Vedci z firmy Soluble nový spôsob registrácie domén s , navonok podobnými iným doménam, ale skutočne sa líšiacimi kvôli prítomnosti znakov s iným významom. Podobné internacionalizované domény () môžu na prvý pohľad nevyzerať odlišne od domén známych spoločností a služieb, čo umožňuje ich využívanie na phishing, vrátane získania pre nich správnych TLS certifikátov.
Klasická náhrada pomocou navonok podobného IDN-domena bola už dávno zablokovaná v prehliadačoch a registrátormi, vďaka zákazu miešania znakov z rôznych abeced. Napríklad, neobjaví sa falošný domén a-pple.com („xn--pple-43d.com“) prostredníctvom substitúcie latinskej „a“ (U+0061) za cyrilickú „а“ (U+0430), pretože miešanie písmen z rôznych abeced nie je povolené. V roku 2017 bol spôsob obídenia takejto ochrany prostredníctvom využitia v doméne iba unicode-znakov, bez použitia latinky (napríklad pomocou znakov jazykov s podobnými znaky na latinku).
Teraz bol nájdený ďalší spôsob obídenia ochrany, založený na tom, že registrátori blokujú miešanie latinky a Unicode, ale ak zadané v doméne Unicode-znaky patrí do skupiny latinských znakov, takéto miešanie je povolené, keďže znaky patria do jednej abecedy. Problém je v tom, že v rozšírení sa nachádzajú omoglify, ktoré vyzerajú podobne na iné znaky latinskej abecedy:
znak „“ pripomína „a“, „“ — „g“, „“ — „l“.
Možnosť registrácie domén, v ktorých sa latinka mieša s uvedenými Unicode znakmi, bola zistená u registrátora Verisign (iné registrátory neboli overené), pričom subdomény sa podarilo vytvoriť v službách Amazon, Google, Wasabi a DigitalOcean. Problém bol nájdený v novembri minulého roka a napriek zaslaným oznámeniam, po troch mesiacoch bol v poslednom momente odstránený iba v Amazon a Verisign.
Počas experimentu vedci utratili 400 dolárov za registráciu nasledujúcich domén v Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- ɡmɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatic.com
- steɑmpowered.com
- theɡuardian.com
- theverɡe.com
- washinɡtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- gooɡleapis.com
- huffinɡtonpost.com
- instaɡram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ɑndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Vedci tiež spustili na kontrolu svojich domén na prítomnosť možných alternatívnych variantov s omoglifmi, vrátane kontroly už registrovaných domén a TLS certifikátov s podobnými názvami. Čo sa týka HTTPS certifikátov, bolo overené 300 domén s omoglifmi prostredníctvom záznamov Certificate Transparency, pričom pre 15 z nich bola zaznamenaná generácia certifikátov.
Aktuálne prehliadače Chrome a Firefox zobrazujú podobné domény v adresnom riadku v notácii s prefixom „xn--“, avšak v odkazoch sa domény zobrazujú bez transformácie, čo môže byť využité na vkladanie na stránky škodlivých zdrojov alebo odkazov, pod zámienkou ich načítania z legitímnych stránok. Napríklad, na jednom z odhalených domén s omoglifmi bolo zaznamenané šírenie škodlivého variantu knižnice jQuery.
Zdroj: opennet.ru
