Google می‌گوید مهاجمان با سوءاستفاده از دامنه‌های .gh، .sl و .as برای سایت‌هایش گواهی گرفتند

Google روز 6 اکتبر اعلام کرد که مهاجمان سه دامنه سطح بالای کد کشوری، یعنی .gh (غنا)، .sl (سیرالئون) و .as (ساموآی آمریکا) را هدف گرفتند و رکوردهای DNS معتبر (authoritative) برخی از دامنه‌های زیرمجموعه آن‌ها را تغییر دادند. کنترل این رکوردها به مهاجمان امکان داد از بررسی‌های خودکار مالکیت که مراکز صدور گواهی (CA) پیش از صدور گواهی انجام می‌دهند عبور کنند، و آن‌ها برای چند دامنه Google گواهی HTTPS به دست آوردند. این شرح بر پایه گزارش‌های Ars Technica، BleepingComputer و The Hacker News است که پست Google را توصیف کرده‌اند؛ ittechwire خود این پست را بررسی نکرده است.

به گفته این گزارش‌ها، Google می‌گوید سیستم‌های خودش به خطر نیفتاده‌اند و دلیلی نمی‌بیند که به رفتار نادرست CAهای صادرکننده مشکوک باشد. Chrome گواهی‌های مربوط به دامنه‌های Google را از طریق CRLSets مسدود کرد؛ سازوکاری اضطراری برای سلب سریع اعتماد از گواهی‌های مشخص. Google همچنین با CAها همکاری کرد تا این گواهی‌ها باطل شوند و مرورگرها و برنامه‌های دیگر نیز تحت پوشش قرار گیرند. Google می‌گوید سپس لاگ‌های شفافیت گواهی (Certificate Transparency یا CT) سازمان‌های دیگری را آشکار کردند که به نظر آن، همین کارزار آن‌ها را نیز تحت تأثیر قرار داده بود، از جمله «چند برند پیشرو جهانی و سرویس‌های آنلاین پرکاربرد». Google این گواهی‌ها را نیز در Chrome مسدود کرد و در صورت امکان به مالکان اطلاع داد، اما نه نام آن‌ها را اعلام کرده و نه دامنه‌های آسیب‌دیده خودش را.

The Hacker News می‌گوید روز 7 اکتبر لاگ‌های CT را جست‌وجو کرده و دست‌کم 12 گواهی یافته است که بین 22 تا 27 سپتامبر صادر شده‌اند و نام‌های Google و YouTube را در این سه دامنه پوشش می‌دهند، از جمله google.com.gh، google.sl و google.as. طبق شمارش این رسانه، این گواهی‌ها هفت دامنه را پوشش می‌دهند؛ Let's Encrypt تعداد 11 گواهی و ZeroSSL یک گواهی صادر کرده است. این گواهی‌ها هر بار برای یک دامنه کشوری ثبت شدند: .gh در 22 سپتامبر، .sl در 25 سپتامبر و .as در 27 سپتامبر. به گزارش این رسانه، هر 12 گواهی تا 7 اکتبر باطل شده بودند؛ دو گواهی .gh و گواهی ZeroSSL در 26 سپتامبر و نُه گواهی باقی‌مانده در 1 اکتبر. این رسانه تنها مجموعه کوچکی از نام‌ها را بررسی کرده است، بنابراین شمار واقعی ممکن است بیشتر باشد. این رسانه همچنین به یکی از کارکنان Let's Encrypt استناد می‌کند که در انجمن کاربران این CA تأیید کرده است گواهی‌هایی برای Google و YouTube صادر و بعداً باطل شده‌اند.

بسیاری از جزئیات هنوز تأیید نشده است. به گفته The Hacker News، پست Google مهاجمان را معرفی نمی‌کند، توضیح نمی‌دهد که دامنه‌های کد کشوری چگونه به خطر افتادند یا آیا اکنون امن هستند، و نمی‌گوید که آیا از گواهی‌ای واقعاً برای جعل هویت یک سایت یا به دست آوردن داده‌های کاربران استفاده شده است یا نه. در این نقطه گزارش‌ها با هم تفاوت دارند: BleepingComputer بدون انتساب این مطلب به Google می‌نویسد که رکوردهای تغییریافته به مهاجم امکان داد دامنه‌ها را به زیرساخت خودش هدایت کند، خود را به جای برندهای مشروع جا بزند و محتوای دلخواهش را به بازدیدکنندگان ارائه دهد، در حالی که The Hacker News خاطرنشان می‌کند پست Google درباره هرگونه سوءاستفاده واقعی سکوت کرده است. Ars Technica می‌گوید روشن نیست چند گواهی غیرمجاز وجود دارد یا آیا همه گواهی‌های مربوط به سازمان‌های دیگر مسدود شده‌اند. این رسانه‌ها نقطه ورود را نیز به شکل متفاوتی بیان می‌کنند: BleepingComputer می‌گوید اپراتورهای شخص ثالث به خطر افتادند، و Ars Technica از نفوذ به سه رجیستری دامنه سخن می‌گوید. خود Google هشدار می‌دهد: «نمی‌توانیم تضمین کنیم که تحلیل ما همه دامنه‌های آسیب‌دیده را شناسایی کرده باشد».

Google می‌گوید کاربران Chrome لازم نیست اقدامی انجام دهند، اما به مالکان دامنه‌ها می‌گوید به مسدودسازی در سمت مرورگر تکیه نکنند. Google به آن‌ها توصیه می‌کند لاگ‌های CT را برای همه دامنه‌هایی که در اختیار دارند، از جمله دامنه‌های پارک‌شده، پایش کنند و یک رکورد محدودکننده CAA (Certification Authority Authorization) منتشر کنند. به گفته Google، چنین رکوردی نمی‌تواند در جریان یک ربایش فعال DNS از صدور گواهی جلوگیری کند، اما می‌تواند مانع شود که مهاجم پس از بازپس‌گیری کنترل توسط مالک، با استفاده مجدد از یک بررسی موفق قبلی دامنه، گواهی‌های بیشتری بگیرد. The Hacker News می‌افزاید که قواعد CAها در حال حاضر چنین استفاده مجددی را تا 200 روز مجاز می‌دانند؛ بازه‌ای که قرار است از مارس 2027 به 100 روز و از مارس 2029 به 10 روز کاهش یابد، و اینکه هر کسی می‌تواند گواهی‌ای را که درخواست نکرده است به CA صادرکننده آن گزارش دهد.