Forskere fra Soluble en ny måde at registrere domæner med , der ligner andre domæner, men faktisk adskiller sig på grund af tilstedeværelsen af tegn med en anden betydning. Sådanne internationaliserede domæner () kan ved første øjekast ikke skelnes fra domæner til kendte virksomheder og tjenester, hvilket muliggør brugen af dem til phishing, herunder modtagelse af gyldige TLS-certifikater for dem.
Den klassiske substitution via et visuelt lignende IDN-domæne er længe blevet blokeret i browsere og hos registratorer, takket være forbud mod at blande tegn fra forskellige alfabeter. For eksempel kan et falsk domæne a-pple.com (»xn--pple-43d.com«) ikke oprettes ved at erstatte den latinske «a» (U+0061) med den kyrilliske «а» (U+0430), da blanding af bogstaver fra forskellige alfabeter ikke er tilladt. I 2017 blev der fundet en metode til at omgå denne beskyttelse ved kun at bruge unicode-tegn i domænet uden at bruge latinske tegn (f.eks. ved hjælp af tegn fra sprog med lignende symboler til latinske).
Nu er der fundet endnu en metode til at omgå beskyttelsen, baseret på at registratorer blokerer blanding af latinske og Unicode-tegn, men hvis de angivne Unicode-tegn i domænet tilhører gruppen af latinske tegn, er sådan blanding tilladt, da tegnene tilhører det samme alfabet. Problemet er, at der i udvidelsen findes homoglyphs, der ligner andre tegn i det latinske alfabet:
symbolet «» minder om «a», «» — «g», «» — «l».
Muligheden for at registrere domæner, hvor latinske tegn blandes med de angivne Unicode-tegn, er blevet identificeret hos registratoren Verisign (andre registratorer er ikke blevet tjekket), og underdomæner er blevet oprettet i tjenester som Amazon, Google, Wasabi og DigitalOcean. Problemet blev opdaget i november sidste år, og på trods af de sendte meddelelser blev det først i sidste øjeblik løst i Amazon og Verisign tre måneder senere.
Under eksperimentet har forskerne brugt 400 dollars på at registrere følgende domæner hos Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Forskere har også lanceret til at kontrollere dine domæner for mulige alternative versioner med homoglyphs, herunder kontrollen af allerede registrerede domæner og TLS-certifikater med lignende navne. Hvad angår HTTPS-certifikater, blev 300 domæner med homoglyphs kontrolleret gennem logs fra Certificate Transparency, hvoraf 15 havde genereret certifikater.
De aktuelle browsere Chrome og Firefox viser sådanne domæner i adresselinjen i notationen med præfikset "xn--", men i links fremstår domænerne uden omformatering, hvilket kan bruges til indsættelse på skadelige ressource-sider eller links, der ser ud til at komme fra legitime websteder. For eksempel blev der registreret udbredelse af en skadelig variant af jQuery-biblioteket på et af de identificerede domæner med homoglyphs.
Kilde: opennet.ru
