세 개 도메인 영역의 등록기관이 해킹당해 구글 서비스용 TLS 인증서를 탈취할 수 있었습니다.

구글은 공격자들이 특정 구글 도메인(예: google.as), 온라인 서비스 및 대기업의 .gh, .sl, .as 도메인에 대한 TLS 인증서를 획득한 사건을 보고했습니다. 이 공격은 국가 최상위 도메인(ccTLD)인 .gh(가나), .sl(시에라리온), .as(미국령 사모아)의 등록기관을 해킹하여 해당 도메인의 DNS 서버를 변경하고 요청을 공격자 서버로 리디렉션하는 방식으로 이루어졌습니다. 공격자들은 트래픽을 리디렉션함으로써 도메인 소유권을 확인하고 TLS 인증서를 획득할 수 있었습니다. DNS 데이터가 변경된 후에는 인증 기관의 확인 요청이 실제 서버가 아닌 위조된 호스트로 전송되어 처리되었기 때문입니다.

이번 무단 인증서 획득은 인증기관(CA)이 발급 및 해지된 모든 인증서를 기록하는 인증서 투명성 로그 분석을 통해 발견되었습니다. 구글은 크롬 브라우저의 CRLSets 기능을 이용하여 공격 과정에서 획득한 불법 인증서를 차단하고, CA에 해당 인증서를 해지하도록 조치했습니다. 어떤 도메인에 대해 위조 인증서가 발급되었는지, 어떤 기업이 피해를 입었는지는 아직 공개되지 않았습니다.

유사한 사건의 재발 위험을 최소화하기 위해 도메인 소유자는 공개 CT(Certificate Transparency) 로그를 지속적으로 모니터링하여 무단 인증서 발급을 감지하는 것이 좋습니다. 지정된 도메인에 대한 인증서를 발급할 권한이 있는 인증 기관 목록을 정의하는 CAA(Certification Authority Authorization) 레코드를 DNS에 추가하는 것이 좋습니다. CAA DNS 레코드를 설정하는 것만으로는 DNS 하이재킹 이후의 인증서 요청을 막을 수는 없지만, DNS 제어권을 되찾은 후에는 공격자가 캐시된 도메인 소유권 확인 데이터를 사용하여 인증서를 재발급하는 것을 방지할 수 있습니다.

출처 : opennet.ru