nájdené.

Čo sledovať ďalej

• Vyjadrenia registrov .gh, .sl a .as k príčine incidentov, rozsahu zásahu a obnoveniu prevádzky.
• Potvrdenie revokácie všetkých dotknutých certifikátov a prípadné ďalšie blokovania v prehliadačoch.
• Zverejnenie zasiahnutých organizácií alebo dôkazov o praktickom zneužití certifikátov.
• Prípadné úpravy postupov certifikačných autorít a prehliadačov pri DNS overovaní kontroly domény.

Overené a aktualizované: 07. 10. 2026 06:23