Hackers secuestraron tres dominios nacionales y fabricaron certificados falsos de Google
Google reveló que un grupo de atacantes logró tomar el control de tres dominios nacionales de internet y obtuvo certificados digitales fraudulentos para varios de sus propios servicios y otras marcas globales de alto perfil. La empresa bloqueó los certificados identificados en su navegador Chrome, pero reconoció abiertamente que no puede asegurar haber localizado la totalidad de los documentos emitidos mientras duró la intrusión.
Los dominios afectados corresponden a las extensiones de Ghana (.gh), Sierra Leona (.sl) y Samoa Americana (.as). Estas administraciones nacionales gestionan las terminaciones de internet asignadas a cada territorio. Los responsables del ataque modificaron los registros DNS, el sistema que vincula una dirección web con el servidor numérico donde realmente se aloja el contenido.
Esa manipulación les permitió recibir y enviar tráfico como si fueran los dueños legítimos de los dominios seleccionados. Con ese control ilícito superaron los controles automatizados de validación que aplican las entidades certificadoras antes de entregar un certificado TLS.
Un certificado TLS cumple dos funciones centrales: autentica la identidad de una página web y cifra la comunicación entre el sitio y sus visitantes. Vincula al operador con una clave pública, mientras la clave privada permanece bajo control exclusivo del responsable legítimo. Cuando el navegador verifica que ambas claves coinciden, confirma que la conexión apunta al sitio auténtico.
El mecanismo del secuestro de dominios
Un certificado obtenido de forma fraudulenta podría facilitar la suplantación de una web si el atacante también logra interceptar el tráfico de la víctima. Google indicó que los certificados se emitieron para “varios dominios de Google” y para “varias marcas globales líderes y servicios en línea muy utilizados”, sin precisar el nombre de las demás organizaciones afectadas.
La compañía sostuvo que su propia infraestructura y la de esas empresas no resultaron comprometidas. Tampoco atribuyó responsabilidades a las entidades certificadoras que emitieron los documentos. El origen del problema, explicó, residió en el control ilegal de los registros de los dominios nacionales y no en el proceso de emisión en sí.
Chrome recibió una actualización que impide el uso de los certificados detectados mediante CRLSets, un mecanismo que distribuye listas de bloqueo en segundo plano sin exigir una actualización completa del navegador. Google también coordinó con las autoridades de certificación la revocación oficial de esos certificados para proteger a usuarios de otros navegadores.
La empresa advirtió que el bloqueo desde el navegador no alcanza como única defensa frente a esta clase de ataques. “La intervención del lado del navegador no debería ser la única protección”, señaló, y pidió a los propietarios de dominios que revisen los registros públicos de transparencia de certificados.
Recomendaciones y antecedentes
Esos registros deben incluir, por norma, cada certificado emitido para un dominio. La revisión permitiría a los dueños identificar documentos no autorizados generados mientras los atacantes controlaban la configuración DNS. Google recomendó además publicar registros CAA, una configuración de DNS que especifica qué entidades certificadoras están autorizadas a emitir certificados para cada dominio.
Esa medida no impide un secuestro en curso, pero evita que un atacante reutilice una validación previa para solicitar nuevos certificados una vez que el dominio vuelve a su dueño legítimo. El antecedente de mayor alcance ocurrió en 2011, cuando el secuestro de la entidad certificadora neerlandesa DigiNotar permitió emitir certificados fraudulentos para Google.com y más de 200 dominios de alto tráfico.
Esos certificados fueron utilizados contra al menos 300.000 personas vinculadas con Irán mientras navegaban en sitios suplantados. Google no informó cuántos certificados se emitieron durante el ataque contra los dominios de Ghana, Sierra Leona y Samoa Americana, ni identificó a los responsables.
