DNS 劫持使攻击者获得未经授权的 TLS 证书

攻击者劫持了 .gh、.sl 和 .as 顶级域，以获取涉及 Google 服务及其他大型机构的未经授权 TLS 证书。Ars Technica 报道了 Google 的这一声明。攻击本身发生的日期未予说明。签发的证书数量及其他受影响机构的名单也仍不清楚。

所述攻击机制依赖于对 DNS 的控制。攻击者修改了部分域名的权威记录和域名服务器委派，从而通过了用于确认申请者控制所申请证书对应域名的自动化验证。Google 表示，证书颁发机构遵守了适用要求，相关域名所有者的基础设施并未遭到入侵。

TLS 证书将域名与公钥关联起来，并参与互联网服务的身份认证。因此，获得未经授权的证书可能使攻击者冒充目标基础设施。对此次事件的分析揭示了一项明确局限：劫持域名控制权的攻击者可以通过基于域名控制权的验证。在这种情况下，遵守签发流程并不足以证明申请者的合法性。

Google 表示，已更新 Chrome，以阻止所有被识别为未经授权的证书。该公司还称，曾与签发机构合作，以吊销涉及其自身服务的此类证书。公司明确表示，Chrome 用户无需采取任何操作即可获得这一保护。不过，这一应对措施并不构成全面保证：Google 无法确保已识别所有受影响的域名，而在 Chrome 中采取的措施也无法可靠地保护其他浏览器的用户。

对于域名所有者，Google 建议监控证书透明度日志，以发现意外签发的证书。该公司还建议发布限制性 DNS Certification Authority Authorization 记录，尤其是为了防止在恢复 DNS 控制权后，缓存的验证数据被再次使用。已宣布的阻止措施降低了已知风险，但由于缺乏完整清单，是否存在未被检测到的证书仍是一个未决问题。