Chrome 对近期 ccTLD 注册局被劫持事件的应对

# Chrome 对近期 ccTLD 注册机构劫持事件的回应 来源：https://blog.google/security/chromes-response-to-recent-cctld-registry-hijacks/ 上周，我们注意到在 `\.gh`（加纳）、`\.sl`（塞拉利昂）和 `\.as`（美属萨摩亚）的国家代码顶级域名命名空间（即 ccTLD）中发生了一系列域名劫持事件。这些事件并未涉及对 Google 系统的入侵；相反，攻击者入侵了第三方 ccTLD，导致以 `.gh`、`.sl` 或 `.as` 结尾的任何域名都面临风险。在这些劫持事件中，攻击者修改了权威 DNS 记录，并获取了未经授权的 HTTPS 证书，这些证书覆盖了多个 Google 域名以及其他组织的域名。由于攻击的性质，我们没有理由认为签发这些受影响证书的认证机构（CA）做了任何不当行为。 作为我们常规事件响应流程的一部分，我们立即采取行动保护用户：通过 CRLSets（https://www.chromium.org/Home/chromium-security/crlsets/）阻止 Chrome 使用未经授权的证书访问 Google 资产。我们还与签发机构合作，确保相关证书被吊销，以保护 Chrome 以外客户端的用户。 在我们采取初步缓解措施之后，Certificate Transparency（https://certificate.transparency.dev/howctworks/）（证书透明度，简称 CT）日志数据显示，还有其他组织受到同一攻击的影响，其中包括多个领先的全球品牌和广泛使用的在线服务。为了尽可能快地保护这些站点的用户，我们主动在 Chrome 中阻止了这些证书。在可能的情况下，我们联系了受影响的组织，告知他们我们的发现和所采取的行动。 Chrome 用户无需采取任何措施即可获得保护。 **域名所有者应采取哪些措施来保护自己和用户** 尽管 Chrome 在这些事件期间采取了措施，以识别并阻止受影响的 ccTLD 上的可疑未授权证书，但不应依赖浏览器端的干预来保护您的用户。由于 DNS 劫持的复杂性，我们无法保证我们的分析识别出了每一个受影响的域名，Chrome 的干预措施也无法可靠地保护非 Chrome 用户。 由于域名所有者最清楚哪些证书和 CA 获准在其命名空间中签发证书，我们强烈建议组织采取以下措施： - **对您的所有域名持续监控 Certificate Transparency：** 由于 Chrome 依赖的每一个默认受信任的证书都必须在公共 CT 日志中披露，监控 CT 日志（https://certificate.transparency.dev/monitors/）可以在为您的域名签发证书时提供近乎实时的告警。组织应确保其监控覆盖其全部域名资产组合，包括处于停放状态的或区域性的 ccTLD 资产。如果您在 `.gh`、`.sl` 或 `.as` 下运营域名，请查看近期的 CT 日志记录，确认是否存在意外的证书签发。 - **发布限制性的 CAA 记录（并绑定 ACME 账户）**：Certificate Authority Authorization（https://datatracker.ietf.org/doc/html/rfc8659）（CAA）DNS 记录允许域名所有者声明哪些 CA 被允许为其域名签发证书。虽然 CAA 无法阻止在 DNS 劫持进行期间的证书签发，但它在 DNS 控制权恢复*之后*提供了一项关键的防护措施，并且可以完全阻止某些基于路由的和基于 HTTP 的攻击。由于 CA 被允许缓存并重用已完成的域名控制验证（DCV）检查结果用于后续签发，恢复限制性的 CAA 策略（尤其是将签发限制为特定授权账户和验证方法（https://www.rfc-editor.org/info/rfc8657/）的策略），可以防止攻击者在劫持结束后利用缓存的验证状态来铸造新的证书。 在域名所有者开展防御的同时，我们将继续与更广泛的合作社区一起努力，限制瞬时路由入侵和 DNS 失陷对 Web 安全的影响。为了保障用户安全，我们致力于推动 HTTPS 生态系统的长期改进，例如通过 Chrome Root Program 以及全新的 Chrome Quantum-resistant Root Program（https://googlechrome.github.io/chromerootprogram/cqrp/draft-policy/），缩短证书有效期并限制 DCV 结果的重用（https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/）。 发布于： - Chrome（https://blog.google/products-and-platforms/products/chrome/） - Chrome Security