Onderzoekers van het bedrijf Soluble een nieuwe manier om domeinen te registreren met , die uiterlijk op andere domeinen lijken, maar feitelijk verschillen door de aanwezigheid van symbolen met een andere betekenis. Dergelijke internationaal geïndividualiseerde domeinen () kunnen op het eerste gezicht onzichtbaar zijn van bekende bedrijven en diensten, wat het mogelijk maakt om ze voor phishing te gebruiken, inclusief het verkrijgen van correcte TLS-certificaten voor hen.
De klassieke vervanging door een visueel vergelijkbare IDN-domein is al geruime tijd geblokkeerd in browsers en door registrators, dankzij het verbod op het mengen van tekens uit verschillende alfabetten. Bijvoorbeeld, het vervangende domein аpple.com (‘xn--pple-43d.com’) kan niet worden aangemaakt door de Latijnse ‘a’ (U+0061) te vervangen door de Cyrilische ‘а’ (U+0430), omdat het mengen van letters uit verschillende alfabetten niet is toegestaan. In 2017 was er een manier om deze bescherming te omzeilen door alleen unicode-symbolen in het domein te gebruiken, zonder het gebruik van het Latijn (bijvoorbeeld met behulp van symbolen van een taal die op Latijns lijkt).
Nu is er een andere methode gevonden om bescherming te omzeilen, gebaseerd op het feit dat registrators het mengen van Latijns en Unicode blokkeren, maar als de in het domein aangegeven Unicode-symbolen tot de groep Latijnse symbolen behoren, is het mengen toegestaan, omdat de symbolen tot hetzelfde alfabet behoren. Het probleem is dat in de uitbreiding homo-glyphen aanwezig zijn, die lijken op andere symbolen van het Latijnse alfabet:
symbool “” lijkt op “a”, “” — “g”, “” — “l”.
De mogelijkheid om domeinen te registreren waarin Latijns wordt gemengd met de aangegeven Unicode-symbolen, is ontdekt bij registrator Verisign (andere registrators werden niet getest), en subdomeinen konden worden aangemaakt in diensten zoals Amazon, Google, Wasabi en DigitalOcean. Het probleem werd afgelopen november ontdekt en, ondanks verzonden notificaties, werd het na drie maanden eindelijk alleen bij Amazon en Verisign opgelost.
Tijdens het experiment gaven onderzoekers 400 dollar uit om de volgende domeinen te registreren bij Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Onderzoekers hebben ook een om alternatieve varianten van je domeinen met homoglyphs te controleren, inclusief de controle van reeds geregistreerde domeinen en TLS-certificaten met vergelijkbare namen. Wat betreft HTTPS-certificaten, is via de logs van Certificate Transparency gecontroleerd op 300 domeinen met homoglyphs, waarvan voor 15 de generatie van certificaten is vastgesteld.
De actuele browsers Chrome en Firefox tonen dergelijke domeinen in de adresbalk in de notatie met de prefix "xn--", desalniettemin verschijnen de domeinen in links zonder transformatie, wat kan worden gebruikt om hen op kwaadaardige pagina's of links te plaatsen, onder het mom van hun download van legitieme sites. Bijvoorbeeld, op een van de ontdekte domeinen met homoglyphs werd de verspreiding van een kwaadaardige variant van de jQuery-bibliotheek vastgesteld.
Bron: opennet.ru
