شرکت گوگل اعلام کرد که تعدادی از دامنه‌های این شرکت در پی یک حمله ربایش (Hijack) در سطح دامنه‌های سطح بالای کشوری (ccTLD) شخص ثالث، مورد تأثیر قرار گرفته‌اند.
جزئیات حادثه
این اتفاق هفته گذشته رخ داده و دامنه‌های سطح بالای .gh (غنا)، .sl (سیرالئون) و .as (ساموآ آمریکایی) را هدف قرار داده است. این حمله باعث شد تمامی دامنه‌هایی که از این پسوندهای کشوری استفاده می‌کنند، در معرض خطر قرار گیرند.
گوگل در این باره توضیح داد: «در جریان این حملات، مهاجمان رکوردهای DNS معتبر (Authoritative DNS) را تغییر داده و موفق شدند گواهینامه‌های HTTPS غیرمجازی را برای چندین دامنه گوگل و همچنین دامنه‌های متعلق به سازمان‌های دیگر دریافت کنند.»
پاسخ گوگل و اقدامات اصلاحی
بر اساس گزارش گوگل، مراکز صدور گواهینامه (CAs) به دلیل ماهیت این حملات، مقصر در صدور این گواهینامه‌ها نیستند. گوگل بلافاصله پس از شناسایی حادثه، گواهینامه‌های غیرمجاز مربوط به دامنه‌های خود را در مرورگر Chrome مسدود کرد و برای ابطال (Revoke) آن‌ها با CAs مربوطه همکاری نمود.
تحلیل داده‌های لاگ شفافیت گواهینامه (Certificate Transparency یا CT) نشان داد که سازمان‌های متعدد دیگر، از جمله برندهای جهانی و سرویس‌های آنلاین محبوب نیز تحت تأثیر این حمله قرار گرفته‌اند. گوگل برای محافظت از کاربران این سایت‌ها، گواهینامه‌های آن‌ها را نیز به صورت پیش‌دستانه در Chrome مسدود کرده و در صورت امکان، سازمان‌های آسیب‌دیده را مطلع ساخته است.
توصیه‌های امنیتی برای مدیران دامنه‌ها
گوگل هشدار داده است که علی‌رغم اقدامات انجام شده، ممکن است برخی دامنه‌ها همچنان تحت تأثیر باشند. به همین دلیل، توصیه‌های زیر را به مالکان دامنه‌ها (به‌ویژه دامنه‌های .gh، .sl و .as) ارائه کرده است:
- مانیتورینگ لاگ‌های CT: بررسی مداوم لاگ‌های Certificate Transparency برای شناسایی هرگونه صدور گواهینامه غیرمجاز.
- استفاده از رکوردهای CAA: انتشار رکوردهای DNS محدودکننده CAA (Certification Authority Authorization) برای تضمین امنیت پس از بازیابی کنترل DNS.
گوگل تأکید می‌کند که از آنجایی که CAs مجاز هستند نتایج بررسی‌های اعتبارسنجی کنترل دامنه (DCV) را برای صدورهای بعدی کش (Cache) کنند، بازگرداندن یک سیاست CAA سخت‌گیرانه (که صدور گواهینامه را تنها به حساب‌های مجاز و روش‌های اعتبارسنجی خاص محدود می‌کند) از امکان استفاده مهاجم از وضعیت اعتبارسنجی کش‌شده برای ایجاد گواهینامه‌های جدید پس از پایان حمله جلوگیری می‌کند.
