Google уведомила о случаях перехвата управления доменными именами в национальных зонах .gh, .sl и .as. Изменяя авторитетные DNS‑записи, злоумышленники прошли проверку контроля над именами и получили несанкционированные HTTPS‑сертификаты для ряда доменов Google и других организаций.
Речь не идёт о взломе криптографии TLS или о компрометации собственных сервисов Google: атака опиралась на контроль над DNS‑записями, используемыми для подтверждения владения именем при выдаче сертификатов. По оценке Google, действия некоторых удостоверяющих центров соответствовали процедурам проверки, поскольку проверка базировалась на представленных DNS‑записях.
Браузер Chrome заблокировал обнаруженные сертификаты с помощью CRLSets. Google взаимодействовала с удостоверяющими центрами для их отзыва и проанализировала данные журналов Certificate Transparency. При этом защита отдельного браузера не устраняет риск для всех приложений и для всех потенциально затронутых имён.
Google рекомендует владельцам доменов отслеживать журналы Certificate Transparency по всему портфелю имён и рассмотреть применение ограничительных CAA‑записей с привязкой к разрешённым аккаунтам и методам проверки, что может снизить риски повторной выдачи. При этом CAA не защищает в ситуации, когда злоумышленник уже контролирует DNS.
Восстановление контроля над именем и проверка выпущенных сертификатов остаются отдельными этапами реагирования после инцидента. Компания не публиковала исчерпывающего списка всех пострадавших организаций.