ผู้โจมตียึดระบบทะเบียนโดเมน .gh, .sl และ .as ออกใบรับรอง HTTPS ปลอมให้โดเมน Google และ YouTube — Chrome บล็อกผ่าน CRLSets และ CA เพิกถอนครบ 12 ใบ

สรุปสั้น

Google เปิดเผยเมื่อวันที่ 6 ตุลาคม 2569 ว่าผู้โจมตีเจาะระบบโดเมนระดับบนสุดประจำประเทศ (ccTLD) 3 แห่ง ได้แก่ .gh ของกานา .sl ของเซียร์ราลีโอน และ .as ของอเมริกันซามัว แล้วใช้สิทธิ์นั้นขอใบรับรอง HTTPS ที่ไม่ได้รับอนุญาตให้โดเมนหลายรายการของ Google ระบบของ Google เองไม่ได้ถูกเจาะ แต่ทุกโดเมนที่ลงท้ายด้วย .gh, .sl และ .as ตกอยู่ในความเสี่ยง เพราะใบรับรองแบบนี้ทำให้ผู้โจมตีปลอมเป็นเว็บจริงบนการเชื่อมต่อที่เข้ารหัส และอ่านข้อมูลส่วนตัวที่ผู้ใช้ส่งเข้าไปได้ Chrome บล็อกใบรับรองเหล่านั้นผ่าน CRLSets ซึ่งเป็นกลไกบล็อกใบรับรองฉุกเฉินของ Chrome และ Google ประสานผู้ออกใบรับรอง (CA) ให้เพิกถอนเพื่อคุ้มครองผู้ใช้เบราว์เซอร์และแอปอื่น

Google ไม่ได้ระบุชื่อโดเมน แต่ The Hacker News ตรวจบันทึก Certificate Transparency (CT) ซึ่งเป็นบันทึกสาธารณะของใบรับรองที่ CA ออก แล้วพบใบรับรองอย่างน้อย 12 ใบสำหรับ 7 โดเมนของ Google และ YouTube เช่น google.com.gh, google.sl และ google.as ออกระหว่างวันที่ 22-27 กันยายน 2569 โดย Let’s Encrypt ออก 11 ใบ และ ZeroSSL ออก 1 ใบ ทั้งหมดถูกเพิกถอนแล้ว Google ระบุว่าข้อมูล CT ยังชี้ไปยังองค์กรอื่นที่น่าจะโดนในการโจมตีเดียวกัน รวมถึงแบรนด์ระดับโลกและบริการออนไลน์ที่ใช้กันแพร่หลาย แต่ไม่เปิดเผยชื่อ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า CA จะออกใบรับรองเมื่อผู้ขอพิสูจน์ได้ว่าควบคุมโดเมน เช่น เพิ่มระเบียนใน DNS ของโดเมน ผู้โจมตีแก้ระเบียน authoritative DNS ระหว่างที่ยึดระบบทะเบียนอยู่ จึงผ่านการพิสูจน์นี้ได้ และ Google ระบุว่าไม่มีเหตุให้เชื่อว่า CA ทำผิดขั้นตอน นาย Matthew McPherrin เจ้าหน้าที่ของ Let’s Encrypt ยืนยันในฟอรัมชุมชนเมื่อวันที่ 7 ตุลาคมว่า “ใช่ มีการออกใบรับรองให้ Google และ YouTube และได้เพิกถอนแล้ว”

ใบรับรองถูกบันทึกลง CT ทีละ ccTLD คือ .gh วันที่ 22 กันยายน, .sl วันที่ 25 กันยายน และ .as วันที่ 27 กันยายน ทั้ง 12 ใบเป็นใบรับรองแบบ domain-validated ขณะที่ใบรับรองอื่นทั้งหมดของ google.com.gh, google.sl และ google.as ที่ตรวจย้อนไปถึงอย่างน้อย 10 กันยายน ออกโดย Google Trust Services ซึ่งเป็น CA ของ Google เอง ใบรับรองจาก CA อื่นจึงโดดเด่นทันทีในบันทึก ใบรับรอง .gh 2 ใบและใบของ ZeroSSL ถูกเพิกถอนเมื่อ 26 กันยายน ส่วนอีก 9 ใบถูกเพิกถอนเมื่อ 1 ตุลาคม ช่วงเวลาสั้นที่สุดระหว่างบันทึกครั้งแรกกับการเพิกถอนคือราวหนึ่งวันครึ่ง ยาวที่สุดเกือบหนึ่งสัปดาห์ และใบรับรอง .as ใบแรกถูกบันทึกหลังใบรับรอง .gh ถูกเพิกถอนราวหนึ่งวัน แปลว่าผู้โจมตียังเดินหน้าต่อแม้ใบแรก ๆ ถูกจับได้แล้ว

ข้อจำกัดของข้อมูลมีหลายจุด The Hacker News ค้นเฉพาะชื่อโดเมน Google และ YouTube ชุดเล็ก จำนวนจริงอาจสูงกว่านี้ Google ระบุว่ารู้เรื่องในสัปดาห์ก่อนโพสต์วันที่ 6 ตุลาคมและดำเนินการทันที แต่ไม่ให้วันที่ของการยึดหรือการตอบสนองของตัวเอง โพสต์ของ Google ไม่ได้บอกว่าใบรับรองถูกใช้ปลอมเว็บ Google หรืออ่านข้อมูลผู้ใช้จริงหรือไม่ ไม่ระบุตัวผู้โจมตี ไม่บอกว่า ccTLD ถูกเจาะได้อย่างไร และไม่บอกว่าระบบเหล่านั้นปลอดภัยแล้วหรือยัง ทีม Chrome Secure Web and Networking ยังเขียนว่า “เราไม่สามารถรับประกันได้ว่าการวิเคราะห์ของเราระบุโดเมนที่ได้รับผลกระทบได้ครบทุกโดเมน”

วิธีการโจมตี

ผู้โจมตีไม่ได้เจาะ Google หรือ CA แต่ไปเจาะที่ชั้นบนกว่า คือระบบทะเบียนของ ccTLD ซึ่งควบคุมว่าโดเมนใต้ ccTLD นั้นชี้ไปยัง name server ใด เมื่อยึดได้ ผู้โจมตีเปลี่ยนระเบียน authoritative DNS ของโดเมนเป้าหมายให้ตอบตามที่ตนต้องการ แล้วไปขอใบรับรองจาก CA ที่ตรวจสิทธิ์ผ่าน DNS เช่น Let’s Encrypt และ ZeroSSL ซึ่งตรวจแล้วเห็นว่าผู้ขอ “ควบคุมโดเมน” ได้จริง ใบรับรองที่ได้จึงถูกต้องในทางเทคนิคทุกประการ

ระเบียน CAA ซึ่งเป็นระเบียน DNS ที่กำหนดว่า CA ใดออกใบรับรองให้โดเมนได้ ป้องกันกรณีนี้ไม่ได้ เพราะมาตรฐาน CAA ระบุเองว่าผู้โจมตีที่ควบคุม DNS ได้สามารถลบระเบียนหรือใส่ระเบียนปลอมได้ ทั้งนี้ Google Public DNS ตอบระเบียน CAA แบบเข้มงวดที่ระบุเฉพาะ pki.goog ของ Google Trust Services สำหรับทั้ง 7 โดเมนเมื่อวันที่ 7 ตุลาคม แต่ยังไม่ชัดว่าระเบียนนี้มีอยู่แล้วระหว่างการยึดหรือไม่

ผลกระทบ

เหตุการณ์นี้แสดงว่าความปลอดภัยของ HTTPS ขึ้นอยู่กับจุดที่อ่อนที่สุดในห่วงโซ่ DNS ไม่ใช่แค่ฝั่งเจ้าของโดเมน แม้แต่ Google ที่มี CA ของตัวเองและตั้งระเบียน CAA ไว้ ก็ยังถูกออกใบรับรองปลอมได้เมื่อระบบทะเบียนของ ccTLD ถูกยึด องค์กรที่จดโดเมนประจำประเทศไว้เพื่อป้องกันการแอบอ้างแบรนด์ แต่ไม่ได้เฝ้าดู จึงเสี่ยงจะเป็นช่องที่ถูกใช้โดยไม่รู้ตัว

Google เตือนว่า Chrome บล็อกได้เฉพาะใบรับรองที่ตรวจพบ และไม่ได้คุ้มครองผู้ใช้เบราว์เซอร์อื่นอย่างแน่นอน เจ้าของโดเมนจึงไม่ควรพึ่งเบราว์เซอร์ อีกความเสี่ยงที่มักถูกมองข้ามคือ CA นำผลการพิสูจน์สิทธิ์โดเมนที่ผ่านแล้วกลับมาใช้ซ้ำได้ ผู้โจมตีที่ผ่านการตรวจระหว่างการยึดจึงอาจขอใบรับรองเพิ่มได้หลังเจ้าของได้ DNS คืนแล้ว ปัจจุบัน Baseline Requirements อนุญาตให้ใช้ซ้ำได้นานสุด 200 วัน จะลดเหลือ 100 วันในเดือนมีนาคม 2570 และ 10 วันในเดือนมีนาคม 2572 ตามมติ CA/Browser Forum เมื่อเมษายน 2568 ส่วน Let’s Encrypt ใช้ซ้ำ 30 วันและวางแผนลดเหลือ 7 ชั่วโมงภายในปี 2571

คำแนะนำ

• เฝ้าระวังบันทึก Certificate Transparency ของทุกโดเมนที่องค์กรถือครอง รวมถึงโดเมนที่จดไว้เฉย ๆ (parked) และโดเมน ccTLD ตามภูมิภาค ผ่านบริการ CT monitoring ที่แจ้งเตือนเมื่อมีใบรับรองใหม่
• เจ้าของโดเมนใต้ .gh, .sl หรือ .as ควรตรวจบันทึก CT ย้อนหลังทันทีว่ามีใบรับรองที่ไม่ได้ขอหรือไม่
• ตั้งระเบียน CAA แบบเข้มงวดที่ระบุเฉพาะ CA ที่ใช้จริง และถ้า CA รองรับ ให้ผูกกับบัญชีขององค์กรผ่านส่วนขยาย accounturi (RFC 8657) เพื่อกันการขอใบรับรองซ้ำโดยอาศัยผลพิสูจน์สิทธิ์เดิมหลังกู้ DNS คืน
• หากพบใบรับรองที่ไม่ได้ขอ ให้ยื่น Certificate Problem Report ต่อ CA ที่ออก ซึ่งตาม Baseline Requirements CA ต้องตรวจสอบและรายงานผลเบื้องต้นภายใน 24 ชั่วโมง
• เปิด registry lock กับผู้รับจดทะเบียนสำหรับโดเมนสำคัญ และเฝ้าระวังการเปลี่ยน name server หรือระเบียน DNS ที่ไม่ได้มาจากทีมงาน

Indicators of Compromise (IoCs)

ลายนิ้วมือ SHA-256 ของใบรับรองทั้ง 12 ใบ (ลำดับตรงกับตารางด้านบน) ใช้ค้นในบริการค้นหา CT ได้

แหล่งอ้างอิง

• Attackers Hijack .gh, .sl, and .as Registries to Obtain Certificates for Google Domains — The Hacker News
• Chrome’s Response to Recent ccTLD Registry Hijacks — Google
• Chrome’s Response to Recent ccTLD Registry Hijacks (thread) — Let’s Encrypt Community
• CRLSets — Chromium
• RFC 8659: DNS Certification Authority Authorization (CAA) — IETF
• RFC 8657: CAA Record Extensions for Account URI and ACME Method Binding — RFC Editor