觀點 · 資訊分享

三個國家網域註冊局被入侵：攻擊者改 DNS 騙到 Google 等網站的 HTTPS 憑證，Chrome 緊急封鎖

Google 揭露 .gh、.sl、.as 三個國家頂級網域的註冊局遭入侵，攻擊者竄改 DNS 後，替 Google 與其他大型網站申請到未經授權的 HTTPS 憑證。Chrome 已用 CRLSets 封鎖，網域擁有者則該檢查憑證透明度紀錄、設定 CAA。

一句話看懂：三個國家網域的註冊局被入侵，攻擊者改了 DNS，替 Google 和其他大型網站騙到「看起來合法」的 HTTPS 憑證；Chrome 已緊急封鎖，但網站擁有者也該自己檢查。

國家網域註冊局遭入侵事件資訊圖卡：攻擊者控制網域的 DNS，就能騙到「看起來合法」的 HTTPS 憑證，Chrome 已緊急封鎖

先用白話講：網域註冊局、DNS、HTTPS 憑證是什麼？

把網站想成一間店。網域是店名，註冊局是登記店名的政府機關，DNS 是告訴大家「這間店在哪個地址」的電話簿，HTTPS 憑證則是掛在門口、由公證單位核發的營業執照，瀏覽器看到它，網址列才會顯示安全的鎖頭。

公證單位（憑證機構）要發執照前，會確認「你真的是這間店的老闆嗎？」，常見的確認方式就是看你能不能修改這間店在電話簿上的資料。這次的攻擊，就是有人闖進登記機關改了電話簿，於是在公證單位眼中，他就像真正的老闆，順利領到了執照。

Google Chrome 安全團隊在 10 月 6 日揭露：

Google 給網域擁有者的建議：

example.com. CAA 0 issue "letsencrypt.org; accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/123456"

Google 也表示，會透過 Chrome 根憑證計畫縮短憑證效期與網域驗證的重用時間。

這件事最可怕的地方是：網站本身什麼錯都沒犯，問題出在更上游的註冊局。我們幫客戶選網域時，常常只看名字好不好記、價格便不便宜，很少考慮「這個網域後綴的註冊局可不可靠」。

實際能做的事其實不難：替重要網域設好 CAA 紀錄，再用免費的憑證透明度監看服務，有新憑證發出就寄信通知。這兩件事設一次就能長期有效，比出事後才發現網站被冒名划算太多。

我用 Chrome，需要做什麼嗎？

不用。Google 表示 Chrome 使用者已經自動受到保護，Chrome 用 CRLSets 封鎖了這些未經授權的憑證。

攻擊者為什麼改了 DNS 就能拿到 HTTPS 憑證？

很多憑證機構是用「你能不能控制這個網域的 DNS」來確認申請者是網域擁有者。攻擊者入侵註冊局、改掉 DNS 紀錄後，在憑證機構眼中就像是合法擁有者，所以能申請到看起來正常的憑證。Google 也表示沒有理由認為發證機構有不當行為。

我的網站不是這三個國家網域，也要處理嗎？

Google 建議所有網域都監看憑證透明度紀錄，包括閒置與各國的網域。用 .gh、.sl、.as 的人更要立刻檢查最近有沒有不明憑證。另外也建議設定 CAA 紀錄，限制只有特定憑證機構與帳號能發證。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。