ב-22 בספטמבר בשעה 11:03 נרשמה ביומן ציבורי תעודת אבטחה חדשה לשם youtube.com.gh. פחות משעה אחריה נרשמה עוד אחת, הפעם ל-google.com.gh. שתיהן היו תקינות לחלוטין מבחינה טכנית, דפדפן היה מציג עליהן את המנעול שבשורת הכתובת בלי להתלונן, ואף אחת מהן לא הוזמנה על ידי גוגל.

מה קרה

גוגל פרסמה ב-6 באוקטובר שתוקפים השתלטו על שלוש סיומות מדינה: ה-gh. של גאנה, ה-sl. של סיירה לאונה וה-as. של סמואה האמריקנית. לפי החברה, הפריצה הייתה לגופים חיצוניים שמפעילים את הרישום של הסיומות האלה, והמערכות של גוגל עצמה לא נפגעו. מה שהתוקפים שינו שם הן הרשומות שקובעות איזה שרת עונה בשם כל כתובת באינטרנט, ומי ששולט בהן שולט בפועל גם ביעד שאליו הגולשים מגיעים.

כאן מתחיל החלק המעניין. כדי שהמנעול יופיע בדפדפן, גוף שמנפיק תעודות צריך לוודא שמבקש התעודה באמת שולט בכתובת, והבדיקה הנפוצה היא לבקש ממנו להוסיף רשומה קטנה ל-DNS של אותה כתובת. מי שכבר השתלט על ה-DNS עובר אותה בלי להתאמץ. זו כל התחבולה: לא נוצלה פה שום חולשה בתעודות עצמן, פשוט מישהו אחר ענה לשאלה "הכתובת הזאת שלך?".

כל תעודה שמונפקת נרשמת ביומנים ציבוריים, מערכת שנקראת Certificate Transparency, ולכן אפשר לראות בדיוק מה הונפק ומתי. The Hacker News מצא בהם 12 תעודות לשבעה שמות שהונפקו בין 22 ל-27 בספטמבר, 11 על ידי Let's Encrypt ואחת על ידי ZeroSSL, ומת'יו מקפרין, עובד Let's Encrypt, אישר בפורום הקהילה של הגוף שתעודות לשמות של גוגל ויוטיוב הונפקו ובוטלו. הפער בין רישום תעודה לביטול שלה נע בין יום וחצי לכמעט שבוע.

גוגל לא אמרה אם מישהו באמת השתמש בתעודות כדי להתחזות לאתר שלה, לא הסבירה איך נפרצו שלוש הסיומות, ולא אמרה אם הן מאובטחות עכשיו. היא גם כתבה שבגלל המורכבות של השתלטות על DNS אינה יכולה להבטיח שזיהתה כל כתובת שנפגעה.

למה זה חשוב לכם

סביר שלא ביקרתם מעולם ב-google.sl, ולכן המקרה הזה לא נוגע לכם ישירות. מה שכן נוגע לכם הוא מה שהוא מגלה על המנעול: הוא מבטיח שהחיבור מוצפן ושמישהו הוכיח שליטה בכתובת, והוא לא חותמת שאומרת שהאתר שייך לחברה שהלוגו שלה מופיע עליו. גוגל הוסיפה שהיומנים הציבוריים חשפו ארגונים נוספים שנפגעו מאותן מתקפות, ובהם מותגים גלובליים מובילים ושירותים מקוונים בשימוש נרחב, ולא נקבה בשמם. את התעודות שמצאה היא חסמה ב-Chrome דרך מנגנון חירום שנועד בדיוק לזה, כך שמשתמשי Chrome מוגנים בלי לעשות דבר, אבל החסימה שייכת ל-Chrome בלבד.

מה עושים?

ודאו שהדפדפן שלכם מעודכן. ב-Chrome זה קורה מעצמו, ואם אתם גולשים ב-Edge, ב-Firefox או ב-Safari, בדקו שגם הם מריצים את הגרסה האחרונה.

לאתרים שאסור לכם להתבלבל בהם, כמו הבנק, הקופה או תיבת הדואר, היכנסו מסימנייה שמורה או מהאפליקציה, ולא מקישור בהודעה או מתוצאת חיפוש. מנעול תקין על כתובת שנחטפה נראה בדיוק כמו המקור.

הפעילו אימות דו-שלבי בחשבונות המרכזיים שלכם, כדי שסיסמה שנגנבה בעמוד מתחזה לא תספיק לאף אחד.

אם אתם מחזיקים דומיין, הגדירו רשומת CAA שמתירה הנפקת תעודות רק לגוף שאתם עובדים איתו, והירשמו להתראה על כל תעודה חדשה שנרשמת לשם שלכם.

תעודה לא אומרת מי הבעלים של האתר. היא אומרת שמישהו הוכיח שליטה בכתובת ברגע שביקש אותה, וזה בדיוק מה שהתוקפים הוכיחו.