本月初，KerbsOnSecurity 收到了一(yī)位研究人員(yuán)的電子郵件，聲稱其通過簡單的手段，就輕松拿到了 .GOV 域名。若這一(yī)漏洞被利用，或導緻 .Gov 域名出現信任危機。其表示，自己通過填寫線上表格，從美國一(yī)個隻有 .us 域名的小(xiǎo)鎮主頁上抓取了部分(fēn)擡頭信息，并在申請材料中(zhōng)冒名爲當地官員(yuán)，就成功地騙取了審核者的信任。
這位要求匿名的消息人士稱：其使用了虛假的 Google 語音号碼和虛假的 Gmail 地址，但這一(yī)切隻是出于思想實驗的目的，資(zī)料中(zhōng)唯一(yī)真實的，就是政府官員(yuán)的名字。
據悉，這封郵件是從 exeterri.gov 域名發送來的。該域名于 11 月 14 日注冊，網站内容與其模仿的 .us 站點相同（羅德島州埃克塞特的 Town.exeter.ri.us 網站，現已失效）。
消息人士補充道：其必須填寫正式的授權表單，但基本上隻需列出管理員(yuán)、技術人員(yuán)和計費(fèi)人員(yuán)等信息。
此外(wài)，它需要打印在“官方信箋”上，但你隻需搜索一(yī)份市政府的公文模闆，即可輕松爲僞造。
然後通過傳真或郵件發送，審核通過後，即可注冊機構發來的創建鏈接。
從技術上講，這位消息人士已涉嫌郵件欺詐。若其使用了美國境内的服務，還可能遭到相應的指控。但是對于藏在暗處的網絡犯罪分(fēn)子來說，這個漏洞顯然求之不得。
爲了堵上流程漏洞，爆料人希望能夠引入更加嚴格的 ID 認證。盡管他所做的實驗并不合法，但事實表明确實很容易得逞。
今天早些時候，KrebsOnSecurity 與真正的埃克塞特官員(yuán)取得了聯系。某不願透露姓名的工(gōng)作人員(yuán)稱，GSA 曾在 11 月 24 日向市長辦公室打過電話(huà)。
然而這通電話(huà)是在其向聯邦機構提出詢問的四天之後，距離(lí)仿冒域名通過審批更是已過去(qù) 10 天左右。
盡管沒有直接回應，但該機構還是寫到：“GSA 正在與當局合作，且已實施其它預防欺詐的控制措施”。至于具體(tǐ)有哪些附加錯誤，其并未詳細說明。
不過 KrebsOnSecurity 确實得到了國土安全部下(xià)屬網絡安全與基礎設施安全局的實質性回應，稱其正在努力爲 .gov 域名提供保護。
 | 中(zhōng)國（四川）自由貿易試驗區成都高新區雲華路333号1棟5單元8層 |
 | 028-65291095 15390030180 |
 | rxa@ruixinan.com |