Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Компрометация регистраторов 3 доменных зон, позволила получить TLS-сертификаты к сервисам Google"	+/–
Сообщение от opennews (ok), 07-Окт-26, 12:04
Компания Google сообщила об инциденте, в результате которого атакующим удалось получить TLS-сертификаты для отдельных доменов Google (например, google.as), онлайн-сервисов и крупных компаний в зонах  ".gh", ".sl" и ".as". Атака совершена через компрометацию регистраторов национальных доменных зон верхнего уровня - ".gh" (Гана), ".sl" (Сьерра-Леоне) и ".as" (Американское Самоа), что позволило заменить DNS-серверы для доменов в этих зонах и перенаправить запросы на серверы злоумышленников. Перенаправив трафик, атакующие смогли подтвердить владение доменами и получить TLS-сертификаты, так как после изменения данных в DNS проверочные запросы от удостоверяющих центров были отправлены не на реальные, а на подменённые хосты и обработаны на них... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=66415
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от nebularia (ok), 07-Окт-26, 12:04	+7 +/–
> Перенаправив трафик, атакующие смогли подтвердить владение доменами и получить TLS-сертификаты, так как после изменения данных в DNS проверочные запросы от удостоверяющих центров были отправлены не на реальные, а на подменённые хосты и обработаны на них Да, ради этого определённо стоило выкидывать EV сертификаты и заменять проверку владения доменом на проверку владения каналом
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #18

2. Сообщение от Аноним1234 (?), 07-Окт-26, 12:05	+/–
>что позволило заменить DNS-серверы для доменов в этих зонах и перенаправить запросы на серверы злоумышленников. Перенаправив трафик, атакующие смогли подтвердить владение доменами и получить TLS-сертификаты Главная проблема тут. Любой провайдер может изменить DNS. Это не должно никак повлиять на то, какие сертификаты будут выдаваться этому провайдеру. При повторном получении сертификата нужно подтвердить владение старым закрытым ключём.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3, #5

3. Сообщение от Аноним (3), 07-Окт-26, 12:16	+7 +/–
> При повторном получении сертификата нужно подтвердить владение старым закрытым ключём переустановил сервант - протерял всё. Отличненько
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #13, #56

4. Сообщение от Мемоним (?), 07-Окт-26, 12:23	+6 +/–
> Common Name        google.as > Subject        CN=google.as > Issuer        CN=YR1,O=Let's Encrypt,C=US Да что же такое. Опять система, основанная на доверии Большому Белому Господину, дала сбой. > ".gh" (Гана), ".sl" (Сьерра-Леоне) А, нет. Теперь еще и Большому Черному Господину.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7, #17, #25, #37

5. Сообщение от Аноним (5), 07-Окт-26, 12:29	+1 +/–
> нужно подтвердить владение старым закрытым ключём а если сервер сгорел, а если злодеи его украли и восстановили старый ключ. можно сколько угодно придумывать "механизмов", идеальных никогда не было и не будет, https сделали относительно удобным для обывателей, и эта новость яркая иллюстрация того как это стало опасно для корпораций, той самой которая активно продвигает этот самый https, что смешно, но это малая плата за возможность забанить чьи угодно сертификаты в своем браузере.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #9, #51, #60

6. Сообщение от Аноним (6), 07-Окт-26, 12:36	–2 +/–
>Google заблокировала полученные в ходе атаки нелегитимные сертификаты при помощи механизма CRLSets в браузере Chrome, а также добилась отзыва этих сертификатов удостоверяющими центрами. Вот и хорошо! DoH надо включать.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21, #40

7. Сообщение от Аноним (5), 07-Окт-26, 12:36	–1 +/–
я конечно могу ошибаться, но эти банановые республики продали права на национальные домены каким то мутным компаниям, порнушку и прочие прелести надо тоже гдето размещать, разумеется мутные компании, это кого надо компании, и они легко выпустят и выдадут сертификаты любые на запрос из высоких кабинетов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #8

8. Сообщение от Аноним (8), 07-Окт-26, 12:42	+/–
Словакия, видимо, тоже банановая республика?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #11, #12, #15, #16

9. Сообщение от Аноним1234 (?), 07-Окт-26, 12:47	+/–
>> нужно подтвердить владение старым закрытым ключём > а если сервер сгорел, а если злодеи его украли и восстановили старый > ключ. > можно сколько угодно придумывать "механизмов", идеальных никогда не было и не будет, > https сделали относительно удобным для обывателей, и эта новость яркая иллюстрация > того как это стало опасно для корпораций, той самой которая активно > продвигает этот самый https, что смешно, но это малая плата за > возможность забанить чьи угодно сертификаты в своем браузере. Так можно и про биткоины сказать. Имейте бэкап ключа.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #14

10. Сообщение от Аноним (10), 07-Окт-26, 12:49	+/–
Ютуп наверное подразумевался под широкоиспользуемым онлайн-сервисом.
Ответить | Правка | Наверх | Cообщить модератору

11. Сообщение от Аноним (5), 07-Окт-26, 12:50	+/–
бананавость не определяется континентом или цветом кожи президента, а мутностью организации в чье ведение отдан вопрос, порносайтов хватает и в de и в прочих "солидных" казалось бы юрисдикциях, любые правительства нарушают закон, и им нужны для этого инструменты и руки, поэтому никакие алгоритмы ничего не гарантируют
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

12. Сообщение от Аноним (12), 07-Окт-26, 12:50	+1 +/–
А где ты словакию увидел?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

13. Сообщение от Аноним1234 (?), 07-Окт-26, 12:54	+1 +/–
>переустановил сервант - протерял всё. Отличненько Вместе с биткоинами, и остальными данными на там.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #28

14. Сообщение от Аноним (5), 07-Окт-26, 12:55	–3 +/–
ну, биткоин уже был скомпрометирован, я беспонятия что с ним так носятся, и блокчейн подделывался не раз, но хомячки упорно верят что это спасет их от чегото
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #27, #35

15. Сообщение от Аноним (-), 07-Окт-26, 12:55	+1 +/–
У Словакии доменная зона .sk так-то...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8

16. Сообщение от User (??), 07-Окт-26, 13:20	+1 +/–
Да-да, Словакия, Словения, Сьерра-Леоне - какая в общем-то разница?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #41

17. Сообщение от Аноним (17), 07-Окт-26, 13:27	+2 +/–
> Common Name google.as > Subject CN=google.as В чем здесь криминал? Где сказано, что домен google.as *обязательно* должен принадлежать главному гуглу?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #44

18. Сообщение от Аноним (18), 07-Окт-26, 13:52	+2 +/–
Тут EV ничем не помог бы. Разве что зеленой полоски не было бы, а так браузеру без разницы DV, OV, EV. Любой из них пройдет валидацию.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #22

19. Сообщение от Ivan_83 (ok), 07-Окт-26, 13:55	+3 +/–
> атакующие смогли подтвердить владение доменами и получить TLS-сертификаты, так как после изменения данных в DNS проверочные запросы от удостоверяющих центров были отправлены не на реальные, а на подменённые хосты и обработаны на них. Гугол с друзьями превратили тему с сертификатами в онлайн регистраицю сервера в шаражках типа LE ради своей выгоды. Теперь только своим УЦ и можно доверять + пиниг своих сертов, а остальное мало отличимо от голого http по надёжности.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20, #34

20. Сообщение от пох.. (?), 07-Окт-26, 14:01	+/–
А пининг они - отломали в браузерах. Для большей безопастносте! (прям так на самом деле и было сформулировано) > а остальное мало отличимо от голого http по надёжности. ну нет, так содержимое того http читает товарищмайёр, а тут ты оставляешь массу цифровых следов в логах разных уважаемых, г-н inspector (у них по-простецки, без званий) тоже может приобщиться, ну и товарищмаёра тоже не забыли - оба могут выписывать себе твоих сертификатов сколько захотят. А поскольку ты не гугль - хрен ты добьешься чтобы их заблокировали даже если спалишь эту схему. (но поскольку не гугль и пиннинг запрещен а certpatrol потерял смысл, то не спалишь)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

21. Сообщение от Аноним (21), 07-Окт-26, 14:02	+/–
И как DoH поможет в этом случае? Включать то его, конечно, надо, но, он просто шифрует запросы и больше ничего
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

22. Сообщение от Аноним (-), 07-Окт-26, 14:11	+3 +/–
Ну, вот, проверочки на зелёную полосочку и не хватило.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #57

23. Сообщение от Alex (??), 07-Окт-26, 14:19	+/–
Централизованная архитектура не может быть безопасной по определению.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #24, #26, #42

24. Сообщение от Аноним (24), 07-Окт-26, 14:32	+1 +/–
Так же как и децентрализованная.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #30, #33

25. Сообщение от Аноним (25), 07-Окт-26, 14:53	+/–
Вообще раньше у ЛЕ были стоп листы. и по идее гугль в них должен был бы быть (у самого гугла свой ЦА). на заре появления ЛЕ мы не смогли себе выписать серт ЛЕ, потому как наш домен был созвучен с сокращением какогото там банка... естественно домена у того банка в .ru отродясь небыло. но стоп лист был на *имя.*. открывали регистрацию через поддержку ЛЕ. а уж живые домены одного из своих же учредителей они должны бы бдить сами.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

26. Сообщение от Аноним (39), 07-Окт-26, 15:05	+/–
Централизация и децентрализация ни коим местом не влияет на безопасТность! И вообще централизация чего, поясните.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #31

27. Сообщение от Аноним (27), 07-Окт-26, 15:22	+2 +/–
Проводилось исследование, которое показало, что биткоин безопасен. Советую ознакомиться прежде чем писать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #29, #36

28. Сообщение от ТабакошкаМойЛюбимыйМультик (?), 07-Окт-26, 15:23    Скрыто ботом-модератором	+/–
Биткоины не продавай
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

29. Сообщение от ТабакошкаМойЛюбимыйМультик (?), 07-Окт-26, 15:24	+/–
Настолько безопасен что у ФБР украли биткоины. Они просто ещё не проверяли
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

30. Сообщение от Аноним (-), 07-Окт-26, 16:50	+/–
Ты мне тут ещё пофилософствуй. Централизованная значит не безопасная. Децентрализованная значит безопасная.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

31. Сообщение от Аноним (-), 07-Окт-26, 16:51	+/–
Централизацию легко контролировать. Поэтому децентрализованная безопаснее централизованной.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #38

33. Сообщение от Аноним (34), 07-Окт-26, 17:07	+/–
Из этого следует что никакая не может, значит безопасность, в вашем её определении, не существует, а это значит значит что у вас просто некорректное определение.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #39

34. Сообщение от Аноним (34), 07-Окт-26, 17:10	+1 +/–
> Гугол с друзьями превратили тему с сертификатами в онлайн регистраицю сервера в шаражках типа LE ради своей выгоды. Это какой же, интересно, выгоды? Я вот в нулевых платил, а теперь не плачу ни гуглу, ни какой-то CA-швали, а рабочий сертификат имею. > Теперь только своим УЦ и можно доверять + пиниг своих сертов, а остальное мало отличимо от голого http по надёжности. Однако баннеры туда не пихаются и сосед через wifi которого я сижу не может сделать выводы о моей политической позиции, а люди в чёрном и к CA могли прийти чтобы выписать любой сертификат на твой домен. Так что предлагаешь делать-то? Не платить ли CA за то же самое?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #46

35. Сообщение от YetAnotherOnanym (ok), 07-Окт-26, 17:53	+/–
> биткоин уже был скомпрометирован, я беспонятия что с ним так носятся Носятся с ним по той же причине, по какой его не запретили на следующий день после публикации первой статьи Сатоси - это чрезвычайно удобный инструмент для обезжиривания рядовых хомячков в пользу воротил типа братьев Винклвос.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #59

36. Сообщение от Аноним (5), 07-Окт-26, 18:11	+/–
дада, британские ученые, кхм, вы действительно считаете что трамп не зарабатывает на манипуляциях с долларами и возможностью менять их курс через новости о всяких военных действиях? биткоины еще большая "лотерея", которая принадлежит тем же людям, которые в свое время отжали их у криминала, ..фсб давным давно внимательно отслеживает откуда и куда переводят активы, несколько рандомных промежуточных кошельков никого не смущают, недавно вроде когото закрыли, чел верил в то что биткоин неотслеживаем, ага, ну вот. разумеется оно безопасно, купить косячек, ради такого не станут заморачиваться, но если там на горизонте замаячит добыча покрупнее, то отследят и сотку баксов чтобы приехать и детально так все изучить, пока клиент в наручниках не сопротивляется.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #58

37. Сообщение от YetAnotherOnanym (ok), 07-Окт-26, 18:13	+/–
>> ".gh" (Гана), ".sl" (Сьерра-Леоне) > А, нет. Теперь еще и Большому Черному Господину. Вообще-то, скомпрометировать домен можно, подменив липучку на этот домен в вышестоящей зоне. Которую, как ни удивительно, по-прежнему держит в своих руках именно Белый Господин.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

38. Сообщение от Аноним (39), 07-Окт-26, 18:14	+/–
Централизацию чего вы собрались контролировать?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

39. Сообщение от Аноним (39), 07-Окт-26, 18:15	+/–
так эти нейрослоупоки не поняли чего ни пытаются централизировать :))) БезопасТность у них централизованная :))))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

40. Сообщение от Аноним (6), 07-Окт-26, 18:52	+/–
https://support.mozilla.org/ru/kb/dns-cherez-https-v-firefox
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

41. Сообщение от Аноним (41), 07-Окт-26, 19:59    Скрыто ботом-модератором	+/–
Словакия, Словения, и подобные смешные страны вполне себе европейские Сьерра-Лионе. Нищета, быканы, кабанчики. Как будто из совка никуда и не уезжал. Но траектория движения у них сильно получше, это да.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

42. Сообщение от Аноним (41), 07-Окт-26, 20:02	+/–
CA как раз децентрализованы, вон их сколько. А толку? Заводи свой ДНС и свои УЦ, раз у тебя такие секретные секреты на локалхосте.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

43. Сообщение от Аноним (43), 07-Окт-26, 21:51	+/–
Кто-то тут рассказывал что за компроментацию сертификатов компании лишаются доверия и им больше не разрешают сертификаты выдавать
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #45, #55

44. Сообщение от Аноним (44), 07-Окт-26, 22:00	+/–
Ну да, EV то упразднили.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

45. Сообщение от Аноним (44), 07-Окт-26, 22:01	+/–
CA (Сертификаты) не были скомпрометированы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #52

46. Сообщение от Ivan_83 (ok), 07-Окт-26, 22:14	+1 +/–
Я как не платил за серты никому так и не плачу. Изначально я их не юзал вообще, и сейчас для публично доступного я не юзаю https на своих сервисах. А для приватных сервисов самоподписной серт, который местами ещё и припинен. Я даже один раз нарвался на то что ушлый fortinet в больничке куда я прилёг увидел что у меня свой собственный серт, быстро смастерил похожий на мой домен и пытался мне устроить MitM. Почему то на не самоподписные он такой фигнёй не страдал. Очевидно же: каждый домен должен быть сам себе CA и каждый отдельно должен решать кому он доверяет а кому нет. А насчёт вмешательства в трафик - так надо было эту проблему решать административными способами - бить деньгами по карманам таких провайдеров.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #50

50. Сообщение от Аноним (50), 08-Окт-26, 01:49	+/–
> Изначально я их не юзал вообще, и сейчас для публично доступного я не юзаю https на своих сервисах. Молодец, но есть же сервисы на которые кроме автора люди ходят. > А насчёт вмешательства в трафик - так надо было эту проблему решать административными способами - бить деньгами по карманам таких провайдеров. А, ну канеш. Чтоб ты жил в деревне с 0.5 провайдера который делает что хочет и бил его по карману. > Очевидно же: каждый домен должен быть сам себе CA и каждый отдельно должен решать кому он доверяет а кому нет. Отлично, так как я узнаю заходя на "каждый" домен что сертификат который он мне суёт выпустил именно он, а не fortinet твоей родной больнички?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #61

51. Сообщение от krushik (?), 08-Окт-26, 02:54	+/–
почему идеальных не будет. DANE же есть - достаточно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

52. Сообщение от Аноним (43), 08-Окт-26, 03:56	–1 +/–
Конечно нет, они просто выдали сертификаты левым типам
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45 Ответы: #54

54. Сообщение от Qqq (?), 08-Окт-26, 15:42	+/–
Как раз там все ок, сертификаты выданы корректно в рамках процедуры. DV выдается через проверку контроля над доменом (или сервером, на который ссылается домен через A/AAAA записи). Облажался тут совсем не CA, «бить» его не за что. Сертификаты тоже отозваны
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52

55. Сообщение от Аноним (6), 08-Окт-26, 16:24	+/–
DigiNotar после взлома объявил о банкротстве.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43

56. Сообщение от _ (??), 08-Окт-26, 17:03	+1 +/–
>> При повторном получении сертификата нужно подтвердить владение старым закрытым ключём пожалуй... в дерево Меркла ... > переустановил сервант - протерял всё. Отличненько Таких и не жалко :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

57. Сообщение от Аноним (-), 08-Окт-26, 17:11	+/–
> Ну, вот, проверочки на зелёную полосочку и не хватило. Зато говорят что у Яндекс сегодня - даунтаймы. И чего это вдруг...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

58. Сообщение от Аноним (-), 08-Окт-26, 17:14	+/–
> разумеется оно безопасно, купить косячек, ради такого не станут заморачиваться, но если > там на горизонте замаячит добыча покрупнее, то отследят и сотку баксов > чтобы приехать и детально так все изучить, пока клиент в наручниках > не сопротивляется. При использовании более-менее серьезных миксеров - потом указанная сумма начинает разлетаться по половине глобуса. И можешь изучать там кто с кем связан. Результат будет неутешительный: теория 6 рукопожатий работает. Так что кандидатов на отсидку станет больно уж дофига.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

59. Сообщение от Аноним (-), 08-Окт-26, 17:16	+/–
> Носятся с ним по той же причине, по какой его не запретили > на следующий день после публикации первой статьи Сатоси - это чрезвычайно > удобный инструмент для обезжиривания рядовых хомячков в пользу воротил типа братьев > Винклвос. Воротилы туда пришли сиииильно позже хомячков. А то что часть хомячков лохи и до сих пор волосы рвут что купили ипад за 20 000 битков - сейчас могли бы пару офисов эпла купить, вместе с разработчиками. Но это сделает кто-то менее лохастый. В общем - что у рыбаков называется - "рано подсекли".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

60. Сообщение от Аноним (-), 08-Окт-26, 17:23	+/–
>> нужно подтвердить владение старым закрытым ключём > а если сервер сгорел, а если злодеи его украли и восстановили старый ключ. А этот гражданин - дискредитирцет датацентры России!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

61. Сообщение от Ivan_83 (ok), 08-Окт-26, 17:28	+/–
> Молодец, но есть же сервисы на которые кроме автора люди ходят. Так и мои публично доступны. > А, ну канеш. Чтоб ты жил в деревне с 0.5 провайдера который делает что хочет и бил его по карману. Так бей по лицу. Просто в начале разводите бардак, а потом фигнёй страдаете. > Отлично, так как я узнаю заходя на "каждый" домен что сертификат который он мне суёт выпустил именно он, а не fortinet твоей родной больнички? Выберите кому доверять, добавите их серты. Остальные принять и считать что TLS там нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема