Secuestran tres dominios de país y obtienen certificados válidos para webs de Google

Qué ha pasado

Google ha explicado que unos atacantes lograron controlar el DNS de tres dominios de país: .gh (Ghana), .sl (Sierra Leona) y .as (Samoa Americana). No entraron en los sistemas de Google, sino en los de empresas externas que gestionan esas extensiones. Desde ahí cambiaron los registros DNS de máxima autoridad y apuntaron dominios a servidores propios.

Con ese control consiguieron algo muy valioso: certificados HTTPS válidos para varios dominios de Google bajo esas extensiones y también para otros de grandes marcas y servicios conocidos, que no se han hecho públicos. Las autoridades de certificación comprueban que quien pide un certificado controla el dominio, normalmente con un registro DNS, y los atacantes superaron esa prueba porque, en ese momento, el DNS lo manejaban ellos. Google cree que las autoridades emisoras actuaron correctamente.

El equipo de Chrome publicó el aviso el 6 de octubre y BleepingComputer lo recogió el 7. Chrome ha bloqueado esos certificados, Google ha pedido su revocación a quienes los emitieron y ha avisado a las organizaciones afectadas que ha podido localizar mirando los registros públicos de certificados. Aun así, reconoce que puede haber dominios que no haya detectado. No se sabe quién está detrás ni cómo se comprometieron los operadores.

Por qué le importa a tu empresa

Es muy probable que tu web no use ninguna de esas tres extensiones, así que no hay motivo para alarmarse. Pero el caso enseña algo que vale para cualquier pyme: quien controla el DNS de un dominio puede montar una copia de tu web con candado verde y certificado en regla. Para el visitante, sería indistinguible de la auténtica.

En una empresa pequeña, ese control suele estar en una cuenta del registrador abierta hace años, a veces a nombre de un antiguo proveedor y con una contraseña que nadie recuerda. Si alguien entra ahí, puede desviar la web y el correo sin tocar tu servidor.

Mi opinión

Llevamos años repitiendo que hay que mirar el candado antes de introducir datos, y sigue siendo útil, pero este caso recuerda que el candado solo dice que la conexión va cifrada hacia quien controla el dominio en ese momento. No garantiza que ese alguien seas tú.

La buena noticia es que las defensas son baratas. Hay registros públicos donde aparece cada certificado que se emite y se pueden vigilar con alertas gratuitas, y existe un registro DNS llamado CAA que limita quién puede emitir certificados para tu dominio. No lo frenan todo durante un secuestro activo, pero acortan el daño y te avisan pronto. En XEVIA incluimos el estado del dominio y del DNS en cada revisión, porque es la parte que casi nadie mira.

Qué hacer hoy

• Comprueba a nombre de quién está tu dominio y quién tiene acceso a la cuenta del registrador; actívale el doble factor.
• Busca tu dominio en un buscador de Certificate Transparency y revisa que todos los certificados emitidos los pediste tú.
• Configura una alerta gratuita que te avise cuando se emita un certificado nuevo para tus dominios.
• Pide a tu proveedor que publique un registro CAA que permita emitir certificados solo a la autoridad que usáis.
• No olvides los dominios aparcados o de otros países: también conviene vigilarlos.