SSL.com 驗證漏洞：攻擊者可輕易取得重要網域憑證

網路安全建立在信任之上，而憑證授權機構（Certificate Authority，簡稱CA）在這個系統中扮演關鍵角色。CA負責驗證網站身份並簽發SSL/TLS憑證，確保電腦與網站之間的通訊加密安全。

然而，近期知名憑證供應商SSL.com發現了嚴重的安全漏洞，引起關注。研究人員揭露了該公司網域控制驗證（Domain Control Validation，DCV）流程中的重大缺陷。

SSL.com原本允許用戶透過在DNS TXT記錄中建立_validation-contactemail，並使用聯絡郵件地址作為驗證方式。理論上，SSL.com會傳送驗證碼和URL以確認使用者控制網域。但由於系統設計缺陷，只要能接收與該網域相關的郵件，攻擊者就可能取得該網域的合法SSL憑證。

這一漏洞尤其危險，因為攻擊者無需完全控制目標網站，僅需取得與網域相關的任何郵件地址，甚至是免費郵件服務中的地址，就可能獲得看似合法的憑證。安全研究人員已經證明了這一漏洞的嚴重性。例如，使用阿里雲的@aliyun.com郵件地址，成功為aliyun.com和www.aliyun.com取得了憑證。

攻擊者可能利用這些偽造憑證執行多種惡意行為。他們可以建立仿冒合法網站，盜取用戶憑證，攔截通訊，甚至實施中間人攻擊（Man-in-the-Middle Attack）。這種攻擊方式可能會危及用戶的敏感資訊和線上安全。

SSL.com已承認這一問題，並表示除了研究人員展示的測試憑證外，公司還誤發了十份類似憑證。這些憑證追溯至2024年6月，涉及多個網域，包括medinet.ca、help.gurusoft.com.sg（兩次）、banners.betvictor.com、production-boomi.3day.com、kisales.com（四次）以及medc.kisales.com（四次）。公司已立即停用了「郵件到DNS TXT聯絡人」的驗證方法，並澄清此問題未影響Entrust的系統和API。

為維護網站安全，專家建議採取多項防護措施。首要之策是使用CAA（Certification Authority Authorization）DNS記錄，限制可簽發憑證的授權機構。同時，企業應持續監控公開憑證日誌，及時發現未經授權的憑證。此外，加強與網站相關的郵件帳戶安全性也是降低風險的關鍵步驟。

本文轉載自hackread。