答案已發布15 個來源
DNS遭劫持，攻擊者如何取得 Google 網域的未授權 TLS 憑證？
攻擊者入侵 .gh、.sl 與 .as 國碼頂級網域的第三方基礎設施，並修改權威 DNS 記錄，進而通過網域控制權驗證，取得 Google 等組織網域的未授權憑證。 問題不在 TLS 加密遭破解，而在憑證機構用來確認網域控制權的證據遭到操弄；僅憑取得憑證，也不能證明攻擊者曾攔截使用者流量。
發布者使用 GPT-6 Luna 編輯圖片由 GPT Image 2 生成
研究答案
重點整理
- 攻擊者入侵 .gh、.sl 與 .as 國碼頂級網域的第三方基礎設施，並修改權威 DNS 記錄，進而通過網域控制權驗證，取得 Google 等組織網域的未授權憑證。
- 問題不在 TLS 加密遭破解，而在憑證機構用來確認網域控制權的證據遭到操弄；僅憑取得憑證，也不能證明攻擊者曾攔截使用者流量。
- Google表示已在 Chrome 封鎖已確認的未授權憑證，並協調撤銷作業；網域管理者應檢查註冊與 DNS 設定，並留意憑證透明度紀錄中的異常憑證。
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: How did attackers gain control of the .gh, .sl and .as country-code domain registries and use DNS changes to obtain unauthorized TLS certifi. Article summary: The attackers compromised third-party infrastructure for the .gh, .sl and .as country-code domains, then changed DNS information for selected names. That made certificate authorities see the attackers as controlling thos. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
攻擊者入侵了 .gh、.sl 與 .as 這三個國碼頂級網域的第三方基礎設施，接著修改部分網域的權威 DNS 記錄。這讓他們得以通過憑證機構的網域控制權檢查，取得涵蓋數個 Google 網域及其他組織網域的未授權 HTTPS 憑證。Google表示自家系統並未遭入侵；目前公開報導也沒有說明攻擊者最初如何取得網域基礎設施的存取權。 1
4
為什麼改動 DNS 就能通過憑證檢查？
憑證機構（CA）在簽發憑證前，會要求申請者證明自己控制該網域。這起事件中，攻擊者掌控相關網域基礎設施後，能改動權威 DNS 資訊，因而為特定網域通過驗證。報導確認了 DNS 記錄遭修改、驗證成功等情況，但沒有指出每張憑證實際採用哪一種驗證方式。 1
4
這不是 TLS 加密演算法遭破解，而是用來證明「誰控制這個網域」的資訊遭到操弄。攻擊者不必入侵該網域真正營運的網站；若能控制相關 DNS 記錄，就可能讓憑證驗證結果看起來合格。 4
Google公布了什麼？哪些仍不清楚？
Google指出，受影響的國碼頂級網域是 .gh（加納）、.sl（獅子山）與 .as（美屬薩摩亞）。未經授權簽發的憑證涵蓋數個 Google 網域，也涉及其他組織的網域。Google並表示，自家系統沒有遭到入侵。 1
公開資訊沒有交代攻擊者最初的入侵方式，也沒有列出所有受影響的組織與憑證。單憑有人取得未授權憑證，也無法判定攻擊者曾攔截使用者流量。 1
4
Google如何應對？網域管理者可以做什麼？
Google表示，已在 Chrome 封鎖已確認的未授權憑證，並與憑證機構協調撤銷作業。不過，封鎖已知憑證是降低風險的措施，不代表所有未授權憑證都已被找出，也不能據此認定所有使用者都已受到保護。 1
16
使用受影響網域後綴的管理者，應確認註冊商或網域註冊機構的帳戶存取權、名稱伺服器委派設定，以及權威 DNS 記錄是否正確。也可查看憑證透明度（Certificate Transparency）紀錄，找出未經授權簽發的憑證；若發現異常，應進一步調查，並聯絡相關註冊商、網域註冊機構與憑證機構。 16
與 DigiNotar、Sea Turtle 及 google.tg 案例有何不同？
2011年的 DigiNotar 事件，問題出在憑證機構本身遭入侵：攻擊者取得一張偽造的 Google 憑證，並用於針對伊朗使用者的攻擊。此次 .gh、.sl 與 .as 事件則是攻擊者操弄網域基礎設施，以通過憑證檢查，而非入侵憑證機構。 21
Sea Turtle 是較接近的 DNS 端案例。該行動涉及劫持網域管理基礎設施、修改 DNS 並重新導向訪客，說明掌控 DNS 可能動搖使用者對網站身分的信任。 28
至於另一宗 google.tg 案例，目前可查證的資料不足，無法有把握地比較其運作方式。更廣泛來說，憑證即使由受信任的憑證機構正確簽發，若攻擊者控制了用來證明網域所有權的資料，憑證仍可能未經真正網域管理者授權。
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「DNS遭劫持，攻擊者如何取得 Google 網域的未授權 TLS 憑證？」的簡短答案是什麼？
攻擊者入侵 .gh、.sl 與 .as 國碼頂級網域的第三方基礎設施，並修改權威 DNS 記錄，進而通過網域控制權驗證，取得 Google 等組織網域的未授權憑證。
最值得優先驗證的重點是什麼？
攻擊者入侵 .gh、.sl 與 .as 國碼頂級網域的第三方基礎設施，並修改權威 DNS 記錄，進而通過網域控制權驗證，取得 Google 等組織網域的未授權憑證。 問題不在 TLS 加密遭破解，而在憑證機構用來確認網域控制權的證據遭到操弄；僅憑取得憑證，也不能證明攻擊者曾攔截使用者流量。
接下來在實務上該怎麼做？
Google表示已在 Chrome 封鎖已確認的未授權憑證，並協調撤銷作業；網域管理者應檢查註冊與 DNS 設定，並留意憑證透明度紀錄中的異常憑證。