A Chrome gyorsan blokkolta a jogosulatlan tanúsítványokat, de a DNS-hiba nagyobb kérdést hagyott nyitva
Támadók három országkódos felső szintű domain felett szereztek ellenőrzést, majd több Google-domainhez és más nagy szolgáltatásokhoz is jogosulatlan TLS-tanúsítványokat igényeltek. Az eset azt mutatja, hogy a böngészők gyors védelme fontos, de önmagában nem pótolja a domainrendszer biztonságát.
Támadók a .gh, .sl és .as országkódos felső szintű domainek felett szereztek ellenőrzést, és ezt kihasználva jogosulatlan TLS-tanúsítványokat állíttattak ki több Google-domainhez, valamint más nagy márkák és széles körben használt online szolgáltatások domainjeihez. A Google 2026. október 6-i közleménye szerint a Chrome blokkolta az általa azonosított jogosulatlan tanúsítványokat; az ezek elleni böngészőoldali védelemhez a Chrome használóinak nem kellett külön lépést tenniük.
Az ügy mégsem intézhető el annyival, hogy a böngésző közbelépett. A Google maga figyelmeztetett: a böngészőoldali tiltás gyors vészfék, de nem lehet az egyetlen védekezési vonal. Ez a különbség érdekes kérdést vet fel arról, mennyit várhatunk el a böngészőktől egy olyan hibánál, amely jóval mélyebben, a domainnevek irányításában keletkezett.
Miért számít egy TLS-tanúsítvány?
A TLS-tanúsítvány a titkosított webes kapcsolatok egyik alapvető azonosítója. Digitális aláírással kapcsol össze egy domainnevet – például a google.com-ot – egy nyilvános kulccsal. A hozzá tartozó privát kulcsot elvileg kizárólag az oldal üzemeltetője őrzi; a két kulcs együtt igazolja, hogy a látogató valóban a megfelelő szolgáltatáshoz csatlakozott.
Ha valaki jogosulatlanul szerez ilyen tanúsítványt, kriptográfiailag hitelesnek látszó módon adhatja ki magát az érintett infrastruktúrának. Ez nem azt jelenti, hogy minden látogatót ténylegesen megtévesztettek, és a Google szerint az érintett domain-tulajdonosok infrastruktúráját sem törték fel. A kockázat abból fakadt, hogy a támadók a DNS-rendszerben átmenetileg olyan ellenőrzést szereztek, amellyel teljesíteni tudták a tanúsítvány-igénylés automatikus feltételeit.
Három végződés feletti ellenőrzés nyitotta ki az ajtót
A DNS az internet címjegyzéke: ez fordítja le a beírt neveket a szolgáltatások eléréséhez szükséges hálózati címekre. A támadók a három érintett felső szintű domain névszerver-beállításait és egyes kiválasztott domainek hiteles DNS-rekordjait módosították. Így a tanúsítványkiadók automatizált ellenőrzése számára úgy tűnhetett, hogy valóban ők rendelkeznek az adott domain felett.
A Google hangsúlyozta, hogy a tanúsítványkiadók az előírt folyamatokat követték. Éppen ez teszi tanulságossá az esetet: ha egy automatikus ellenőrzés a DNS-ben látható állapotra támaszkodik, akkor egy magasabb szintű DNS-eltérítés képes félrevezetni azt anélkül, hogy magát a szolgáltató szervereit feltörnék.
A böngésző gyorsasága és a rendszer felelőssége
A Chrome gyors tiltása kézzelfogható előny. A hivatalos tanúsítvány-visszavonás folyamata lassú és körülményes lehet, ezért a böngészőgyártók külön mechanizmusokkal is le tudnak tiltani konkrét, gyanús tanúsítványokat. Ilyen helyzetben ez csökkentheti a felhasználókat érő kockázatot, mielőtt a teljes visszavonási folyamat lezárulna.
Ugyanakkor a Google október 6-i közleménye nem állította, hogy minden érintett domaint vagy minden jogosulatlan tanúsítványt megtaláltak. A vállalat arra is felhívta a figyelmet, hogy a Chrome beavatkozása más böngészők használóit nem feltétlenül védi meg. A korabeli közlésből nem derült ki, mely más szervezetek voltak érintettek, hány jogosulatlan tanúsítvány készült, illetve a Google-domainekhez kapcsolódókon kívül mindet blokkolták-e.
Mit tehetnek a domainüzemeltetők?
A Google azt javasolja a domain-tulajdonosoknak, hogy figyeljék a tanúsítvány-átláthatósági naplókat. Ezek nyilvános nyilvántartások arról, milyen tanúsítványokat adtak ki egy domainhez, ezért segíthetnek észrevenni egy váratlan igénylést. A cég a Certification Authority Authorization DNS-rekordok használatát is ajánlja: ezekkel a domain gazdája korlátozhatja, mely tanúsítványkiadók állíthatnak ki tanúsítványt a nevére.
A két eszköz nem helyettesíti egymást. A böngésző gyorsan enyhítheti az azonosított veszélyt a felhasználó oldalán, a DNS és a tanúsítványkiadás szigorúbb felügyelete viszont azt szolgálja, hogy minél kevesebb gyanús tanúsítvány juthasson el odáig, hogy egyáltalán tiltani kelljen.
Ajánló
Tetszett a cikk? Ezt is olvasd el
Közös tulajdonba kerültek a stúdiók. A magyar előfizetőket érintő változásokról külön döntések szükségesek.
A Wild Pets programja képzéssel és felszereléssel vonna be 8–13 éves gyerekeket a törpeegerek szaporításába. A kezdeményezés már látott biztató eredményt egy természetvédelmi területen, de felveti, mennyire vihető az állatvédelem a családi otthonokba.
A vizsgált 2878 agresszív találkozás 62,6%-ában vapiti szerepelt. Az adat a bejelentett esetek megoszlását mutatja, nem egy túra során bekövetkező támadás esélyét.