Brugen af lignende Unicode-tegn til at omgå autentificering

GitHub vist sig udsat for angreb, der muliggør overtagelse af adgang til kontoen gennem manipulation med Unicode-tegn i e-mail. Problemet relaterer sig til, at nogle Unicode-tegn i forbindelse med konverteringsfunktioner til små eller store bogstaver oversættes til almindelige tegn, der ligner (når flere forskellige tegn oversættes til ét tegn — for eksempel, det tyrkiske tegn „ı“ og „i“ bliver ved konvertering til store bogstaver til „I“).

Før kontrol af loginparametre i visse tjenester og applikationer bliver de brugerdata, der er indsendt, først konverteret til store eller små bogstaver, og derefter kontrolleret i databasen. Hvis tjenesten tillader anvendelse af unicode-tegn i brugernavnet eller e-mailen, kan angriberen anvende lignende unicode-tegn til at udføre et angreb, der manipulerer med kollisionsproblemer i tegnregistreringskonverteringstabellerne (Unicode Case Mapping Collisions).

‘ß’.toUpperCase() == ‘ss’.toUpperCase() // 0x0131
‘K’.toLowerCase() == ‘K’.toLowerCase() // 0x212A
‘John@Gıthub.com’.toUpperCase() == ‘John@Github.com’.toUpperCase()

På GitHub kunne angriberen få gennem formularen til nulstilling af password igangsætte tilsendelse af en genoprettelseskode til en anden e-mail ved at angive en adresse i formularen, som indeholder et unicode-tegn, der fremkalder en kollision (for eksempel, i stedet for mike@example.org blev e-mailen angivet som mıke@example.org). Adressen bestod kontrol, da den blev konverteret til store bogstaver og matchede den oprindelige adresse (mike@example.org), men ved afsendelse af brevet blev den indsat som den var, og genoprettelseskoden blev sendt til den falske adresse (mıke@example.org).

Nogle af tegn, der fremkalder kollisioner ved registreringskonvertering:

ß 0x00DF SS
ı 0x0131 I
ſ 0x017F S
ff 0xFB00 FF
fi 0xFB01 FI
fl 0xFB02 FL
ffi 0xFB03 FFI
ffl 0xFB04 FFL
ſt 0xFB05 ST
st 0xFB06 ST
K 0x212A k

Kilde: opennet.ru