Използване на подобни Unicode символи за заобикаляне на удостоверяването

GitHub озовал е податлив на атака, която ви позволява да конфискувате достъп до акаунт чрез манипулиране на Unicode символи в имейл. Проблемът е, че някои символи на Unicode, когато се използват функциите за преобразуване на малки или главни букви, се превеждат в обикновени знаци, които са подобни по стил (когато няколко различни знака се превеждат в един знак - например турският знак "ı" и "i" ", когато се преобразуват в главни букви, се преобразуват в "I").

Преди проверка на параметрите за влизане в някои услуги и приложения, предоставените от потребителя данни първо се конвертират в главни или малки букви и след това се проверяват в базата данни. Ако дадена услуга позволява използването на уникод символи в данни за вход или имейл, тогава атакуващият може да използва подобни уникод знаци, за да извърши атака, която манипулира сблъсъци в Unicode Case Mapping Collisions.

'ß'.toUpperCase() == 'ss'.toUpperCase() // 0x0131
'K'.toLowerCase() == 'K'.toLowerCase() // 0x212A
'John@Gıthub.com'.toUpperCase() == '[имейл защитен]'.toUpperCase()

Нападател на GitHub могъл чрез формуляра за възстановяване на забравена парола инициирайте изпращане на код за възстановяване на друг имейл, като посочите във формуляра адрес, който включва уникод символ, който причинява сблъсък (например вместо [имейл защитен] е посочен имейл mı[имейл защитен]). Адресът премина теста, защото беше преобразуван в главни букви и съответстваше на оригиналния адрес ([имейл защитен] ), но при изпращане на писмото то беше заменено както е и кодът за възстановяване беше изпратен на фалшив адрес (mı[имейл защитен]).

Някои от знаци, причинявайки сблъсъци при преобразуване на регистъра:

ß 0x00DF SS
ı 0x0131 I
ſ 0x017F S
ff 0xFB00 FF
fi 0xFB01 FI
fl 0xFB02 FL
 0xFB03 FFI
0xFB04 FFL
 0xFB05 ST
 0xFB06 ST
K 0x212A k

Източник: opennet.ru