Registrele .gh, .sl și .as deturnate, certificate HTTPS false pentru domenii Google. Cine controlează de fapt DNS-ul domeniilor tale?

• Au fost compromiși operatori terți ai registrelor .gh, .sl și .as, ceea ce pune în pericol orice domeniu care se termină astfel.
• Atacatorii au modificat înregistrări DNS autoritative și au obținut certificate HTTPS neautorizate. Mecanismul, așa cum îl descriu relatările de presă și îl sugerează recomandările Google: prin controlul DNS, au putut trece verificările automate de control al domeniului pe care le fac autoritățile de certificare.
• Chrome a blocat certificatele neautorizate pentru proprietățile Google prin CRLSets, a lucrat cu autoritățile de certificare pentru revocare, a folosit jurnalele Certificate Transparency ca să găsească alte organizații afectate, între care „mai multe mărci globale de top și servicii online utilizate pe scară largă”, și a contactat organizațiile afectate acolo unde a putut.
• Google spune că utilizatorii Chrome nu trebuie să facă nimic, dar și că intervenția la nivelul browserului „nu trebuie să fie singura protecție” a utilizatorilor tăi. Nu poate garanta că analiza sa a identificat toate domeniile afectate, iar utilizatorii altor browsere nu sunt protejați în mod sigur de blocarea din Chrome.

• Cine sunt atacatorii și cum au compromis operatorii terți.
• Câte certificate au fost emise și care sunt toate domeniile afectate. Google nu dă o listă.
• Care autorități de certificare au emis certificatele. Unele site-uri secundare citează cifre și nume, dar le-am găsit într-o singură sursă, pe care nu am putut-o verifica în textul Google, așa că nu le reproducem.
• Când au avut loc exact incidentele. Postarea Google spune că a aflat „săptămâna trecută”, fără date precise.
• Dacă toate certificatele din afara proprietăților Google au fost și revocate, nu doar blocate în Chrome.

Încrederea în domeniul tău trece printr-un lanț pe care rareori îl privești întreg: registratorul, registrul de nivel superior, furnizorul DNS și autoritatea de certificare. Dacă o verigă este controlată de un atacator, acesta poate obține un certificat valid pentru un domeniu care nu este al lui, iar browserele îl vor accepta.

Cazul de acum privește registre mici, dar mecanismul nu este specific lor. Orice organizație cu domenii în mai multe extensii, inclusiv domenii vechi, regionale sau parcate, are suprafața de risc a celui mai slab operator din lanț.

• Inventar de domenii: listează toate domeniile organizației, inclusiv cele parcate, regionale sau ale filialelor, cu registratorul, furnizorul DNS și persoana responsabilă. Domeniile uitate sunt cele pe care nu le monitorizează nimeni.
• Monitorizare Certificate Transparency: abonează-te la alertă pentru orice certificat emis pe domeniile tale, nu doar pe cele principale. Google recomandă monitorizarea pentru întregul portofoliu. Un certificat pe care nu l-ai cerut este un semnal.
• Înregistrări CAA restrictive: limitează autoritățile de certificare și, unde se poate, conturile și metodele de validare permise. Google notează că CAA nu poate împiedica emiterea în timpul unei deturnări active, dar împiedică folosirea ulterioară a unei validări păstrate în memorie, după ce controlul DNS este recâștigat.
• Domeniile cu extensiile .gh, .sl sau .as: dacă ai așa ceva, verifică acum intrările recente din jurnalele CT pentru certificate neașteptate.
• Controale la registrator: autentificare multifactor, acces nominal, notificări la orice modificare a serverelor de nume și, dacă furnizorul oferă, blocarea modificărilor la nivel de registru. Acestea sunt practici generale, nu recomandări din postarea Google.
• Plan de răspuns: ce faci dacă observi un certificat neașteptat sau o modificare DNS? Cine poate cere revocarea, cine comunică și cum anunți clienții?

NIS2 numește registrele de nume de domenii de nivel superior și furnizorii de servicii DNS printre entitățile din infrastructura digitală, dar cazul de față privește registre din afara UE. Pentru o organizație obișnuită, relevanța este alta: securitatea lanțului de aprovizionare, adică registratori, furnizori DNS și autorități de certificare, face parte din măsurile de gestionare a riscurilor pe care NIS2 le cere entităților esențiale și importante. În România, directiva a fost transpusă prin OUG 155/2024, aprobată prin Legea 124/2025, cu DNSC drept autoritate.

Awarely Learning poate transforma întrebările de mai sus într-un exercițiu pentru conducere și echipa tehnică: primiți o alertă că a apărut un certificat pe un domeniu al vostru pe care nu l-ați cerut. Cine decide ce se întâmplă în primele două ore? Deciziile rămân ale organizației.