Výzkumníci ze společnosti Soluble nový způsob registrace domén s , které na první pohled vypadají jako jiné domény, ale ve skutečnosti se liší kvůli přítomnosti znaků s jiným významem. Takové internacionalizované domény () se na první pohled nemusí od domén známých společností a služeb lišit, což umožňuje jejich využití k phishingu, včetně získání správných TLS certifikátů.
Klasická podvržení pomocí vizuálně podobného IDN domény byla dávno zablokována v prohlížečích a registrátory, díky zákazu míchání symbolů z různých abeced. Například podvržená doména aapple.com ("xn--pple-43d.com") nelze vytvořit výměnou latinské „a" (U+0061) za cyrilické „а" (U+0430), neboť míchání znaků z různých abeced není povoleno. V roce 2017 byl způsob obcházení takové ochrany nalezen prostřednictvím použití pouze unicode znaků v doméně, bez použití latinky (například pomocí znaků jazyka s podobnými znaky jako je latinka).
Nyní byl nalezen další způsob obcházení ochrany, založený na tom, že registrátoři zablokují míchání latinky a Unicode, ale pokud uvedené v doméně Unicode znaky patří do skupiny latinských znaků, takové míchání je povoleno, neboť znaky patří do jedné abecedy. Problém je v tom, že v rozšíření se nacházejí omoglyphy, které vypadají podobně jako jiné symboly latinského abecedy:
symbol „“ připomíná „a“, „“ — „g“, „“ — „l“.
Možnost registrace domén, ve kterých se latinka mísí s uvedenými Unicode znaky, byla zjištěna u registrátora Verisign (jiní registrátoři nebyli ověřeni), a subdomény se podařilo vytvořit v službách Amazon, Google, Wasabi a DigitalOcean. Problém byl nalezen v listopadu loňského roku a, navzdory odeslaným upozorněním, byl po třech měsících odstraněn pouze v Amazonu a Verisign.
Během experimentu výzkumníci utratili 400 dolarů za registraci následujících domén u Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Výzkumníci také spustili pro ověření svých domén na možnou alternativní varianty s homoglyphy, včetně kontroly již registrovaných domén a TLS certifikátů se podobnými názvy. Pokud jde o HTTPS certifikáty, bylo prostřednictvím logů Certificate Transparency zkontrolováno 300 domén s homoglyphy, z nichž pro 15 byla zaznamenána generace certifikátů.
Aktuální prohlížeče Chrome a Firefox zobrazují podobné domény v adresním řádku v notaci s prefixem „xn--“, nicméně v odkazu se domény jeví bez transformace, což lze využít k vložení na stránky škodlivých zdrojů nebo odkazů, pod záminkou jejich stažení z legitimních stránek. Například na jedné z identifikovaných domén s homoglyphy bylo zaznamenáno šíření škodlivé varianty knihovny jQuery.
Zdroj: opennet.ru
