.gh、.sl、.as 三个国家域名遭劫持，攻击者借此签发 32 张 HTTPS 证书

Google Chrome 安全团队 10 月 6 日披露，加纳 .gh、塞拉利昂 .sl、美属萨摩亚 .as 三个国家和地区顶级域发生域名劫持。

攻击者篡改了权威 DNS 记录，并借此拿到了多个 Google 域名及其他机构域名的 HTTPS 证书。Google 表示自身系统未被入侵，也没有理由认为签发证书的 CA 有过错。

事件经过

据 iTnews 10 月 8 日的分析（CircleID 转述），对照公开的证书透明度（CT）日志和 Chrome 拦截名单，共发现 32 张未经授权的证书，签发时间在 9 月 22 日到 27 日之间。

• 9 月 22 日：.gh 最先被攻破
• 9 月 25 日：.sl
• 9 月 27 日：.as

每次事件中，大部分证书在约 90 分钟内签出。注册局究竟如何被攻破，目前尚未公开。

浏览器做了什么

Chrome 通过 CRLSet 机制直接拦截了这些证书，并协调签发 CA 吊销证书；之后又根据 CT 日志发现了更多受影响的知名品牌和在线服务，一并拦截。

但 Google 也提醒，浏览器侧的拦截不能保证覆盖所有受影响域名，也保护不了非 Chrome 用户，域名持有人要自己设防。

Google 给域名持有人的两条建议

• 持续监控证书透明度日志：覆盖名下全部域名，包括停放中的域名和各地区国家域名，一有新证书签发就能察觉。
• 发布严格的 CAA 记录：限定只有指定 CA（最好绑定到具体 ACME 账户）可以为你的域名签证书。CAA 挡不住劫持进行中的签发，但 DNS 恢复后能阻止攻击者利用已缓存的验证结果继续签发新证书。

这件事说明了什么

HTTPS 的信任最终建立在 DNS 之上：DNS 一旦失守，网站本身没被入侵，也可能被人拿到「合法」证书来仿冒。手里域名多、后缀杂的团队，更要定期检查解析和证书情况。

对用户的提示

可以用泡米网的域名工具（https://paomi.com/tools）查询 WHOIS、DNS 记录、证书和 DNSSEC 状态，先给自己的域名做一次体检；需要证书时，也可以在泡米直接购买 SSL 证书。

团队多人管理域名的，可用控制台「组织」按角色分配权限，减少共用账号带来的风险。

现在就登录泡米网，给名下域名做一次安全检查：https://paomi.com