요약:
Google을 포함한 많은 도메인 이름이 탈취당했습니다. 해커가 도메인 이름에 대한 제어권을 얻은 후 주요 행동은 TLS 인증서 발급을 신청하기 위해 DNS 레코드를 변조하는 것입니다. 인증서가 성공적으로 발급되면 도메인 이름을 해커의 서버로 지정하고 이를 하이재킹 및 트래픽 암호 해독에 사용할 수 있습니다. Google은 블로그를 통해 Google을 포함한 여러 조직의 도메인 이름에 승인되지 않은 TLS 인증서가 발급되었다고 밝혔습니다.
구글은 회사 내부 시스템은 침해되지 않았으며, 인증서를 발급한 인증기관(CA)이 관련 절차를 위반했다고 믿을 이유가 없다고 강조했다. 기존 CA 절차에 따르면 도메인 이름에 유효한 DNS 레코드만 추가하면 신청자가 도메인 이름을 소유하고 있음을 입증할 수 있어 인증서 발급이 가능하기 때문이다.
이 사건을 발견한 후 Google은 Chrome CRLSet 메커니즘을 통해 확인된 다수의 승인되지 않은 인증서를 차단했습니다. 동시에 Google은 다른 브라우저와 클라이언트를 보호하기 위해 관련 인증 기관에 연락하여 인증서를 취소했습니다. 그런 다음 Google은 인증서 투명성 로그를 분석하여 많은 글로벌 브랜드와 일반적으로 사용되는 온라인 서비스가 영향을 받을 수 있음을 발견했습니다. 따라서 사용자가 해당 웹사이트를 방문할 때 Chrome의 차단 메시지도 표시됩니다.
Google은 영향을 받는 회사 또는 서비스 목록과 인증서 수를 공개하지 않았습니다. 구글은 DNS 하이재킹은 매우 복잡하며 영향을 받는 모든 도메인 이름이 발견될 것이라고 보장할 수 없다고 말했습니다. 브라우저 측 차단은 Chrome을 사용하지 않는 사용자를 안정적으로 보호할 수 없습니다. 해당 도메인 이름의 사용자는 인증서와 DNS 보호 기록을 확인해야 합니다. 비정상적인 기록이 발견되면 적시에 삭제해야 합니다.
GH, SL, AS 도메인 이름을 사용하는 경우 도메인 이름 보유자는 crt.sh 웹사이트를 방문하여 해당 도메인 이름에서 발급한 인증서를 조회할 수 있습니다. 본인이 신청하지 않은 인증서가 있음을 발견한 경우, 해커들이 해당 인증서를 계속해서 사용하여 사용자를 탈취하는 것을 방지하기 위해 가능한 한 빨리 인증기관에 연락하여 해당 인증서를 취소해야 합니다.
자세히 알아보기:
https://blog.google/security/chromes-response-to-recent-cctld-registry-hijacks/
댓글