I ricercatori dell'azienda Soluble un nuovo modo di registrare domini con , che esternamente sembrano simili ad altri domini, ma si differenziano effettivamente a causa della presenza di simboli con significati diversi. Questi domini internazionalizzati () possono, a prima vista, non differire da quelli di aziende e servizi noti, permettendo così il loro utilizzo per il phishing, incluso ottenere loro certificati TLS corretti.
La classica sostituzione tramite un dominio IDN simile è da tempo bloccata nei browser e dai registrar, grazie al divieto di mescolare simboli di alfabeti diversi. Ad esempio, un dominio di tipo aPPLE.com («xn--pple-43d.com») non può essere creato sostituendo la «a» latina (U+0061) con la «а» cirillica (U+0430), poiché il mescolamento di lettere di diversi alfabeti nel dominio non è consentito. Nel 2017 è stato trovato un modo per eludere tale protezione attraverso l'uso di simboli unicode nel dominio, senza utilizzare simboli latini (ad esempio, utilizzando simboli di lingue con simboli simili a quelli latini).
Ora è stato trovato un ulteriore metodo per eludere la protezione, basato sul fatto che i registrar bloccano il mescolamento di latini e unicode, ma se i simboli unicode specificati nel dominio appartengono al gruppo dei simboli latini, tale mescolamento è consentito, poiché i simboli appartengono allo stesso alfabeto. Il problema è che nell'estensione ci sono omoglifos che sembrano scritti in modo simile ad altri simboli dell'alfabeto latino:
il simbolo «» ricorda «a», «» — «g», «» — «l».
La possibilità di registrare domini in cui il latino si mescola ai simboli unicode specificati è stata identificata presso il registrar Verisign (non sono stati verificati altri registrar), e i sottodomini sono stati creati presso i servizi Amazon, Google, Wasabi e DigitalOcean. Il problema è stato identificato nel novembre dello scorso anno e, nonostante le notifiche inviate, tre mesi dopo è stato risolto solo all'ultimo momento in Amazon e Verisign.
Nel corso dell'esperimento, i ricercatori hanno speso 400 dollari per registrare presso Verisign i seguenti domini:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
I ricercatori hanno anche avviato per controllare i propri domini per eventuali alternative con omoglifos, inclusa la verifica dei domini già registrati e dei certificati TLS con nomi simili. Per quanto riguarda i certificati HTTPS, sono stati verificati 300 domini con omoglifos attraverso i log di Certificate Transparency, di cui 15 hanno registrato la generazione di certificati.
I browser attuali Chrome e Firefox visualizzano domini simili nella barra degli indirizzi con la notazione con prefisso «xn--«; tuttavia, nei collegamenti i domini appaiono senza trasformazioni, il che può essere sfruttato per l'inserimento in pagine di risorse o collegamenti malevoli, mascherati da download da siti legittimi. Ad esempio, su uno dei domini con omoglifos identificati è stata rilevata la diffusione di una variante malevola della libreria jQuery.
Fonte: opennet.ru
