攻击者劫持三个国家域名注册局，骗取谷歌证书

据The Hacker News 10月7日报道，加纳的.gh注册局于9月22日、塞拉利昂的.sl注册局于9月25日、美属萨摩亚的.as注册局于9月27日遭劫持。攻击者篡改了三家注册局的权威DNS记录——即决定域名指向哪台服务器的记录——把流量引向自己的基础设施。借此，他们为7个并不属于自己的域名获取了有效的TLS证书，也就是浏览器地址栏锁形图标背后的凭证。据BleepingComputer，攻击者瞄准的是运营这三家注册局的第三方运营商。

The Hacker News在证书透明度日志——即记录每一张已签发证书的公开账本——中找到了12张证书。其中11张由Let's Encrypt签发，1张由ZeroSSL签发。12张证书全部是域名验证型证书，只要求证明对DNS的控制权。谷歌证实，截至10月7日，为谷歌和YouTube签发的证书已被吊销。据BleepingComputer 10月7日报道，谷歌已通过CRLSet列表在Chrome中屏蔽这些证书，并表示自身系统未受任何影响。

两家来源报道的披露日期不同：The Hacker News称谷歌于10月6日公布，BleepingComputer则称10月7日。截至10月7日，攻击者身份尚未公开，证书是否已被滥用也无法核实。这里的约束在于，互联网的信任链会在最薄弱的一环断裂：三个小国注册局的运营商一旦失守，全球品牌在这些后缀下的域名就可能被签发有效证书。