नावातील समान युनिकोड वर्णांसह फिशिंग डोमेनची नोंदणी करण्याची क्षमता

विद्राव्य पासून संशोधक ओळखले डोमेन नोंदणी करण्याचा एक नवीन मार्ग होमोग्लिफ्स, दिसण्यात इतर डोमेनसारखेच, परंतु भिन्न अर्थ असलेल्या वर्णांच्या उपस्थितीमुळे प्रत्यक्षात भिन्न. तत्सम आंतरराष्ट्रीयीकृत डोमेन (आयडीएन) पहिल्या दृष्टीक्षेपात सुप्रसिद्ध कंपन्या आणि सेवांच्या डोमेनपेक्षा भिन्न असू शकत नाहीत, जे त्यांना फिशिंगसाठी वापरण्याची परवानगी देतात, त्यांच्यासाठी योग्य TLS प्रमाणपत्रे मिळवण्यासह.

वेगवेगळ्या वर्णमालांमधील वर्ण मिसळण्यावर बंदी घातल्याबद्दल धन्यवाद, ब्राउझर आणि रजिस्ट्रारमध्ये वरवर समान दिसणाऱ्या IDN डोमेनद्वारे क्लासिक प्रतिस्थापन दीर्घकाळ अवरोधित केले गेले आहे. उदाहरणार्थ, एक डमी डोमेन apple.com (“xn--pple-43d.com”) लॅटिन “a” (U+0061) ला सिरिलिक “a” (U+0430) सह बदलून तयार केले जाऊ शकत नाही, कारण डोमेनमधील अक्षरे वेगवेगळ्या वर्णमालांमधून मिसळण्याची परवानगी नाही. 2017 मध्ये होती आढळले लॅटिन वर्णमाला (उदाहरणार्थ, लॅटिन सारख्या वर्णांसह भाषा चिन्हे वापरणे) न वापरता, डोमेनमध्ये फक्त युनिकोड वर्ण वापरून अशा संरक्षणास बायपास करण्याचा एक मार्ग.

रजिस्ट्रार लॅटिन आणि युनिकोडचे मिश्रण अवरोधित करतात या वस्तुस्थितीवर आधारित, आता संरक्षणास बायपास करण्याची दुसरी पद्धत सापडली आहे, परंतु डोमेनमध्ये निर्दिष्ट केलेले युनिकोड वर्ण लॅटिन वर्णांच्या गटाशी संबंधित असल्यास, अशा मिश्रणास अनुमती आहे, कारण वर्ण त्यांच्या मालकीचे आहेत. समान वर्णमाला. समस्या विस्तारात आहे युनिकोड लॅटिन IPA लॅटिन वर्णमालाच्या इतर वर्णांप्रमाणेच समरूपी अक्षरे आहेत:
चिन्ह "ɑ"अ" सारखे दिसते, "ɡ"-"जी", "ɩ"-"l".

डोमेन नोंदणी करण्याची शक्यता ज्यामध्ये लॅटिन वर्णमाला विशिष्ट युनिकोड वर्णांसह मिसळली आहे ते रजिस्ट्रार व्हेरिसाइनने ओळखले होते (इतर निबंधकांची चाचणी घेण्यात आली नव्हती), आणि ऍमेझॉन, Google, वसाबी आणि डिजिटलओशनच्या सेवांमध्ये सबडोमेन तयार केले गेले. गेल्या वर्षी नोव्हेंबरमध्ये ही समस्या आढळून आली होती आणि सूचना पाठवल्या असूनही, तीन महिन्यांनंतर केवळ Amazon आणि Verisign मध्ये शेवटच्या क्षणी त्याचे निराकरण करण्यात आले.

प्रयोगादरम्यान, संशोधकांनी पुढील डोमेनची Verisign सह नोंदणी करण्यासाठी $400 खर्च केले:

• amɑzon.com
• chɑse.com
• sɑlesfor.com
• .mɑil.com
• .ppɩe.com
• ebɑy.com
• aticstatic.com
• steɑmppowered.com
• theɡguardian.com
• theverɡe.com
• वॉशिनॉनपोस्ट.कॉम
• pɑypɑɩ.com
• wɑlmɑrt.com
• wɑsɑbisys.com
• yɑhoo.com
• cɩoudfɩare.com
• deɩɩ.com
• gmɑiɩ.com
• www.gooɡleapis.com
• huffinɡtonpost.com
• instaram.com
• मायक्रोसॉफ्टनोइन.कॉम
• mɑzonɑws.com
• roidndroid.com
• नेटफिक्स डॉट कॉम
• nvidiɑ.com
• .oogɩe.com

संशोधकांनीही लाँच केले ऑनलाइन सेवा आधीपासून नोंदणीकृत डोमेन आणि समान नावांसह TLS प्रमाणपत्रे तपासण्यासह, होमोग्लिफसह संभाव्य पर्यायांसाठी तुमचे डोमेन तपासण्यासाठी. HTTPS प्रमाणपत्रांसाठी, प्रमाणपत्र पारदर्शकता लॉगद्वारे समरूपी 300 डोमेन तपासले गेले, त्यापैकी 15 प्रमाणपत्रांची निर्मिती नोंदवली गेली.

सध्याचे क्रोम आणि फायरफॉक्स ब्राउझर असे डोमेन ॲड्रेस बारमध्ये "xn--" उपसर्गासह नोटेशनमध्ये प्रदर्शित करतात, तथापि, लिंक्समध्ये डोमेन रूपांतरणाशिवाय दिसतात, ज्याचा वापर दुर्भावनापूर्ण संसाधने किंवा पृष्ठांवर दुवे घालण्यासाठी केला जाऊ शकतो. त्यांना कायदेशीर साइटवरून डाउनलोड करणे. उदाहरणार्थ, होमोग्लिफसह ओळखल्या गेलेल्या डोमेनपैकी एकावर, jQuery लायब्ररीच्या दुर्भावनापूर्ण आवृत्तीचे वितरण रेकॉर्ड केले गेले.

स्त्रोत: opennet.ru