答え公開済み15 ソース
DNS乗っ取りでGoogle向けの不正TLS証明書が発行された仕組み
攻撃者は.gh、.sl、.asの国別ドメインに関わる第三者の基盤を侵害し、権威DNSの情報を変更。認証局のドメイン管理確認を通過して、Googleなどのドメイン向けに不正な証明書を取得した。 問題はTLS暗号の破綻ではなく、ドメインを管理している証拠として使われるDNS情報が攻撃者に操作されたことにある。実際のウェブサイトへの侵入は、証明書の発行条件ではなかった。
公開者GPT-6 Luna で編集GPT Image 2 で画像を生成
研究の答え
重要なポイント
- 攻撃者は.gh、.sl、.asの国別ドメインに関わる第三者の基盤を侵害し、権威DNSの情報を変更。認証局のドメイン管理確認を通過して、Googleなどのドメイン向けに不正な証明書を取得した。
- 問題はTLS暗号の破綻ではなく、ドメインを管理している証拠として使われるDNS情報が攻撃者に操作されたことにある。実際のウェブサイトへの侵入は、証明書の発行条件ではなかった。
- Googleは特定できた不正証明書をChromeでブロックし、認証局と失効対応を進めた。ドメイン所有者には、登録情報やDNS設定の確認と、Certificate Transparencyログの監視が有用だ。
AI プロンプト
openai.comCreate a landscape editorial hero image for this Studio Global article: How did attackers gain control of the .gh, .sl and .as country-code domain registries and use DNS changes to obtain unauthorized TLS certifi. Article summary: The attackers compromised third-party infrastructure for the .gh, .sl and .as country-code domains, then changed DNS information for selected names. That made certificate authorities see the attackers as controlling thos. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
今回の攻撃では、.gh、.sl、.asという国別トップレベルドメインに関わる第三者の基盤が侵害され、選ばれたドメインの権威DNS情報が変更されました。その結果、攻撃者は認証局の確認を通過し、Googleの複数のドメインや他組織のドメインを対象とする、正規の認証局が署名した不正なHTTPS証明書を取得しました。Googleは自社システムへの侵入はなかったと説明しています。一方、攻撃者がドメイン基盤へ最初に侵入した方法は、公表情報からは分かっていません。1
4
DNSの変更で、なぜ証明書を取得できたのか
認証局（CA）は証明書を発行する前に、申請者が対象ドメインを管理しているか確認します。今回、攻撃者は対象ドメインに関わるDNS情報を変更できたため、選ばれたドメインについて、その確認を通過できました。ただし、個々の証明書で具体的にどの確認方式が使われたかは、報道で明らかにされていません。1
4
これはTLSの暗号を破った攻撃ではありません。証明書の発行に必要な「このドメインを管理している」という根拠が悪用されたものです。DNSを操作できれば、本物のウェブサイトに侵入しなくても、認証局のドメイン管理確認を通過できる場合があります。4
Googleが明らかにしたこと、分かっていないこと
Googleによると、影響があったのはガーナの.gh、シエラレオネの.sl、米領サモアの.asです。これらのドメイン基盤をめぐる攻撃で、Googleの複数のドメインや他組織のドメインを対象とする不正な証明書が取得されました。Googleは、自社システムは侵害されていないとしています。1
一方、攻撃者の最初の侵入経路や、影響を受けた組織・証明書の完全な一覧は、公表情報からは確認できません。また、証明書が発行されたという事実だけで、攻撃者が利用者の通信を傍受したとは判断できません。1
4
Googleの対応と、ドメイン所有者ができること
Googleは、特定できた不正証明書をChromeでブロックし、認証局と連携して証明書の失効を進めたと説明しています。ただし、見つかった証明書への対処はあくまで緩和策です。すべての不正証明書が発見されたことや、すべての利用者が保護されたことを意味するものではありません。1
16
影響を受けた接尾辞の下にドメインを持つ所有者は、ドメイン登録に関するアカウントへのアクセス、ネームサーバーの委任先、権威DNSのレコードが意図どおりか確認してください。また、Certificate Transparency（CT）ログを調べれば、証明書の発行記録から、身に覚えのない証明書に気づける場合があります。予期しない証明書が見つかったら、登録事業者、レジストリ、発行した認証局に連絡して調査を進めることが重要です。16
DigiNotarやSea Turtleとの違い
2011年のDigiNotar事件では、攻撃者が認証局そのもののシステムに侵入し、Googleの不正証明書を取得しました。その証明書は、イランの利用者を狙った中間者攻撃に使われました。今回の.gh、.sl、.asの事案では、認証局を侵害したのではなく、ドメイン基盤を操作して証明書の確認を通過しています。21
DNS側の事例としては、Sea Turtleが比較対象になります。この活動ではドメイン管理基盤を乗っ取り、DNSを変更して利用者を別のサーバーへ誘導しました。DNSを支配されると、ウェブサイトの身元に対する信頼まで損なわれかねないことを示す事例です。28
一方、別件とされるgoogle.tgの事案については、今回の攻撃と仕組みを確実に比較できるだけの検証可能な情報が、提供された資料にはありません。
今回の教訓は、信頼できる認証局が署名した証明書であっても、ドメイン管理の確認に使われる情報を攻撃者が握れば、不正に発行されうるということです。
Studio Global AI
研究を続けてください
このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。
人々も尋ねます
「DNS乗っ取りでGoogle向けの不正TLS証明書が発行された仕組み」の短い答えは何ですか?
攻撃者は.gh、.sl、.asの国別ドメインに関わる第三者の基盤を侵害し、権威DNSの情報を変更。認証局のドメイン管理確認を通過して、Googleなどのドメイン向けに不正な証明書を取得した。
最初に検証する重要なポイントは何ですか?
攻撃者は.gh、.sl、.asの国別ドメインに関わる第三者の基盤を侵害し、権威DNSの情報を変更。認証局のドメイン管理確認を通過して、Googleなどのドメイン向けに不正な証明書を取得した。 問題はTLS暗号の破綻ではなく、ドメインを管理している証拠として使われるDNS情報が攻撃者に操作されたことにある。実際のウェブサイトへの侵入は、証明書の発行条件ではなかった。
次の実践では何をすればいいでしょうか？
Googleは特定できた不正証明書をChromeでブロックし、認証局と失効対応を進めた。ドメイン所有者には、登録情報やDNS設定の確認と、Certificate Transparencyログの監視が有用だ。