Почему HTTPS не всегда защищает от подмены сайта?

Почему HTTPS не гарантирует, что сайт настоящий

HTTPS делает три вещи: шифрует соединение, проверяет, что сервер владеет закрытым ключом сертификата, и подтверждает, что сертификат выдан центром сертификации (CA) для этого доменного имени. Но CA проверяет только то, что заявитель в момент выдачи контролировал домен, например через DNS-запись или файл на сервере. Он не проверяет, что это владелец бренда или что сайт безопасен.

Поэтому фишинговые сайты тоже часто получают бесплатные сертификаты, например от Let's Encrypt, и в адресной строке у них есть замок.

Как возможен захват доменов

Если злоумышленник получает контроль над DNS-зоной домена верхнего уровня или над реестром, он может:

1. Изменить DNS-записи чужих доменов в этой зоне.
2. Пройти проверку домена у CA, так как CA смотрит на DNS и видит «правильные» ответы.
3. Получить валидный сертификат для чужого домена.
4. Перенаправить пользователей на свой сервер, и браузер не покажет ошибки.

Конкретные детали инцидента с .gh, .sl и .as я не могу проверить по ссылке. Точные меры Chrome лучше уточнить в самом материале Google. Обычно в таких случаях браузер опирается на журналы Certificate Transparency, где публично видны все выданные сертификаты, и может ограничивать доверие к сертификатам, выданным подозрительно.

Что подтверждает замок в Chrome

• Соединение зашифровано.
• Сертификат выдан для этого имени домена и действителен.
• Сайт контролирует тот, кто получил сертификат.

Замок не подтверждает, что это тот сайт, который вам нужен, что организация честная или что сайт не выдаёт себя за другого.

Нужно ли обычному пользователю Chrome что-то делать

Обычно достаточно нескольких простых действий:

• Обновляйте Chrome. Исправления по доверию к сертификатам и защите от подмены приходят именно через обновления.
• Не игнорируйте предупреждения о сертификатах. Если Chrome пишет, что сертификат недоверенный или не совпадает с именем, не продолжайте.
• Проверяйте адрес. Внимательно смотрите на доменное имя, особенно при входе в банк, почту и госсервисы.
• Заходите на важные сайты по закладкам или введя адрес вручную, а не переходя по ссылкам из писем и мессенджеров.
• Включите защиту от фишинга. В настройках Chrome откройте «Конфиденциальность и безопасность» и выберите «Расширенная защита» (Enhanced Safe Browsing).
• Используйте двухфакторную аутентификацию или passkeys. Даже при подмене сайта украсть пароль будет сложнее.

Для большинства пользователей это значит: ничего экстренного делать не нужно, но важно обновлять браузер и не доверять замку как признаку безопасности самого сайта.

Как это стало возможно

HTTPS защищает канал (шифрование, целостность, подлинность сервера), но доверие к сертификату опирается на цепочку выдачи, а не на сам факт наличия сертификата.

• Ключевой момент: CA/Browser Forum требует подтверждения контроля над доменом (DNS или HTTP-челлендж). Если злоумышленник захватывает DNS-реестр зоны (ccTLD), он может подставить свои NS-записи и корректно ответить на любой челлендж — Let's Encrypt, Google Trust Services и другие CA формально видят «владелец домена подтвердил контроль».
• Браузер не отличает «легитимный выпуск» от «выпуска на основе украденного DNS»: сертификат валиден, цепочка до корневого CA доверенная, зелёный замок — всё «как надо».
• То есть уязвимость не в TLS, а в модели доверия к DNS и реестрам зон. Тот же принцип лежит в основе подмены через BGP-хайджекинг: пакеты идут не туда, а сертификат — настоящий.

Что подтверждает замок в браузере

Только то, что:

1. Сертификат выдан доверенным CA и действителен для этого домена.
2. Соединение зашифровано и данные не изменены по пути.
3. Вы говорите с тем сервером, у которого есть приватный ключ.

Он не подтверждает, что домен принадлежит тому, кому вы думаете, и что DNS-реестр не скомпрометирован.

Что делать обычному пользователю Chrome

• Ничего. Google выпустил обновление, которое блокирует новые сертификаты, выпущенные на основе скомпрометированных реестров, и отозвал/отслеживает уже выданные. Это делается на стороне Chrome, обновление приходит автоматически.
• Обновите Chrome вручную, если автообновление отключено — это единственное действие, которое имеет смысл.
• Дополнительно: включите DNS over HTTPS (Chrome → Настройки → Конфиденциальность и безопасность → Использовать защищённый DNS), чтобы ваш обычный DNS-провайдер не мог подменять разрешения. Но учтите: это не спасает от захвата реестра зоны — оно защищает от другого вектора.

Если вы администратор

• Включите CAA-записи в зоне — они ограничивают, какие CA вправе выдавать сертификаты для вашего домена (например, только letsencrypt.org).
• Следите за DNSSEC и за тем, кто реестратор вашего домена.
• Рассмотрите Certificate Transparency-мониторинг (например, certstream или Google CT) — он покажет, если для вашего домена выпущен неожиданный сертификат.

HTTPS защищает соединение с узлом, который предъявил подходящий сертификат, но не гарантирует, что этот узел — настоящий владелец сайта или что сам сайт безопасен.

При захвате DNS злоумышленник может направить запросы к чужому домену на свой сервер. Если он также докажет центру сертификации контроль над доменом — например, ответит на проверочный запрос через DNS или сайт, — центр может выдать ему сертификат. Для центра это подтверждение контроля над доменом в момент проверки, а не проверка личности владельца бизнеса. Поэтому браузер может установить зашифрованное соединение и не показать предупреждение, хотя страницу отдаёт злоумышленник.

Сертификат по сути подтверждает, что:

• соединение зашифровано и данные не меняются по пути;
• сервер предъявил сертификат для запрошенного домена, которому браузер доверяет.

Он не подтверждает, что сайт честный, а домен не захвачен. Прозрачность сертификатов помогает обнаруживать подозрительные выдачи, но не всегда предотвращает их.

Обычному пользователю Chrome после этой новости обычно ничего делать не нужно. Обновляйте браузер, не обходите предупреждения о сертификате и не вводите пароли на страницах, пришедших по неожиданным ссылкам. Если вы не администрируете затронутый домен, специальных настроек или ручной замены сертификатов от вас не требуется.