I registri DNS diventano il punto debole della fiducia web
Google ha detto martedì che il compromesso di tre registri ccTLD — .gh, .sl e .as — ha permesso ad attaccanti di ottenere certificati TLS non autorizzati per domini Google e altri servizi molto usati. Il blocco non riguarda il sito, ma la radice della fiducia: se il registro o il DNS vengono alterati, un certificato può sembrare valido anche quando non lo è.
Gli attaccanti hanno modificato i record DNS dei domini scelti e usato quella posizione per superare i controlli di proprietà richiesti da una certificate authority. Una volta ingannata la CA, hanno fatto emettere certificati che i browser avrebbero normalmente accettato come legittimi, pur senza possedere la chiave privata del servizio.
Google ha aggiornato Chrome per bloccare i certificati già identificati come falsi e ha avvisato che non può essere certo di averli trovati tutti. Per chi gestisce domini, DNS e PKI, il punto non è solo il server esposto: un guasto nel controllo del dominio può produrre impersonificazione valida ai controlli del browser.