🥇SSL.com प्रमाणीकरण प्राधिकरणमा जोखिमले अरू कसैको डोमेनको लागि प्रमाणपत्र प्राप्त गर्न अनुमति दिन्छ

SSL.com प्रमाणीकरण प्राधिकरणको डोमेन स्वामित्व प्रमाणिकरण प्रणालीमा एउटा जोखिम पत्ता लाग्यो, जसले आक्रमणकारीलाई इमेल प्रदान गर्ने कुनै पनि डोमेनको लागि TLS प्रमाणपत्र प्राप्त गर्न अनुमति दियो। TLS प्रमाणपत्र प्राप्त गर्न, लक्षित डोमेन भएको इमेलमा पहुँच हुनु पर्याप्त थियो। उदाहरणका लागि, जोखिमले gmail.com, yandex.ru, yahoo.com, outlook.com र icloud.com जस्ता सार्वजनिक इमेल सेवाहरूमा प्रयोग हुने डोमेनहरूको लागि TLS प्रमाणपत्र प्राप्त गर्न अनुमति दियो।

जोखिमले आक्रमणकारीहरूलाई प्रसिद्ध कम्पनीहरूका कर्मचारीहरू र ठूला परियोजनाहरूमा सहभागीहरूलाई लक्षित आक्रमण गर्न र उनीहरूको इमेलहरूमा पहुँच प्राप्त गर्न र प्रसिद्ध कम्पनीहरूको लागि TLS प्रमाणपत्रहरू प्राप्त गर्न अनुमति दियो। डोमेनहरूउदाहरणका लागि, name@google.com इमेल प्रयोग गरेर गुगल कर्मचारीलाई ह्याक गर्नाले डोमेनको लागि प्रमाणपत्र गुगल डट कम।

इमेल पुष्टिकरण मार्फत डोमेन स्वामित्व प्रमाणीकरण प्रणालीको कार्यान्वयनमा त्रुटिका कारण यो जोखिम भएको हो। इमेल मार्फत पुष्टिकरण प्राप्त गर्न, तपाईंले प्रमाणपत्र अनुरोध गरिएको डोमेनको DNS क्षेत्रमा DNS TXT रेकर्ड “_validation-contactemail” थप्नु पर्छ। उदाहरणका लागि, "_validation-contactemail.test.com DNS TXT name@example.com"। डोमेन प्रमाणीकरण सुरु भएपछि, name@examle.com मा एउटा प्रमाणीकरण कोड पठाइनेछ, जुन प्रविष्ट गर्दा, "test.com" डोमेनको स्वामित्व पुष्टि हुनेछ र तपाईंलाई "test.com" को लागि TLS प्रमाणपत्र प्राप्त गर्न अनुमति दिनेछ।

जोखिमको सार यो हो कि प्रमाणपत्र अनुरोध गरिएको डोमेन "test.com" को अतिरिक्त, इमेलमा प्रयोग गरिएको डोमेन "example.com" को लागि स्वामित्व पुष्टिकरण झण्डा पनि सेट गरिएको थियो। समस्या पहिचान गर्ने अनुसन्धानकर्ताले चिनियाँ कम्पनी अलिबाबाको वेबमेल सेवामा प्रयोग हुने aliyun.com डोमेनको लागि काम गर्ने TLS प्रमाणपत्र प्राप्त गरेको प्रदर्शन गरे। परीक्षण आक्रमणको क्रममा, अनुसन्धानकर्ताले "dcv-inspector.com" सेवामा प्रमाणीकरण डोमेन "d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com" दर्ता गरे र यसको लागि TLS प्रमाणपत्र अनुरोध गरे, DNS रेकर्ड थप्दै: _validation-contactemail.d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com DNS TXT myusername@aliyun.com

त्यसपछि, उनले SSL.com वेबसाइटमा d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com डोमेनको लागि TLS प्रमाणपत्र अनुरोध गरे र इमेल पुष्टिकरण चयन गरे। SSL.com प्रमाणीकरण प्राधिकरणले myusername@aliyun.com मा प्रमाणीकरण कोड पठायो र यो कोड प्रविष्ट गरेपछि, प्रमाणित डोमेनहरूको सूचीमा “d2b4eee07de5efcb8598f0586cbf2690.test.dcv-inspector.com” मात्र नभई “aliyun.com” पनि थपियो। त्यसपछि अनुसन्धानकर्ताले "aliyun.com" डोमेनको लागि TLS प्रमाणपत्र सफलतापूर्वक प्राप्त गरे, जसको स्वामित्व पुष्टि भयो।

प्रमाणपत्र प्राधिकरण SSL.com ले समस्या समाधान गरेको छ र इमेलमा तेस्रो-पक्ष डोमेन भएको कमजोर प्रमाणीकरण योजना प्रयोग गरेर जारी गरिएका ११ प्रमाणपत्रहरू पहिचान गरेको छ। सम्भवतः, पहिचान गरिएका केसहरूमा दुर्भावनापूर्ण गतिविधिको कुनै संकेत छैन, र ११ मध्ये, वेबसाइट aliyun.com को लागि अनुसन्धानकर्ताले प्राप्त गरेको एउटा मात्र प्रमाणपत्र अहिलेसम्म रद्द गरिएको छ। अन्य प्रमाणपत्रहरूमा medinet.ca, help.gurusoft.com.sg, banners.betvictor.com, production-boomi.11day.com, kisales.com र medc.kisales.com डोमेनहरू समावेश थिए। SSL.com ले मे २ सम्ममा घटनाको बारेमा रिपोर्ट प्रकाशित गर्ने योजना बनाएको छ।

स्रोत: opennet.ru

SSL.com प्रमाणीकरण प्राधिकरणमा जोखिमले अरू कसैको डोमेनको लागि प्रमाणपत्र प्राप्त गर्न अनुमति दिन्छ।

युरी गागारिन