عاملان تهدید با نفوذ به سه رگیستری دامنه سطح بالای ملی (ccTLD)، موفق شدند گواهینامه‌های HTTPS غیرمجاز برای چندین دامنه متعلق به گوگل و سازمان‌های دیگر دریافت کنند.
جزئیات عملیات هایجک
طبق گزارش تیم شبکه و وب امن گوگل کروم در تاریخ ۶ اکتبر، این حادثه مربوط به فضای نام‌های .gh (غنا)، .sl (سیرالئون) و .as (ساموآی آمریکایی) است. مهاجمان با تغییر رکوردهای DNS معتبر (Authoritative DNS) در جریان این عملیات هایجک (Hijack)، تمامی دامنه‌های زیرمجموعه این سه ccTLD را در معرض خطر قرار دادند.
گوگل تأکید کرده است که این حادثه نتیجه نفوذ به سیستم‌های داخلی این شرکت نبوده و شواهدی مبنی بر تخلف یا ضعف در عملکرد مراجع صدور گواهینامه (CAs) وجود ندارد؛ بلکه مهاجمان از طریق کنترل DNS، فرآیند تأیید مالکیت دامنه را دور زده‌اند.
پاسخ فنی و اقدامات اصلاحی
مرورگر کروم برای مقابله با این تهدید، گواهینامه‌های غیرمجاز مربوط به دارایی‌های گوگل را از طریق CRLSets (مکانیزمی برای مسدودسازی سریع گواهینامه‌ها در شرایط اضطراری) مسدود کرد. همچنین گوگل با همکاری CAs صادرکننده، اقدام به ابطال (Revoke) این گواهینامه‌ها کرد تا کاربران سایر مرورگرها نیز محافظت شوند.
بررسی لاگ‌های شفافیت گواهینامه (CT logs) نشان داد که علاوه بر گوگل، چندین برند جهانی پیشرو و سرویس‌های آنلاین پرکاربرد نیز هدف این حمله قرار گرفته‌اند. گوگل این گواهینامه‌ها را به‌صورت پیش‌دستانه در کروم مسدود کرده و با سازمان‌های متضرر تماس گرفته است.
ریسک‌های زیرساختی و توصیه‌ها
این حادثه نشان می‌دهد که نفوذ به زیرساخت DNS می‌تواند بدون نیاز به دسترسی مستقیم به سرورهای وب، اعتماد HTTPS را تخریب کند. با کنترل رکوردهای DNS، مهاجمان می‌توانند در فرآیند Domain-Control Validation دخالت کرده و گواهینامه‌های معتبر دریافت کنند.
برای کاهش این ریسک‌ها، توصیه‌های فنی زیر ارائه شده است:
- مانیتورینگ مستمر: مالکان دامنه‌ها باید به‌طور مداوم CT logs را برای تمامی پورتفولیوهای خود، به‌ویژه دامنه‌های پارک شده یا دامنه‌های منطقه‌ای (ccTLD)، بررسی کنند.
- استفاده از رکوردهای CAA: پیاده‌سازی رکوردهای Certification Authority Authorization (CAA) همراه با ACME account bindings توصیه می‌شود. اگرچه CAA نمی‌تواند جلوی صدور گواهینامه در حین یک هایجک فعال DNS را بگیرد، اما بازگرداندن سیاست‌های سخت‌گیرانه پس از حادثه، مانع از استفاده مجدد مهاجمان از اعتبارهای کش‌شده (Cached) برای دریافت گواهینامه‌های جدید می‌شود.
