Peneliti saka Soluble cara anyar kanggo ndhaftar domain karo , katon padha karo domain liyane, nanging sejatine beda amarga anane paraga kanthi makna sing beda. Domain internasional sing padha () bisa uga sepisanan ora beda karo domain perusahaan lan layanan sing kondhang, sing ngidini supaya bisa digunakake kanggo phishing, kalebu entuk sertifikat TLS sing bener kanggo dheweke.
Substitusi klasik liwat domain IDN sing katon padha wis suwe diblokir ing browser lan registrar, amarga larangan kanggo nyampur karakter saka aksara sing beda-beda. Contone, domain dummy apple.com (“xn--pple-43d.com”) ora bisa digawe kanthi ngganti Latin “a” (U+0061) nganggo Cyrillic “a” (U+0430), amarga aksara ing domain sing dicampur saka aksara beda ora diijini. Ing 2017 ana cara kanggo ngliwati proteksi kasebut kanthi mung nggunakake karakter unicode ing domain kasebut, tanpa nggunakake aksara Latin (contone, nggunakake simbol basa kanthi karakter sing padha karo Latin).
Saiki cara liya kanggo ngliwati proteksi wis ditemokake, adhedhasar kasunyatan manawa registrar mblokir campuran Latin lan Unicode, nanging yen karakter Unicode sing ditemtokake ing domain kasebut kalebu klompok karakter Latin, campuran kasebut diidini, amarga karakter kasebut kalebu aksara padha. Masalah iku ing extension Ana homoglyphs padha ing nulis kanggo karakter liyane saka aksara Latin:
simbol""mirip "a", ""-"g", ""- "l".
Kamungkinan ndhaptar domain sing aksara Latin dicampur karo karakter Unicode sing ditemtokake diidentifikasi dening registrar Verisign (pendaftar liyane ora diuji), lan subdomain digawe ing layanan Amazon, Google, Wasabi lan DigitalOcean. Masalah kasebut ditemokake ing Nopember taun kepungkur lan, sanajan kabar dikirim, telung sasi mengko diatasi ing menit pungkasan mung ing Amazon lan Verisign.
Sajrone eksperimen, para peneliti mbuwang $400 kanggo ndhaptar domain ing ngisor iki karo Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- mɑil.com
- ɑppɩe.com
- ebɑy.com
- statis.com
- steɑmpowered.com
- theɡguardian.com
- theverɡe.com
- washingtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- www.gooɡleapis.com
- huffinɡtonpost.com
- instaram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Peneliti uga diluncurake kanggo mriksa domain sampeyan kanggo alternatif sing bisa nganggo homoglyph, kalebu mriksa domain sing wis kadhaptar lan sertifikat TLS kanthi jeneng sing padha. Kanggo sertifikat HTTPS, 300 domain kanthi homoglyphs dicenthang liwat log Transparansi Sertifikat, sing ngasilake sertifikat direkam kanggo 15.
Browser Chrome lan Firefox saiki nampilake domain kasebut ing bilah alamat ing notasi kanthi ater-ater "xn--", nanging ing pranala, domain kasebut katon tanpa konversi, sing bisa digunakake kanggo nglebokake sumber daya utawa pranala menyang kaca, kanthi kedok saka ngundhuh saka situs sing sah. Contone, ing salah siji saka domain dikenali karo homoglyphs, distribusi versi angkoro perpustakaan jQuery direkam.
Source: opennet.ru