Google বলছে, হামলাকারীরা .gh, .sl ও .as ডোমেইনের অপব্যবহার করে তার সাইটগুলোর সার্টিফিকেট পেয়েছে

Google 6 অক্টোবর জানায় যে হামলাকারীরা তিনটি কান্ট্রি-কোড টপ-লেভেল ডোমেইন, .gh (ঘানা), .sl (সিয়েরা লিওন) ও .as (আমেরিকান সামোয়া), লক্ষ্য করে এবং সেগুলোর অধীনে নির্বাচিত ডোমেইনের অথরিটেটিভ (authoritative) DNS রেকর্ড পরিবর্তন করে। এই রেকর্ডগুলোর নিয়ন্ত্রণ পাওয়ায় হামলাকারীরা সার্টিফিকেট অথরিটি (CA) সার্টিফিকেট ইস্যুর আগে যে স্বয়ংক্রিয় মালিকানা যাচাই চালায় তা পার হয়ে যায়, এবং তারা Google-এর একাধিক ডোমেইনের জন্য HTTPS সার্টিফিকেট পায়। এই বিবরণ Google-এর পোস্টের বর্ণনা দেওয়া Ars Technica, BleepingComputer ও The Hacker News-এর প্রতিবেদনের ওপর ভিত্তি করে; ittechwire নিজে পোস্টটি পর্যালোচনা করেনি।

ওই প্রতিবেদনগুলো অনুযায়ী, Google বলছে তার নিজের সিস্টেম আপস হয়নি, এবং ইস্যুকারী CA-গুলো অনুচিত আচরণ করেছে বলে সন্দেহ করার কোনো কারণ সে দেখছে না। Chrome CRLSets-এর মাধ্যমে Google-এর ডোমেইনগুলোর সার্টিফিকেট ব্লক করেছে, যা নির্দিষ্ট সার্টিফিকেটের ওপর থেকে দ্রুত আস্থা প্রত্যাহারের একটি জরুরি ব্যবস্থা, এবং Google CA-গুলোর সঙ্গে কাজ করে সেগুলো বাতিল করিয়েছে যাতে অন্যান্য ব্রাউজার ও অ্যাপও সুরক্ষিত থাকে। Google বলছে, এরপর সার্টিফিকেট ট্রান্সপারেন্সি (Certificate Transparency, CT) লগ থেকে আরও এমন প্রতিষ্ঠানের খোঁজ মেলে, যেগুলো তার মতে একই অভিযানের শিকার হয়েছে, যার মধ্যে রয়েছে “কয়েকটি শীর্ষস্থানীয় বৈশ্বিক ব্র্যান্ড ও বহুল ব্যবহৃত অনলাইন পরিষেবা”। সে এই সার্টিফিকেটগুলোও Chrome-এ ব্লক করেছে এবং যেখানে সম্ভব মালিকদের জানিয়েছে, কিন্তু সে তাদের নাম প্রকাশ করেনি, নিজের ক্ষতিগ্রস্ত ডোমেইনগুলোর নামও নয়।

The Hacker News বলছে, সে 7 অক্টোবর CT লগ অনুসন্ধান করে অন্তত 12টি সার্টিফিকেট পেয়েছে, যা 22 থেকে 27 সেপ্টেম্বরের মধ্যে ইস্যু হয়েছে এবং তিনটি ডোমেইনে Google ও YouTube-এর নাম কভার করে, যার মধ্যে রয়েছে google.com.gh, google.sl ও google.as। তার হিসাবে এগুলো সাতটি ডোমেইন কভার করে; Let's Encrypt 11টি এবং ZeroSSL একটি ইস্যু করেছে। এগুলো একবারে একটি করে কান্ট্রি ডোমেইন ধরে লগ করা হয়েছিল: .gh 22 সেপ্টেম্বর, .sl 25 সেপ্টেম্বর এবং .as 27 সেপ্টেম্বর। সংবাদমাধ্যমটির প্রতিবেদন অনুযায়ী, 7 অক্টোবরের মধ্যে সব 12টি সার্টিফিকেট বাতিল হয়ে গিয়েছিল; .gh-এর দুটি এবং ZeroSSL-এরটি 26 সেপ্টেম্বর, আর বাকি নয়টি 1 অক্টোবর। সে কেবল নামের একটি ছোট সেট দেখেছে, তাই প্রকৃত সংখ্যা আরও বেশি হতে পারে। সংবাদমাধ্যমটি Let's Encrypt-এর একজন কর্মীর বক্তব্যও উদ্ধৃত করেছে, যিনি ওই CA-এর কমিউনিটি ফোরামে নিশ্চিত করেছেন যে Google ও YouTube-এর জন্য সার্টিফিকেট ইস্যু হয়েছিল এবং পরে বাতিল করা হয়েছে।

অনেক কিছুই এখনও অনিশ্চিত। The Hacker News-এর মতে, Google-এর পোস্টে হামলাকারীদের পরিচয় দেওয়া হয়নি, কান্ট্রি-কোড ডোমেইনগুলো কীভাবে আপস হয়েছে বা সেগুলো এখন সুরক্ষিত কি না তা ব্যাখ্যা করা হয়নি, এবং কোনো সার্টিফিকেট আসলেই কোনো সাইটের ছদ্মবেশ ধারণ বা ব্যবহারকারীর ডেটা হাতানোর কাজে ব্যবহৃত হয়েছে কি না তাও বলা হয়নি। এখানে প্রতিবেদনগুলোর মধ্যে পার্থক্য রয়েছে: BleepingComputer, Google-এর উদ্ধৃতি না দিয়েই, লিখেছে যে পরিবর্তিত রেকর্ডগুলো হামলাকারীকে ডোমেইনগুলো নিজের অবকাঠামোর দিকে ঘুরিয়ে দিতে, বৈধ ব্র্যান্ডের ছদ্মবেশ ধরতে এবং দর্শকদের নিজের পছন্দমতো কনটেন্ট দেখাতে সক্ষম করেছে, অন্যদিকে The Hacker News উল্লেখ করেছে যে প্রকৃত অপব্যবহার নিয়ে Google-এর পোস্ট নীরব। Ars Technica বলছে, কতগুলো অননুমোদিত সার্টিফিকেট আছে বা অন্যান্য প্রতিষ্ঠানের সবগুলো সার্টিফিকেট ব্লক হয়েছে কি না, তা স্পষ্ট নয়। সংবাদমাধ্যমগুলো প্রবেশপথও ভিন্নভাবে বর্ণনা করেছে: BleepingComputer বলছে তৃতীয় পক্ষের অপারেটররা আপস হয়েছে, আর Ars Technica তিনটি ডোমেইন রেজিস্ট্রিতে আপসের কথা বলছে। Google নিজেই সতর্ক করছে: “আমরা নিশ্চয়তা দিতে পারি না যে আমাদের বিশ্লেষণ প্রতিটি ক্ষতিগ্রস্ত ডোমেইন শনাক্ত করেছে”।

Google বলছে, Chrome ব্যবহারকারীদের কোনো পদক্ষেপ নেওয়ার প্রয়োজন নেই, তবে সে ডোমেইন মালিকদের ব্রাউজার-পর্যায়ের ব্লকিংয়ের ওপর নির্ভর না করতে বলছে। সে তাদের পরামর্শ দিচ্ছে নিজেদের প্রতিটি ডোমেইনের, পার্ক করা ডোমেইনসহ, CT লগ পর্যবেক্ষণ করতে এবং একটি সীমাবদ্ধকারী Certification Authority Authorization (CAA) রেকর্ড প্রকাশ করতে। Google উল্লেখ করেছে, এমন রেকর্ড সক্রিয় DNS হাইজ্যাকের সময় সার্টিফিকেট ইস্যু ঠেকাতে পারে না, তবে মালিক নিয়ন্ত্রণ ফিরে পাওয়ার পর হামলাকারী যাতে আগের কোনো সফল ডোমেইন যাচাই পুনরায় ব্যবহার করে আরও সার্টিফিকেট নিতে না পারে, তা ঠেকাতে পারে। The Hacker News আরও জানিয়েছে যে CA-এর নিয়ম বর্তমানে এমন পুনর্ব্যবহারের অনুমতি দেয় 200 দিন পর্যন্ত, এই সময়সীমা মার্চ 2027 থেকে 100 দিনে এবং মার্চ 2029 থেকে 10 দিনে নামিয়ে আনার পরিকল্পনা রয়েছে, এবং যে কেউ অনুরোধ ছাড়া ইস্যু হওয়া কোনো সার্টিফিকেটের কথা সেটি ইস্যুকারী CA-কে জানাতে পারে।