Sarnaste Unicode-märkide kasutamine autentimise möödasõiduks

GitHub osutunud rünnaku ohvriks, mis võimaldab pääseda kasutajakontole läbi Unicode-märkidega manipuleerimise e-kirjas. Probleem seisneb selles, et mõned Unicode-märgid muudetakse väikeste või suurte tähtede funktsioonide rakendamise puhul tavalisteks märkideks, mis on sarnased (kui mitmed erinevad märgid muudetakse üheks märgiks — näiteks Türgi märk «ı» ja «i» muudetakse suurtäheks «I»).

Enne sisselogimise parameetrite kontrollimist mõnedes teenustes ja rakendustes muudetakse kasutaja edastatud andmed alguses suur- või väiketäheks ning seejärel kontrollitakse andmebaasis. Kui teenus lubab Unicode-märkide kasutamist logi- või e-posti aadressis, võib ründaja kasutada sarnaseid Unicode-märke rünnaku sooritamiseks, mis manipuleerib märkide suuruse muutmise tabelite kokkulangemistega (Unicode Case Mapping Collisions).

‘ß’.toUpperCase() == ‘ss’.toUpperCase() // 0x0131
‘K’.toLowerCase() == ‘K’.toLowerCase() // 0x212A
‘John@Gıthub.com’.toUpperCase() == ‘John@Github.com’.toUpperCase()

GitHubis ründaja võis aktiveerida taastamise koodi saatmine teisele e-posti aadressile, kasutades taastamise vormis aadressi, milles on unicode-märk, mis põhjustab konflikti (näiteks, kui mike@example.org asemel kasutati e-posti aadressi mıke@example.org). Aadress läbis kontrolli, kuna see muudeti suurteks tähtedeks ja kattus algse aadressiga (mike@example.org), kuid e-kirja saatmisel tehti see nii ja taastamiskood saadeti valele aadressile (mıke@example.org).

Mõned sümbolit, mis põhjustavad konflikte suuruse muutmisega:

ß 0x00DF SS
ı 0x0131 I
ſ 0x017F S
ff 0xFB00 FF
fi 0xFB01 FI
fl 0xFB02 FL
ffi 0xFB03 FFI
ffl 0xFB04 FFL
ſt 0xFB05 ST
st 0xFB06 ST
K 0x212A k

Allikas: opennet.ru