新聞

Google近日揭露，該公司得知一連串網域劫持事件，攻擊者入侵迦納.gh、獅子山.sl及美屬薩摩亞.as等3個由第三方管理的國碼頂級網域名稱（country code top-level domain，ccTLD），竄改部分網域的權威DNS紀錄，並取得數個Google及其他組織網域的未經授權HTTPS憑證。Google指出，該公司本身的系統並未遭到入侵。

這次事件也顯示，攻擊者控制DNS後，就可能藉此通過網域控制驗證（Domain Control Validation，DCV），取得未經授權的HTTPS憑證。Google表示，目前沒有跡象顯示問題出在簽發相關憑證的憑證授權機構（Certification Authority，CA）。

Google得知事件後，先在Chrome封鎖涉及Google網域的未經授權憑證，並與CA合作撤銷相關憑證。不過，後續檢查憑證透明度（Certificate Transparency，CT）紀錄時，Google發現事件影響不只自家網域，一些全球大型品牌及廣泛使用的線上服務也疑似受到相同攻擊，因此進一步在Chrome封鎖相關憑證，並在可能的情況下通知受影響組織。Google表示，目前Chrome使用者不需要另外採取行動，但無法保證所有受影響網域都已被發現。

Google建議企業持續監控旗下網域的CT紀錄，使用.gh、.sl或.as網域的組織尤其應複核近期是否出現非預期簽發的憑證。即使DNS控制權已恢復，CA仍可能重複使用先前完成的DCV結果，因此網域擁有者也應設定較嚴格的憑證授權（Certification Authority Authorization，CAA）紀錄，限制可簽發憑證的CA，並進一步限制特定授權帳號及驗證方式，降低攻擊者利用先前DCV結果再次取得憑證的風險。