Des attaquants ont détourné trois domaines de premier niveau et exploité ce contrôle pour émettre de faux certificats TLS au nom de Google et de plusieurs autres grandes marques, a indiqué Google mardi, selon le site Ars Technica. Les attaques ont visé les domaines nationaux .gh, .sl et .as et ont modifié les enregistrements DNS faisant autorité de certains sites au sein de ces espaces, ce qui a suffi à passer les vérifications automatiques utilisées par les autorités de certification pour confirmer le propriétaire d'un domaine.
Les certificats TLS sont les justificatifs cryptographiques qui prouvent qu'un site est bien celui qu'il prétend être et qui chiffrent la connexion. Muni de certificats non autorisés, un attaquant peut usurper l'infrastructure d'un site et faire passer une page falsifiée pour légitime aux yeux des navigateurs. Google affirme avoir mis à jour Chrome pour bloquer les certificats jugés non autorisés et avoir travaillé avec les autorités émettrices pour révoquer les faux certificats liés à ses services.
Comment le détournement de domaines a fonctionné
Selon Google, les attaquants ont pris le contrôle des trois domaines nationaux, puis ont réécrit les enregistrements DNS faisant autorité et les délégations de serveurs de noms pour une liste de domaines choisie. Ce contrôle leur a permis de modifier les adresses IP des sites visés, d'y envoyer et d'y recevoir du trafic, et de satisfaire les vérifications du secteur qui exigent normalement d'un demandeur qu'il prouve qu'il contrôle un domaine.
Google n'a pas précisé quels domaines Google étaient concernés, ni identifié les autres organisations dont les domaines ont été touchés. L'entreprise les décrit seulement comme « plusieurs grandes marques mondiales et services en ligne très utilisés ». On ne sait pas non plus combien de certificats non autorisés ont été émis, ni si tous ont été bloqués à ce jour.
L'entreprise souligne que l'incident n'a pas impliqué la compromission de l'infrastructure des propriétaires de domaines concernés et que les autorités de certification ont suivi toutes les procédures requises. La faille se situait au niveau de l'enregistrement des domaines, et non dans les serveurs des marques usurpées.
