แฮ็กเกอร์ได้ทำการขอ HTTPS certificates โดยไม่ได้รับอนุญาตสำหรับโดเมนของ Google หลายรายการ และเข้าควบคุมโดเมนภายใต้โดเมน ccTLD ของประเทศกานา, อเมริกันซามัว และเซียร์ราลีโอน หลังจากเจาะระบบของผู้ให้บริการ Third-party และทำการแก้ไข Authoritative DNS records
Google เน้นย้ำว่า การโจมตีดังกล่าวส่งผลกระทบต่อโดเมนขององค์กรอื่น ๆ ใน ccTLD อย่าง .GH, .SL และ .AS ด้วย แต่ไม่ได้เกิดจากการที่ระบบของ Google ถูกเจาะระบบแต่อย่างใด
เมื่อผู้ไม่หวังดีสามารถเข้าถึง DNS Records ได้ พวกเขาจะสามารถ Request HTTPS certificate จากหน่วยงานที่ออก Certificate Authority (CA) สำหรับโดเมนที่ตนไม่ได้เป็นเจ้าของได้
ปกติแล้ว CA จะออก Certificate ให้ หลังจากตรวจสอบความเป็นเจ้าของโดเมนแล้วเท่านั้น ซึ่งกระบวนการนี้โดยทั่วไปจะกำหนดให้ผู้ร้องขอต้องสร้าง TXT Record ที่มีการ Random value ตามที่ CA กำหนด
การแก้ไข Authoritative DNS records ช่วยให้ผู้ไม่หวังดีสามารถ Point โดเมน .GH, .SL และ .AS ไปยังโครงสร้างพื้นฐานที่ตนควบคุมอยู่ได้ และทำให้สามารถขอรับ TLS certificates ที่ถูกต้องสำหรับโดเมนเหล่านั้นได้สำเร็จ
ทำให้ผู้โจมตีสามารถสวมรอยเป็นแบรนด์ที่ถูกต้อง และสามารถแสดงผลเนื้อหาใด ๆ ก็ได้ให้แก่ผู้ที่เข้าชมโดเมนที่ได้รับผลกระทบ
Google ได้ดำเนินการบล็อก Certificate ที่ไม่ได้รับอนุญาตสำหรับโดเมนของตนบนเบราว์เซอร์ Chrome ทันทีผ่านกลไก CRLSets และได้ประสานงานกับหน่วยงานที่ออก Certificate เพื่อทำการเพิกถอน Certificate ดังกล่าว ซึ่งเป็นการขยายขอบเขตการป้องกันไปยัง Client อื่น ๆ ด้วย
บริษัทระบุว่า ระบบของตนไม่ได้รับผลกระทบจากเหตุการณ์นี้แต่อย่างใด และไม่มีเหตุผลใดที่แสดงให้เห็นว่า CA ที่ออก Certificate มีการดำเนินการที่ไม่เหมาะสม
หลังจากการตรวจสอบ Certificate Transparency หรือ CT logs ทาง Google ได้ทำการบล็อก Certificate เพิ่มเติมที่พบว่ามีความเชื่อมโยงกับการโจมตีครั้งนี้ และได้แจ้งเตือนไปยังองค์กรที่ได้รับผลกระทบเท่าที่สามารถทำได้
Google อธิบายว่า “หลังจากการดำเนินการแก้ไขในเบื้องต้น ข้อมูลจาก CT logs ได้เผยให้เห็นถึงองค์กรอื่น ๆ เพิ่มเติม ซึ่งรวมถึงแบรนด์ชั้นนำระดับโลก และบริการออนไลน์ที่ถูกใช้งานอย่างแพร่หลาย ที่เชื่อว่าน่าจะได้รับผลกระทบจากการโจมตีในลักษณะเดียวกัน”
“เพื่อให้มั่นใจว่าผู้ใช้งานเว็บไซต์เหล่านั้นจะปลอดภัยโดยเร็วที่สุด เราจึงได้ดำเนินการบล็อก Certificate เหล่านี้บน Chrome ในทันที”
CRLSets เป็นกลไกฉุกเฉินของ Chrome ที่ถูกออกแบบมาเพื่อให้สามารถบล็อก HTTPS certificates ที่ถูกเพิกถอน หรือไม่น่าเชื่อถือได้อย่างรวดเร็ว โดยผู้ใช้งาน Chrome ไม่จำเป็นต้องดำเนินการใด ๆ เพิ่มเติมเพื่อป้องกันตนเองจากเหตุการณ์นี้
อย่างไรก็ตาม Google แจ้งเตือนว่า พวกเขาอาจยังไม่สามารถระบุโดเมนที่ได้รับผลกระทบได้ครบทั้งหมด ดังนั้นรายการบล็อกในปัจจุบันจึงอาจยังไม่ครอบคลุมภัยคุกคามที่อาจเกิดขึ้นได้ทั้งหมด
นอกจากนี้ Google ยังย้ำเตือนด้วยว่า กลไก CRLSets นั้นครอบคลุมเฉพาะผู้ใช้งาน Chrome เท่านั้น ซึ่งหมายความว่าผู้ที่ใช้งานเบราว์เซอร์อื่น ๆ อาจไม่ได้รับการป้องกันจากเหตุการณ์นี้
Google ระบุว่า “ด้วยความซับซ้อนของการโจมตีแบบ DNS Hijacks จึงไม่สามารถรับประกันได้ว่าการวิเคราะห์จะสามารถระบุโดเมนที่ได้รับผลกระทบได้ครบถ้วน และมาตรการของ Chrome ก็ไม่สามารถปกป้องผู้ที่ไม่ได้ใช้งาน Chrome ได้อย่างเต็มที่เช่นกัน”
Google แนะนำให้ผู้เป็นเจ้าของโดเมนดำเนินการดังต่อไปนี้
- เฝ้าระวัง CT logs อย่างครอบคลุมสำหรับโดเมนทั้งหมดที่มีอยู่ รวมถึงโดเมนที่จดทะเบียนทิ้งไว้
- กำหนด และเผยแพร่ Certification Authority Authorization (CAA) records แบบจำกัดสิทธิ์ตามความจำเป็น เพื่อจำกัดการออก Certificate ให้เฉพาะกับบัญชี ACME และวิธีการตรวจสอบที่ได้รับอนุญาตเท่านั้น
Google ให้ข้อสังเกตว่า CAA บน DNS records จะไม่สามารถหยุดยั้งการออก Certificate ในขณะที่เกิดการทำ DNS Hijack อยู่ได้ แต่จะช่วยป้องกันไม่ให้มีการขอ Certificate เพิ่มเติมโดยอาศัยข้อมูลการตรวจสอบโดเมนที่ถูก Cached ไว้หลังจากที่โดเมนถูกกู้คืนการควบคุม DNS กลับมาได้อย่างถูกต้องแล้ว
ทั้งนี้ ประกาศดังกล่าวไม่ได้ระบุถึงกลุ่มผู้โจมตี หรือจำนวน Certificate ที่ได้รับการยืนยันแล้วว่าถูกเข้าควบคุมแต่อย่างใด
ที่มา : ฺBleepingcomputer