در رویدادی نگران‌کننده که امنیت زیرساخت‌های کلیدی اینترنت را هدف قرار داده است، گوگل گزارش داد که مهاجمان سایبری با سوءاستفاده از دسترسی به سطح دامنه برخی از کشورها (ccTLD)، موفق به دریافت گواهینامه‌های TLS جعلی برای وب‌سایت‌های بزرگ و معتبر جهانی شده‌اند. این نفوذ که ابعاد گسترده‌ای از پروتکل‌های امنیتی HTTPS را تحت‌الشعاع قرار داده، بار دیگر ضعف‌های موجود در زنجیره اعتماد سیستم نام دامنه (DNS) را برجسته کرده است.
مکانیسم حمله: از ربایش DNS تا جعل هویت دیجیتال
حمله مذکور از طریق تغییر در رکوردهای DNS معتبر (Authoritative DNS Records) صورت گرفته است. مهاجمان با کنترل دامنه‌های سطح بالای کشوری شامل .gh (غنا)، .sl (سیرالئون) و .as (ساموآی آمریکا)، توانستند فرآیند تأیید مالکیت دامنه (Domain Control Validation) را دور بزنند. در سیستم صدور گواهینامه‌های دیجیتال، بسیاری از مراجع صدور گواهینامه (CA) تنها با تکیه بر پاسخ‌های DNS اصالت مالکیت دامنه را احراز می‌کنند. با در دست داشتن کنترل این رکوردها، مهاجمان توانستند گواهینامه‌های معتبر اما جعلی برای دامنه‌های تحت مالکیت گوگل و چندین سازمان جهانی دیگر دریافت کنند. این گواهینامه‌ها به مهاجم اجازه می‌دهد تا با برپایی حملات MitM (مرد میانی)، ترافیک کاربران را بدون مشاهده خطای هشدار در مرورگر، به سایت‌های فیشینگ و مخرب هدایت کنند.
اقدامات تدافعی گوگل و واکنش اکوسیستم وب
گوگل در پی این شناسایی، بلافاصله وارد عمل شد تا دامنه تهدید را محدود کند. این شرکت با استفاده از مکانیزم CRLSets در مرورگر کروم، گواهینامه‌های غیرمجاز را مسدود کرده است. همچنین با همکاری مراجع صدور گواهینامه، روند ابطال (Revocation) این اسناد را تسریع بخشیده تا کاربران سایر مرورگرها نیز در معرض خطر باقی نمانند. با این حال، گوگل تأکید کرده است که به دلیل ماهیت پیچیده این حملات، ممکن است شناسایی تمامی دامنه‌های تحت تأثیر، فرآیندی زمان‌بر باشد.
مشخصات فنی و تحلیل ریسک
- دامنه‌های آسیب‌دیده: .gh, .sl, .as
- روش حمله: دستکاری رکوردهای DNS جهت دور زدن احراز مالکیت دامنه (DCV)
- پیامد: صدور گواهینامه‌های TLS معتبر اما غیرمجاز برای دامنه‌های ثالث
- راهکار مقابله: مسدودسازی از طریق CRLSets و ابطال گواهینامه‌ها توسط مراجع صادرکننده
- توصیه امنیتی: استفاده از CAA Records و مانیتورینگ Certificate Transparency
درس‌هایی از گذشته و الزامات امنیتی آینده
این حادثه یادآور آسیب‌پذیری‌های تاریخی مانند پرونده DigiNotar در سال ۲۰۱۱ است که منجر به سقوط اعتبار یک مرجع صدور گواهینامه شد. کارشناسان امنیتی اکنون بر لزوم پیاده‌سازی مکانیزم‌های سخت‌گیرانه‌تر تأکید دارند. مدیران وب‌سایت‌ها باید نسبت به انتشار رکوردهای CAA (Certificate Authority Authorization) اقدام کنند تا مشخص شود تنها کدام مراجع مجاز به صدور گواهینامه برای دامنه‌های آن‌ها هستند. همچنین، پایش مستمر لاگ‌های Certificate Transparency (شفافیت گواهینامه) به عنوان یک لایه حفاظتی حیاتی در برابر چنین حملاتی مطرح است.
در نهایت، گوگل اعلام کرده است که در راستای بهبود امنیت اکوسیستم وب، تمرکز بر کاهش اعتبار گواهینامه‌ها و استفاده از تکنولوژی‌های مقاوم در برابر حملات کوانتومی را در برنامه کاری خود قرار داده است تا با کاهش تأثیرات مخاطرات ناشی از تغییر مسیرهای موقت DNS، امنیت کاربران را در آینده تضمین کند.
