Riċerkaturi minn Solubbli mod ġdid biex tirreġistra dominji magħhom , simili fid-dehra għal oqsma oħra, iżda fil-fatt differenti minħabba l-preżenza ta 'karattri b'tifsira differenti. Dominji internazzjonalizzati simili () mal-ewwel daqqa t'għajn ma jistgħux ikunu differenti mid-dominji ta' kumpaniji u servizzi magħrufa, li jippermettilhom li jintużaw għall-phishing, inkluż il-kisba ta' ċertifikati TLS korretti għalihom.
Sostituzzjoni klassika permezz ta 'dominju IDN li jidher simili ilha imblukkata fil-browsers u r-reġistraturi, grazzi għall-projbizzjoni tat-taħlit ta' karattri minn alfabeti differenti. Pereżempju, dominju finta apple.com (“xn--pple-43d.com”) ma jistax jinħoloq billi tissostitwixxi l-Latin “a” (U+0061) biċ-ċirilliku “a” (U+0430), peress li l- ittri fid-dominju huma mħallta minn alfabeti differenti mhux permess. Fl-2017 kien hemm mod biex tevita tali protezzjoni billi tuża biss karattri unicode fid-dominju, mingħajr ma tuża l-alfabett Latin (per eżempju, bl-użu ta 'simboli tal-lingwa b'karattri simili għal-Latin).
Issa nstab metodu ieħor biex tiġi evitata l-protezzjoni, ibbażat fuq il-fatt li r-reġistraturi jimblokkaw it-taħlit tal-Latin u l-Unicode, iżda jekk il-karattri Unicode speċifikati fid-dominju jappartjenu għal grupp ta’ karattri Latini, tali taħlit huwa permess, peress li l-karattri jappartjenu għal l-istess alfabett. Il-problema hija li fl-estensjoni hemm omoglifi simili bil-miktub għal karattri oħra tal-alfabett Latin:
simbolu "" tixbah "a", "" - "g", "" - "l".
Il-possibbiltà li jiġu rreġistrati dominji li fihom l-alfabett Latin huwa mħallat b'karattri speċifiċi tal-Unicode ġiet identifikata mir-reġistratur Verisign (reġistraturi oħra ma ġewx ittestjati), u sottodominji nħolqu fis-servizzi ta 'Amazon, Google, Wasabi u DigitalOcean. Il-problema ġiet skoperta f’Novembru tas-sena l-oħra u, minkejja n-notifiki mibgħuta, tliet xhur wara ġiet irranġata fl-aħħar minuta biss f’Amazon u Verisign.
Matul l-esperiment, ir-riċerkaturi nefqu $400 biex jirreġistraw id-dominji li ġejjin ma 'Verisign:
- amɑzon.com
- chɑse.com
- salesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- static.com
- steɑmpowered.com
- theɡguardian.com
- theverɡe.com
- washingtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- www.gooɡleapis.com
- huffinɡtonpost.com
- instaram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑdroid.com
- netfɩix.com
- nvidiɑ.com
- www.eog.com
Ir-riċerkaturi nedew ukoll biex tiċċekkja d-dominji tiegħek għal alternattivi possibbli b'omoglifi, inkluż l-iċċekkjar ta 'dominji diġà rreġistrati u ċertifikati TLS b'ismijiet simili. Fir-rigward taċ-ċertifikati HTTPS, 300 qasam b'omoglifi ġew iċċekkjati permezz tar-reġistri tat-Trasparenza taċ-Ċertifikat, li minnhom il-ġenerazzjoni taċ-ċertifikati ġiet irreġistrata għal 15.
Il-browsers attwali tal-Chrome u l-Firefox juru oqsma bħal dawn fil-bar tal-indirizz fin-notazzjoni bil-prefiss "xn--", madankollu, f'links id-dominji jidhru mingħajr konverżjoni, li jistgħu jintużaw biex jiddaħħlu riżorsi malizzjużi jew links fuq paġni, taħt l-iskuża. ta' tniżżilhom minn siti leġittimi. Pereżempju, fuq wieħed mid-dominji identifikati b'omoglifi, ġiet irreġistrata d-distribuzzjoni ta 'verżjoni malizzjuża tal-librerija jQuery.
Sors: opennet.ru