Penyelidik dari Soluble cara baharu untuk mendaftar domain dengan , rupanya serupa dengan domain lain, tetapi sebenarnya berbeza kerana kehadiran watak dengan makna yang berbeza. Domain antarabangsa yang serupa () mungkin pada pandangan pertama tidak berbeza daripada domain syarikat dan perkhidmatan terkenal, yang membolehkan mereka digunakan untuk pancingan data, termasuk mendapatkan sijil TLS yang betul untuk mereka.
Penggantian klasik melalui domain IDN yang kelihatan serupa telah lama disekat dalam penyemak imbas dan pendaftar, terima kasih kepada larangan mencampurkan aksara daripada abjad yang berbeza. Sebagai contoh, domain dummy apple.com (“xn--pple-43d.com”) tidak boleh dibuat dengan menggantikan Latin “a” (U+0061) dengan Cyrillic “a” (U+0430), kerana huruf dalam domain dicampur daripada abjad yang berbeza tidak dibenarkan. Pada tahun 2017 ada satu cara untuk memintas perlindungan sedemikian dengan hanya menggunakan aksara unicode dalam domain, tanpa menggunakan abjad Latin (contohnya, menggunakan simbol bahasa dengan aksara yang serupa dengan Latin).
Kini kaedah lain untuk memintas perlindungan telah ditemui, berdasarkan fakta bahawa pendaftar menyekat pencampuran Latin dan Unicode, tetapi jika aksara Unicode yang dinyatakan dalam domain tergolong dalam kumpulan aksara Latin, pencampuran sedemikian dibenarkan, kerana aksara itu tergolong dalam abjad yang sama. Masalahnya ialah dalam sambungan terdapat homoglyph yang serupa secara bertulis dengan aksara lain dalam abjad Latin:
simbol "" menyerupai "a", "" - "g", "" - "l".
Kemungkinan mendaftarkan domain di mana abjad Latin bercampur dengan aksara Unicode yang ditentukan telah dikenal pasti oleh pendaftar Verisign (pendaftar lain tidak diuji), dan subdomain dicipta dalam perkhidmatan Amazon, Google, Wasabi dan DigitalOcean. Masalah itu ditemui pada November tahun lepas dan, walaupun pemberitahuan dihantar, tiga bulan kemudian ia telah diperbaiki pada saat-saat akhir hanya di Amazon dan Verisign.
Semasa percubaan, penyelidik membelanjakan $400 untuk mendaftarkan domain berikut dengan Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatik.com
- steɑmpowered.com
- theɡguardian.com
- theverɡe.com
- washingtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- www.gooɡleapis.com
- huffinɡtonpost.com
- instaram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑdroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Para penyelidik juga melancarkan untuk menyemak domain anda untuk kemungkinan alternatif dengan homoglyphs, termasuk menyemak domain yang telah didaftarkan dan sijil TLS dengan nama yang serupa. Bagi sijil HTTPS, 300 domain dengan homoglyph telah disemak melalui log Ketelusan Sijil, yang mana penjanaan sijil direkodkan selama 15.
Penyemak imbas Chrome dan Firefox semasa memaparkan domain sedemikian dalam bar alamat dalam notasi dengan awalan "xn--", bagaimanapun, dalam pautan domain muncul tanpa penukaran, yang boleh digunakan untuk memasukkan sumber atau pautan berniat jahat ke halaman, di bawah samaran memuat turunnya dari tapak yang sah. Sebagai contoh, pada salah satu domain yang dikenal pasti dengan homoglyphs, pengedaran versi jahat perpustakaan jQuery telah direkodkan.
Sumber: opennet.ru