Gekaapte landex­ten­sies tonen hoe kwetsbaar dns blijft

In dit artikel:

Aanvallers hebben geldige TLS-certificaten verkregen voor meerdere Google-domeinen nadat ze de DNS-records van de landextensies .gh (Ghana), .sl (Sierra Leone) en .as (Amerikaans Samoa) hadden laten aanpassen. Volgens Google gebeurde dat door de compromittering van externe registry-operators; de eigen systemen van Google zijn niet gehackt.

Door de DNS-wijzigingen konden de aanvallers domeinen naar hun eigen infrastructuur laten verwijzen. Vervolgens konden ze bij certificaatautoriteiten aantonen dat ze de domeinen beheerden en zich voordoen als Google, andere grote merken en online diensten. Dat maakte onder meer phishing, onderschepping van e-mailverkeer en het omleiden van bezoekers naar nagemaakte websites mogelijk.

Google ontdekte de certificaten via openbare Certificate Transparency-logs, liet ze intrekken en blokkeerde ze in Chrome. Het bedrijf waarschuwt dat mogelijk niet alle getroffen domeinen zijn gevonden en dat de maatregel alleen Chrome-gebruikers beschermt. Wie achter de aanval zit, hoeveel certificaten zijn uitgegeven en wat er precies bij de registries misging, is onbekend.

Volgens securityspecialist Jan Guldentops toont het incident aan hoe kwetsbaar en vaak verwaarloosd DNS-beheer blijft. DNS-kaping is niet nieuw: in 2017 werd bij een incident van Fox-IT ongeveer tien uur verkeer naar een klantenportaal onderschept.