Github Pages, 도메인 하이재킹(Domain Hijacking)에 주의하세요!

Github Pages에서 와일드카드 DNS 레코드(Wildcard DNS Records) 사용 시 도메인 하이재킹(Domain Hijacking) 위험이 존재함

DNS 설정 부주의로 인해 악성 사이트(Malicious Site)가 서브도메인으로 생성되어 피해 발생

Github 측의 도메인 소유권 검증 부재(Lack of Domain Ownership Verification)가 문제의 근본 원인으로 지적됨

커뮤니티에서는 TXT 레코드 기반 검증(TXT Record Verification) 또는 와일드카드 레코드 사용 제한을 제안함

와일드카드 DNS 레코드(Wildcard DNS Records)의 위험성

Github Pages에서 와일드카드 DNS 레코드(Wildcard DNS Records)를 사용할 경우, 서브도메인에 대한 소유권 검증이 미흡하여 도메인 하이재킹(Domain Hijacking)에 취약하다. 특히, `*.example.com`과 같은 설정은 `example.com`을 검증해도 `b.a.example.com`과 같은 서브도메인에 대한 보호를 제공하지 못한다. 이는 공격자가 손쉽게 악성 사이트를 배포할 수 있는 환경을 조성한다.

Github Pages의 도메인 소유권 검증 부재

Github Pages는 도메인 소유권을 엄격하게 검증하지 않아, 사용자가 DNS 설정을 잘못 구성할 경우 악의적인 목적으로 도메인이 악용될 수 있다. 커뮤니티에서는 TXT 레코드 기반의 검증 방식을 도입하거나, 와일드카드 레코드 사용을 제한하는 등 보안 강화 방안(Security Enhancement)을 제안한다. 이는 데이터 격리 아키텍처(Data Isolation Architecture)를 강화하는 데 기여할 수 있다.

DNS 설정 오류로 인한 피해 사례

실제 사례에서, 저자는 DNS 설정을 부주의하게 구성하여 자신의 도메인이 악성 사이트에 의해 악용되는 피해를 입었다. 이는 Google Search Console을 통해 인지되었으며, 광고성 사이트(Advertising Site)가 서브도메인으로 생성되어 사용자들에게 피해를 줄 수 있었다. 이러한 사례는 DNS 설정의 중요성을 강조하며, GDPR 규제 준수(GDPR Compliance)를 위한 보안 조치의 필요성을 시사한다.

Github Pages의 개선 방향

Github Pages는 도메인 소유권 검증을 강화하고, DNS 설정 오류에 대한 경고 기능을 개선해야 한다. 특히, 도메인 설정 페이지에서 와일드카드 레코드 사용에 대한 경고를 명확히 표시하고, TXT 레코드 기반의 검증 방식을 도입하는 것이 필요하다. 이러한 개선은 데이터 미저장 정책(Zero-Retention Policy)을 준수하는 안전한 웹 환경을 구축하는 데 기여할 수 있다.