Forscher von Soluble neue Methode zur Registrierung von Domains mit , die äußerlich anderen Domains ähneln, sich aber tatsächlich durch das Vorhandensein von Symbolen mit abweichender Bedeutung unterscheiden. Solche internationalisierten Domains () können auf den ersten Blick von den Domains bekannter Unternehmen und Dienste nicht unterschieden werden, was ihre Verwendung für Phishing ermöglicht, einschließlich der Erhaltung korrekter TLS-Zertifikate für sie.
Der klassische Missbrauch über eine äußerlich ähnliche IDN-Domain wurde seit langem in Browsern und bei Registraren blockiert, dank des Verbots der Vermischung von Zeichen aus verschiedenen Alphabeten. Beispielsweise kann die eingetragene Domain аpple.com („xn--pple-43d.com“) nicht durch den Austausch des lateinischen „a“ (U+0061) mit dem kyrillischen „а“ (U+0430) erstellt werden, da die Vermischung von Buchstaben aus verschiedenen Alphabeten in einer Domain nicht zulässig ist. Im Jahr 2017 wurde ein Umgehungsweg dieser Art von Schutz entdeckt, indem nur Unicode-Zeichen in der Domain verwendet werden, ohne lateinische Zeichen (zum Beispiel unter Verwendung von Zeichen aus Sprachen mit ähnlichen Zeichen wie dem Lateinischen).
Jetzt wurde eine weitere Methode zur Umgehung des Schutzes gefunden, basierend darauf, dass Registrare die Vermischung von Lateinschrift und Unicode blockieren, aber wenn die in der Domain angegebenen Unicode-Zeichen aus der Gruppe der lateinischen Zeichen stammen, ist eine solche Vermischung zulässig, da die Zeichen zu einem Alphabet gehören. Das Problem ist, dass in der Erweiterung Homographen vorhanden sind, die in ihrer Schreibweise anderen Zeichen des lateinischen Alphabets ähneln:
Das Zeichen „“ ähnelt „a“, „“ — „g“, „“ — „l“.
Die Möglichkeit, Domains zu registrieren, in denen Lateinschrift mit den angegebenen Unicode-Zeichen vermischt wird, wurde beim Registrar Verisign festgestellt (andere Registrare wurden nicht überprüft), und Subdomains konnten bei den Diensten Amazon, Google, Wasabi und DigitalOcean erstellt werden. Das Problem wurde im November letzten Jahres entdeckt und, trotz gesendeter Benachrichtigungen, drei Monate später in letzter Minute nur bei Amazon und Verisign behoben.
Im Rahmen des Experiments gaben die Forscher 400 Dollar aus und registrierten bei Verisign die folgenden Domains:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Die Forscher haben auch einen Zur Überprüfung Ihrer Domains auf mögliche alternative Varianten mit Homoglyphen, einschließlich der Überprüfung bereits registrierter Domains und TLS-Zertifikate mit ähnlichen Namen. Was die HTTPS-Zertifikate betrifft, wurden über die Protokolle der Certificate Transparency 300 Domains mit Homoglyphen überprüft, wovon für 15 die Generierung von Zertifikaten festgestellt wurde.
Aktuelle Browser wie Chrome und Firefox zeigen solche Domains in der Adressleiste in der Notation mit dem Präfix „xn--“ an, dennoch erscheinen die Domains in den Links ohne Umwandlung, was für die Einfügung auf Seiten von bösartigen Ressourcen oder Links verwendet werden kann, um sie als legale Site zu tarnen. Beispielsweise wurde bei einer der entdeckten Domains mit Homoglyphen die Verbreitung einer bösartigen Version der jQuery-Bibliothek festgestellt.
Quelle: opennet.ru
