Pasukan keselamatan Chrome Google mendedahkan pada 6 Oktober 2026 bahawa pada minggu sebelumnya ia mendapati satu siri rampasan domain dalam domain peringkat atas kod negara .gh (Ghana), .sl (Sierra Leone) dan .as (Samoa Amerika). Google menegaskan bahawa sistemnya sendiri tidak diceroboh: yang diceroboh ialah ccTLD pihak ketiga, menyebabkan setiap domain yang berakhir dengan akhiran itu terdedah kepada risiko. Semasa rampasan, penyerang mengubah rekod DNS berautoriti dan memperoleh sijil HTTPS tanpa kebenaran yang meliputi beberapa domain Google serta domain milik organisasi lain. Google berkata, memandangkan sifat serangan itu, tiada sebab untuk mempercayai bahawa CA yang mengeluarkan sijil tersebut melakukan kesilapan: apabila DNS dikawal penyerang, pengesahan domain akan lulus.

Apa yang Dilakukan Google

  • Ia segera menyekat sijil tanpa kebenaran bagi harta Google dalam Chrome melalui CRLSets, dan bekerjasama dengan CA yang mengeluarkannya untuk membatalkan sijil itu, bagi melindungi klien selain Chrome.
  • Data log Certificate Transparency (CT) kemudian menunjukkan organisasi lain, termasuk beberapa jenama global terkemuka dan perkhidmatan dalam talian yang digunakan secara meluas, dipercayai turut terjejas oleh serangan yang sama; Google turut menyekat sijil tersebut dalam Chrome dan memaklumkan organisasi berkenaan apabila boleh.
  • Pengguna Chrome tidak perlu berbuat apa-apa. Tetapi Google berterus terang bahawa campur tangan di pihak pelayar tidak boleh dijadikan sandaran: ia tidak dapat menjamin semua domain yang terjejas telah ditemui, dan campur tangan Chrome tidak melindungi pengguna pelayar lain dengan pasti.

Google tidak menerbitkan bilangan sijil atau CA yang mengeluarkannya. Apabila kami menyemak log CT awam pada 12 Oktober, kami menemui sijil yang dikeluarkan oleh Let's Encrypt antara 22 dan 27 September untuk domain termasuk youtube.com.gh, google.sl, youtube.sl dan youtube.as, yang dibatalkan antara 26 September dan 1 Oktober; sijil lain yang kami lihat untuk domain tersebut dalam tempoh yang sama dikeluarkan oleh Google Trust Services, milik Google sendiri. Itulah sifat pengesahan domain automatik: sesiapa yang mengawal DNS boleh memperoleh sijil mengikut prosedur yang sah.

Dua Perkara yang Boleh Dilakukan Pemilik Tapak

  • Pantau Certificate Transparency secara berterusan. Setiap sijil yang dipercayai secara lalai mesti direkodkan dalam log CT awam, jadi pemantauan CT memberi anda amaran hampir masa nyata apabila sijil dikeluarkan untuk domain anda. Google secara khusus meminta pemilik meliputi keseluruhan portfolio domain mereka, termasuk domain yang diletak (parked) dan domain kod negara serantau.
  • Terbitkan rekod CAA yang ketat dengan pengikatan akaun ACME. CAA ialah rekod DNS yang menyatakan CA mana yang boleh mengeluarkan sijil untuk domain anda. Google menerangkannya dengan tepat: CAA tidak dapat menghalang pengeluaran semasa rampasan sedang berlaku, tetapi ia ialah perlindungan penting sebaik sahaja anda mendapatkan semula kawalan DNS — CA boleh menyimpan dalam cache dan menggunakan semula pengesahan domain yang telah selesai, dan dasar CAA yang mengehadkan pengeluaran kepada akaun dan kaedah pengesahan tertentu menghalang penyerang menggunakan pengesahan dalam cache itu untuk mengeluarkan sijil baharu selepas rampasan tamat.

Menetapkannya pada Domain Anda Sendiri

Dokumentasi CAA Let's Encrypt (dikemas kini pada 4 Oktober) menerangkan dua parameter. accounturi mengehadkan permohonan kepada satu akaun ACME — menurut dokumentasi itu, ia memastikan seseorang yang merampas domain anda buat sementara waktu, tetapi tidak mempunyai akses kepada kunci akaun ACME anda, tidak dapat mengeluarkan sijil berniat jahat. validationmethods mengehadkan kaedah pengesahan (http-01, dns-01, tls-alpn-01). Rekod yang hanya membenarkan Let's Encrypt, dan hanya akaun anda sendiri, kira-kira seperti ini:

example.com. CAA 0 issue "letsencrypt.org;accounturi=https://acme-v02.api.letsencrypt.org/acme/acct/YOUR_ACCOUNT_ID"

URL akaun boleh didapati dalam butiran akaun klien ACME anda (dengan certbot, certbot show_account). Ambil perhatian bahawa rekod CAA bersifat tambahan — jika mana-mana satu rekod membenarkan sesebuah CA mengeluarkan sijil, ia boleh berbuat demikian — jadi buang rekod lama yang lebih longgar. Di bawah undian SC098v2 CA/Browser Forum, setiap CA mesti memproses kedua-dua parameter ini mulai 15 Mac 2027. Untuk menambah rekod DNS, lihat menghalakan domain ke VPS anda: asas DNS, atau mempercepat dan melindungi tapak VPS anda dengan Cloudflare jika DNS anda dihoskan di Cloudflare; untuk perubahan hayat sijil, lihat artikel kami tentang sijil 64 hari Let's Encrypt.