可透過新型 DNS 投毒變種攻擊取得 DV 證書的漏洞已被披露

2018年9月6日，The Register 發表了一篇文章發文公開了一個學術安全研究團隊成功演示的攻擊手法：他們可藉由一種 DNS 投毒變種，取得自身並無擁有權的目標域名對應的域名驗證（DV）證書。

Comodo CA 認為有關研究結論可信，而文中描述的攻擊手法可對未採取針對性防護措施的證書頒發機構（CA）生效，當中也包括 Comodo CA。（請注意，此攻擊僅針對 DV 證書，無法對擴展驗證（EV）證書及OV 證書生效，原因是這兩類證書需要執行額外的審核流程。）

9月7日星期五上午，我們的工程團隊已完成調整，降低此類攻擊對我們驗證流程的威脅，同時我們仍在持續推進工作，為我們的Comodo CAInstantSSL、PositiveSSL、EnterpriseSSL 及 OptimumSSL 品牌提供完整的解決方案。目前我們並未發現任何利用該攻擊手法假冒 Comodo CA 旗下任何品牌簽發的偽造證書。

由於這是全新公佈的攻擊演示方式，證書頒發機構（CA）即使完全符合Baseline Requirements及此前公認的行業規範要求，仍可能存在受攻擊風險。我們判斷目前多數證書頒發機構（CA）都容易受此類攻擊影響，同時建議將針對此類攻擊的防護要求納入 Baseline Requirements。

Comodo CA 鼓勵安全研究人員提前透過保密渠道向我們披露此類研究成果，以便我們在漏洞被惡意人士利用前完成封堵。我們對弗勞恩霍夫安全信息技術研究所團隊出色的工作表示讚賞，感謝他們完成了該攻擊向量的驗證演示。