Използване на подобни Unicode символи за заобикаляне на аутентификацията

GitHub стана подложена на атака, която позволява придобиване на достъп до профила чрез манипулация с Unicode символи в имейла. Проблемът е свързан с това, че някои Unicode символи, когато се прилагат функции за трансформация в малки или големи букви, се трансформират в обикновени символи, които са близки по форма (когато няколко различни символа се трансформират в един символ — например, турският символ «ı» и «i» при преобразуване в голяма буква стават «I»).

Преди проверка на входните параметри в някои услуги и приложения, данните, подадени от потребителя, първоначално се преобразуват в големи или малки букви, а след това се проверяват в базата данни. Ако услугата допуска използването на unicode символи в логина или имейла, атакуващият може да използва подобни unicode символи за извършване на атака, манипулираща колизии в таблиците за преобразуване на регистъра на символите (Unicode Case Mapping Collisions).

‘ß’.toUpperCase() == ‘ss’.toUpperCase() // 0x0131
‘K’.toLowerCase() == ‘K’.toLowerCase() // 0x212A
‘John@Gıthub.com’.toUpperCase() == ‘John@Github.com’.toUpperCase()

В GitHub атакуващият можеше да инициира изпращането на код за възстановяване на друг имейл чрез формата за възстановяване на забравена парола, като посочи в формата адрес, включващ unicode символ, предизвикващ колизия (например, вместо mike@example.org, имейлът се указваше мıke@example.org). Адресът минаваше проверка, тъй като се преобразуваше в големи букви и съвпадаше с изходния адрес (mike@example.org), но при изпращането на имейла се подменяше и кода за възстановяване отиваше на фалшивия адрес (mıke@example.org).

Някои от символа, предизвикващи колизии при преобразуване на регистъра:

ß 0x00DF SS
ı 0x0131 I
ſ 0x017F S
ff 0xFB00 FF
fi 0xFB01 FI
fl 0xFB02 FL
ffi 0xFB03 FFI
ffl 0xFB04 FFL
ſt 0xFB05 ST
st 0xFB06 ST
K 0x212A k

Източник: opennet.ru