પ્રમાણીકરણને બાયપાસ કરવા માટે સમાન યુનિકોડ અક્ષરોનો ઉપયોગ કરવો

GitHub બહાર આવ્યું છે તે હુમલા માટે સંવેદનશીલ છે જે તમને ઈમેલમાં યુનિકોડ અક્ષરોની હેરફેર દ્વારા એકાઉન્ટની ઍક્સેસ જપ્ત કરવાની મંજૂરી આપે છે. સમસ્યા એ છે કે કેટલાક યુનિકોડ અક્ષરો, લોઅરકેસ અથવા અપરકેસ કન્વર્ઝન ફંક્શનનો ઉપયોગ કરતી વખતે, નિયમિત અક્ષરોમાં ભાષાંતર કરવામાં આવે છે જે શૈલીમાં સમાન હોય છે (જ્યારે ઘણા જુદા જુદા અક્ષરોને એક અક્ષરમાં અનુવાદિત કરવામાં આવે છે - ઉદાહરણ તરીકે, ટર્કિશ અક્ષર "ı" અને "i " જ્યારે અપરકેસમાં રૂપાંતરિત થાય છે ત્યારે "I" માં રૂપાંતરિત થાય છે).

કેટલીક સેવાઓ અને એપ્લિકેશન્સમાં લોગિન પરિમાણો તપાસતા પહેલા, વપરાશકર્તા દ્વારા પૂરા પાડવામાં આવેલ ડેટાને પહેલા અપર કે લોઅર કેસમાં રૂપાંતરિત કરવામાં આવે છે અને પછી ડેટાબેઝમાં તપાસવામાં આવે છે. જો કોઈ સેવા લોગિન અથવા ઈમેલમાં યુનિકોડ અક્ષરોના ઉપયોગની મંજૂરી આપે છે, તો હુમલાખોર યુનિકોડ કેસ મેપિંગ અથડામણમાં અથડામણને ચાલાકીથી ચાલાકી કરતા હુમલો કરવા માટે સમાન યુનિકોડ અક્ષરોનો ઉપયોગ કરી શકે છે.

'ß'.toUpperCase() == 'ss'.toUpperCase() // 0x0131
'K'.toLowerCase() == 'K'.toLowerCase() // 0x212A
'જોન@ગીથબ.કોમ'.ટુઅપરકેસ() == 'જોન@ગીથબ.કોમ'.ટુઅપરકેસ()

GitHub પર હુમલાખોર શકવું ભૂલી ગયેલા પાસવર્ડ પુનઃપ્રાપ્તિ ફોર્મ દ્વારા, ફોર્મમાં એક સરનામું સ્પષ્ટ કરીને બીજા ઇમેઇલ પર પુનઃપ્રાપ્તિ કોડ મોકલવાનું શરૂ કરો જેમાં યુનિકોડ અક્ષર શામેલ હોય જે અથડામણનું કારણ બને છે (ઉદાહરણ તરીકે, mike@example.org ને બદલે, ઇમેઇલ m ઉલ્લેખિત હતો).ıke@example.org). સરનામું ચેક પાસ થયું કારણ કે તે મોટા અક્ષરોમાં રૂપાંતરિત થયું હતું અને મૂળ સરનામાં (mike@example.org) સાથે મેળ ખાતું હતું, પરંતુ જ્યારે ઇમેઇલ મોકલવામાં આવ્યો, ત્યારે તેને જેમ છે તેમ બદલી નાખવામાં આવ્યો અને પુનઃપ્રાપ્તિ કોડ નકલી સરનામાં પર મોકલવામાં આવ્યો (mıke@example.org).

કેટલાક આ, રજિસ્ટરને કન્વર્ટ કરતી વખતે અથડામણનું કારણ બને છે:

ß 0x00DF SS
0x0131 I
ſ 0x017F એસ
0xFB00 FF
0xFB01 FI
FL 0xFB02 FL
ffi 0xFB03 FFI
0xFB04 FFL
FL 0xFB05 ST
0xFB06 ST
K 0x212A k

સોર્સ: opennet.ru