در بحبوحه پاییز ۱۴۰۵، گزارش‌های امنیتی حاکی از یک حمله‌ی سایبری پیچیده است که طی آن مهاجمان با سوءاستفاده از نقاط ضعف در مدیریت دامنه‌های سطح‌بالای کشوری (.gh، .sl، .as)، توانسته‌اند رکوردهای DNS را دستکاری کرده و گواهی‌های HTTPS جعلی برای دامنه‌های حساس از جمله زیرمجموعه‌های گوگل صادر کنند. این حادثه بار دیگر آسیب‌پذیری ذاتی سلسله‌مراتب اعتماد در وب را به چالش کشیده است.
ماهیت فنی حملات ربایش DNS (DNS Hijacking)
حملات DNS Hijacking در سطح TLD به مهاجم اجازه می‌دهد تا کنترل کامل بر جریان ترافیک اینترنتی یک دامنه‌ی خاص را در دست بگیرد. با تغییر رکوردهای Authoritative DNS، مهاجم می‌تواند درخواست‌های کاربران را به سمت سرورهای مخرب هدایت کند. در این رویداد اخیر، مهاجمان با در دست گرفتن کنترل دامنه‌ها در سطح مرجع ثبت‌کننده، توانستند پروسه‌ی «اعتبارسنجی دامنه» (Domain Validation) را که توسط مراجع صدور گواهی (CA) برای صدور گواهی SSL/TLS استفاده می‌شود، دور بزنند.
مکانیسم صدور گواهی‌های جعلی و نقش CT Logs
صدور گواهی‌های SSL/TLS نیازمند اثبات مالکیت دامنه است. وقتی مهاجم رکوردهای DNS را در اختیار دارد، می‌تواند پاسخ‌های مورد انتظار مرجع صدور گواهی را جعل کند. در نتیجه، CA ناخواسته گواهی معتبری را برای یک مهاجم صادر می‌کند که در ظاهر قانونی است. نکته کلیدی در اینجا این است که سیستم‌های CA در این حملات مقصر نبوده‌اند، بلکه زنجیره اعتماد از سطح ریشه (Root) به دلیل نفوذ در سطح مدیریت DNS مخدوش شده است.
مشخصات فنی و تحلیل اثرات
- دامنه‌های متاثر: .gh (غنا)، .sl (سیرالئون)، .as (ساموای آمریکا)
- هدف حمله: جعل هویت دیجیتال و اجرای حملات MitM
- واکنش مرورگر: مسدودسازی گواهی‌های مشکوک در کلاینت Chrome
- ابزار دفاعی پیشنهادی: نظارت بر Certificate Transparency (CT) logs
- مکانیزم محافظتی: استفاده از رکوردهای CAA (Certification Authority Authorization)
راهکارهای امنیتی برای مدیران شبکه و دامنه‌ها
گوگل به تمامی مدیران وب‌سایت‌ها هشدار داده است که نباید تنها به محافظت‌های سمت مرورگر (مانند مسدودسازی‌های Chrome) تکیه کنند. اولین گام برای مقابله با این تهدید، پیاده‌سازی سخت‌گیرانه رکوردهای CAA است. با افزودن رکوردهای CAA به فایل منطقه DNS، مدیر دامنه مشخص می‌کند که تنها کدام مراجع صدور گواهی اجازه صدور گواهی برای آن دامنه را دارند. اگرچه این اقدام در زمان ربایش DNS ممکن است دور زده شود، اما پس از بازیابی کنترل، مانع از صدور گواهی‌های غیرمجاز جدید از سوی CAهای دیگر می‌شود.
تحلیل نهایی و پیشگیری
امنیت زیرساخت DNS زیربنای اعتماد در اینترنت است. نظارت مستمر بر لاگ‌های شفافیت گواهی (CT Logs) تنها راهکار «تشخیص زودهنگام» در زمان وقوع این‌گونه حملات است. سازمان‌ها باید به صورت مداوم وضعیت دامنه‌های پارک‌شده یا دامنه‌های محلی (ccTLD) خود را مانیتور کنند تا هرگونه تغییر غیرمجاز در وضعیت صدور گواهی سریعاً شناسایی شود.
