Let's Encrypt頒發的免費HTTPS證書已遭黑客利用

自打數字證書認證機構(ca)let’s encrypt開啟beta項目，為公衆提供免費https證書以來，才僅有一個月時間，黑客們已經在打這項服務的主意，通過欺騙性的域來部署他們的惡意軟體。

12月份時，安全公司trend micro釋出消息說，有日本使用者通路到一個惡意廣告伺服器，其上部署了angler exploit kit——它會下載下傳銀行木馬，自動感染windows裝置。這種木馬可讓黑客在使用者不知情的情況下遠端通路系統。

該公司表示，這種惡意廣告伺服器采用一種名為domain shadowing的技術，攻擊者可誘導使用者至已受控制的伺服器，使用來自let's encrypt的安全證書保護的子域掩飾他們的行為。

按照trend micro的觀察，黑客們會搞個廣告，看起來是連結至合法域的。trend micro表示，這可能是因為let's encrypt在頒發證書之前僅靠谷歌安全浏覽api核查域。這無法阻止黑客獲驗證書，以及在合法站點的保護下建立帶惡意軟體的子域。trend micro的報告表明，let's encrypt的服務存在潛在安全問題，并呼籲該組織在發現證書被濫用之後就收回。

本文轉自d1net（轉載）