根据The Register的一份报告，由Fraunhofer安全信息技术研究所（SIT）的Haya Shulman博士领导的德国研究人员发现了一种方法，可以对他们没有控制的域名伪造SSL/TLS证书。
Shulman博士表示，“从本质上讲，许多支持域验证的CA都可能受到攻击。我们演示了一种攻击，它通过DNS缓存中毒将CA重定向到攻击者计算机。“
即使颁发它们的证书颁发机构使用基于PKI的域验证来保护它们，也可以获得HTTPS证书，这允许攻击者欺骗目标组织的身份并使用特定证书创建任何网站的恶意副本。
鉴于可以欺骗域验证（DV）证书，组织应转移到通过其他更安全的方法验证的证书，例如扩展验证（EV）或组织验证（OV）。
“该攻击利用DNS缓存中毒，并欺骗CA为攻击者不合法拥有的域发布欺诈性证书 - 即将攻击者的公钥绑定到受害域的证书，”Shulman在报道该研究的论文中写道。
支持域验证（DV）的证书颁发机构容易受到攻击
根据德国安全研究团队的说法，只要一台笔记本电脑就可以对已知颁发域验证（DV）证书的证书颁发机构进行此类攻击。
在研究了分发受恶意软件感染的文件，窃取凭据甚至窃听他们选择的CA之后，他们能够针对此类证书颁发机构设置实时自动攻击演示。
在首次阅读Fraunhofer SIT的调查结果后，这个更大的问题并不是很明显，那就是使用域名验证（DV）作为发行SSL/TLS证书的手段的CA现在已经控制了超过95％的市场作为Shulman在一次信息安全访谈中宣布。
虽然“针对MitM-Resilient PKI的领域验证++”研究论文尚未公开，但由Haya Shulman博士领导的Fraunhofer SIT团队将于2018年10月19日在加拿大多伦多举行的ACM计算机与通信安全会议上发表演讲。
Linux公社的RSS地址：https://www.linuxidc.com/rssFeed.aspx