Google تقول إن مهاجمين استغلوا نطاقات .gh و.sl و.as للحصول على شهادات لمواقعها

قالت Google في 6 أكتوبر إن مهاجمين استهدفوا ثلاثة نطاقات عليا لرموز الدول، هي .gh (غانا) و.sl (سيراليون) و.as (ساموا الأمريكية)، وغيّروا سجلات DNS المرجعية لنطاقات مختارة تحتها. وأتاحت السيطرة على هذه السجلات للمهاجمين اجتياز عمليات التحقق الآلية من الملكية التي تجريها سلطات إصدار الشهادات (CA) قبل إصدار أي شهادة، فحصلوا على شهادات HTTPS لعدة نطاقات تابعة لـGoogle. ويستند هذا العرض إلى تقارير Ars Technica وBleepingComputer وThe Hacker News التي تصف منشور Google؛ ولم يطّلع ittechwire على المنشور نفسه.

ووفقًا لتلك التقارير، تقول Google إن أنظمتها لم تُخترق، وإنها لا ترى سببًا للاشتباه في أن سلطات الشهادات المُصدِرة تصرّفت على نحو غير سليم. وحظر Chrome الشهادات الخاصة بنطاقات Google عبر CRLSets، وهي آلية طوارئ لسحب الثقة من شهادات بعينها بسرعة، وعملت Google مع سلطات الشهادات على إلغائها بحيث تشمل الحماية المتصفحات والتطبيقات الأخرى أيضًا. وتقول Google إن سجلات Certificate Transparency (CT) كشفت بعد ذلك عن مزيد من المؤسسات التي ترى أن الحملة نفسها طالتها أيضًا، ومنها «عدة علامات تجارية عالمية رائدة وخدمات إلكترونية واسعة الاستخدام». وحظرت تلك الشهادات في Chrome كذلك وأخطرت أصحابها حيثما أمكن، لكنها لم تسمِّهم ولم تسمِّ نطاقاتها المتضررة.

وتقول The Hacker News إنها بحثت في سجلات CT في 7 أكتوبر وعثرت على 12 شهادة على الأقل صدرت بين 22 و27 سبتمبر وتغطي أسماء Google وYouTube ضمن النطاقات الثلاثة، ومنها google.com.gh وgoogle.sl وgoogle.as. وبحسب إحصائها، تغطي هذه الشهادات سبعة نطاقات؛ أصدرت Let's Encrypt منها 11 وZeroSSL واحدة. وقد سُجّلت في السجلات نطاقًا وطنيًا تلو الآخر: .gh في 22 سبتمبر، و.sl في 25 سبتمبر، و.as في 27 سبتمبر. ويفيد الموقع بأن الشهادات الـ12 كلها أُلغيت بحلول 7 أكتوبر، إذ أُلغيت شهادتا .gh وشهادة ZeroSSL في 26 سبتمبر، والتسع الباقية في 1 أكتوبر. ولم يفحص الموقع سوى مجموعة صغيرة من الأسماء، لذا قد يكون العدد الفعلي أكبر. كما يستشهد الموقع بأحد موظفي Let's Encrypt الذي أكد في منتدى المجتمع التابع لهذه السلطة أن شهادات لـGoogle وYouTube صدرت ثم أُلغيت لاحقًا.

ولا يزال كثير من التفاصيل غير مؤكد. فبحسب The Hacker News، لا يحدد منشور Google هوية المهاجمين، ولا يوضح كيف اختُرقت نطاقات رموز الدول أو ما إذا كانت آمنة الآن، ولا يذكر ما إذا كانت أي شهادة قد استُخدمت فعليًا لانتحال موقع أو التقاط بيانات المستخدمين. وهنا تتباين التقارير: إذ تكتب BleepingComputer، من دون أن تنسب ذلك إلى Google، أن السجلات المعدّلة أتاحت للمهاجم توجيه النطاقات إلى بنيته التحتية الخاصة وانتحال علامات تجارية مشروعة وعرض محتوى من اختياره على الزوار، في حين تشير The Hacker News إلى أن منشور Google يلتزم الصمت بشأن أي إساءة استخدام فعلية. وتقول Ars Technica إنه ليس واضحًا عدد الشهادات غير المصرّح بها الموجودة، ولا ما إذا كانت جميع الشهادات الخاصة بالمؤسسات الأخرى محظورة. كما تصف المواقع نقطة الدخول بصيغ مختلفة: فتقول BleepingComputer إن مشغّلين من أطراف ثالثة تعرّضوا للاختراق، بينما تتحدث Ars Technica عن اختراق ثلاثة سجلات نطاقات. وتحذّر Google نفسها: «لا يمكننا أن نضمن أن تحليلنا حدّد كل نطاق متضرر».

وتقول Google إن مستخدمي Chrome لا يحتاجون إلى اتخاذ أي إجراء، لكنها تطلب من مالكي النطاقات ألّا يعتمدوا على الحظر من جانب المتصفح. وتنصحهم بمراقبة سجلات CT لكل نطاق يملكونه، بما في ذلك النطاقات المركونة، وبنشر سجل Certification Authority Authorization (CAA) مقيِّد. وتشير Google إلى أن مثل هذا السجل لا يمكنه منع الإصدار أثناء اختطاف نشط لـDNS، لكنه قد يمنع المهاجم من إعادة استخدام تحقق سابق ناجح من النطاق للحصول على مزيد من الشهادات بعد أن يستعيد المالك السيطرة. وتضيف The Hacker News أن قواعد سلطات الشهادات تسمح حاليًا بإعادة الاستخدام هذه لمدة تصل إلى 200 يوم، وهي مهلة من المقرر تقليصها إلى 100 يوم اعتبارًا من مارس 2027 وإلى 10 أيام اعتبارًا من مارس 2029، وأن بإمكان أي شخص الإبلاغ عن شهادة لم يطلبها إلى سلطة الشهادات التي أصدرتها.