در رویدادی امنیتی که در اواخر سال ۱۴۰۳ شمسی مورد توجه تحلیلگران قرار گرفت، مهاجمان سایبری با بهره‌برداری از نقاط ضعف در پروتکل‌های مدیریت DNS و نفوذ به دیتابیس‌های شرکت‌های شخص‌ثالث ثبت‌کننده دامنه‌های سطح‌بالای کشوری (ccTLD)، موفق به بازنشانی رکوردهای مرجع و دریافت گواهی‌های HTTPS غیرمجاز برای دامنه‌های حساس گوگل شدند. این رخداد بار دیگر آسیب‌پذیری زنجیره تأمین در مدیریت زیرساخت‌های اینترنت جهانی را برجسته کرد.
معماری حمله و نفوذ به سلسله‌مراتب DNS
هسته اصلی این حمله، نه خودِ زیرساخت گوگل، بلکه شرکت‌های واسط مسئول مدیریت دامنه‌های سطح‌بالای کشوری (ccTLD) در کشورهایی نظیر غنا (.gh)، ساموآی آمریکا (.as) و سیرالئون (.sl) بوده است. مهاجمان با دسترسی غیرمجاز به پنل‌های مدیریتی این ثبت‌کننده‌ها (Registrars)، توانستند «رکوردهای اقتدار» یا Authoritative DNS Records را تغییر دهند. در معماری DNS، وقتی رکوردهای یک دامنه در سطح سرورهای ریشه (Root) و دامنه‌های سطح‌بالا (TLD) دستکاری شود، ترافیک وب به‌صورت شفاف به سمت سرورهای مخرب (مهاجم) هدایت می‌شود (DNS Hijacking).
صدور غیرمجاز گواهی‌های TLS/SSL
یکی از پیامدهای خطرناک این نفوذ، توانایی مهاجمان برای عبور از سد امنیتی HTTPS بود. با کنترل کامل بر رکوردهای DNS دامنه، مهاجمان توانستند فرایند اعتبارسنجی چالش‌های صدور گواهی (مانند HTTP-01 Challenge در Let’s Encrypt یا سایر مراجع صدور) را با موفقیت پشت سر بگذارند. این کار به آن‌ها اجازه داد تا گواهی‌های معتبر TLS برای دامنه‌های گوگل دریافت کنند و به حملات قدرتمند Man-in-the-Middle (MitM) دست بزنند. در چنین شرایطی، مرورگر کاربر، وب‌سایت مهاجم را به عنوان وب‌سایت اصلی گوگل شناسایی کرده و هیچ هشدار امنیتی نمایش نمی‌دهد.
تحلیل زنجیره تأمین و ریسک‌های سیستماتیک
مشخصات فنی و ابعاد حادثه:
- نوع حمله: نفوذ به ثبت‌کننده (Registrar Compromise) و DNS Hijacking
- دامنه‌های تحت تأثیر: دامنه‌های ccTLD شامل .gh، .as و .sl
- پیامد امنیتی: دریافت گواهی HTTPS غیرمجاز و امکان شنود داده‌های کاربری
- هدف: دور زدن سیاست‌های HSTS و اعتبار سنجی گواهینامه‌ها
این رخداد نشان می‌دهد که حتی شرکت‌های بزرگ فناوری نیز در برابر ضعف‌های امنیتی شرکای تجاری و زیرساخت‌های ملی کوچک‌تر آسیب‌پذیر هستند. مهاجمان با استفاده از ابزارهای اتوماسیون DNS، به محض نفوذ به پنل مدیریتی، رکوردهای MX و A را تغییر دادند تا علاوه بر ترافیک وب، جریان ایمیل‌های ورودی به دامنه‌های مورد نظر را نیز تحت کنترل بگیرند. استفاده از متدهای ICANN برای مدیریت استاندارد دامنه‌ها در این مورد خاص نتوانست مانع از سوءاستفاده‌های سطح بالا در دیتابیس‌های محلی شود.
نتیجه‌گیری و راهکارهای پیشگیرانه
برای جلوگیری از چنین حملاتی، استفاده از قابلیت DNSSEC (امنیت سیستم نام دامنه) به عنوان یک ضرورت مطرح می‌شود. با پیاده‌سازی DNSSEC، امضاهای رمزنگاری شده برای رکوردهای DNS تولید می‌شوند که از تغییرات غیرمجاز توسط عوامل میانی جلوگیری می‌کند. مدیران شبکه باید علاوه بر نظارت بر دامنه خود، به‌طور مستمر از وضعیت امنیتی شرکت‌های ثبت‌کننده (Registrars) و پروتکل‌های احراز هویت دو مرحله‌ای (2FA) در پنل‌های مدیریت DNS اطمینان حاصل کنند.
