Могућност регистрације пхисхинг домена са сличним уникод знаковима у имену

Истраживачи из Солубле-а открио нови начин регистрације домена хомоглифи, по изгледу сличан другим доменима, али заправо другачији због присуства знакова са другачијим значењем. Слични интернационализовани домени (ИДН) се на први поглед не могу разликовати од домена познатих компанија и услуга, што им омогућава да се користе за пхисхинг, укључујући добијање исправних ТЛС сертификата за њих.

Класична замена преко наизглед сличног ИДН домена одавно је блокирана у прегледачима и регистраторима, захваљујући забрани мешања знакова из различитих алфабета. На пример, лажни домен аппле.цом („кн--ппле-43д.цом“) се не може креирати заменом латиничног „а“ (У+0061) ћириличним „а“ (У+0430), пошто није дозвољено мешање слова у домену из различитих абецеда. У 2017. било је нашао начин да се таква заштита заобиђе коришћењем само уникод знакова у домену, без употребе латиничног писма (на пример, коришћењем језичких симбола са знаковима сличним латиници).

Сада је пронађен још један начин заобилажења заштите, заснован на чињеници да регистратори блокирају мешање латинице и уникода, али ако уникод карактери наведени у домену припадају групи латиничних знакова, такво мешање је дозвољено, пошто карактери припадају исто писмо. Проблем је што у продужетку Уницоде латиница ИПА постоје хомоглифи слични у писању другим знаковима латинице:
симбол "ɑ" личи на "а", "ɡ" - "г", "ɩ" - "л".

Могућност регистрације домена у којима је латиница помешана са наведеним Уницоде знаковима идентификовао је регистратор Верисигн (други регистратори нису тестирани), а поддомени су креирани у сервисима Амазона, Гугла, Васабија и ДигиталОцеана. Проблем је откривен у новембру прошле године и, упркос послатим обавештењима, три месеца касније отклоњен је у последњем тренутку само у Амазону и Верисигн-у.

Током експеримента, истраживачи су потрошили 400 долара да региструју следеће домене код Верисигн-а:

• амɑзон.цом
• цхɑсе.цом
• сɑлесфорце.цом
• ɡмɑил.цом
• ɑппɩе.цом
• ебɑи.цом
• ɡстатиц.цом
• стеɑмповеред.цом
• тхеɡуардиан.цом
• тхеверɡе.цом
• васхингинɡтонпост.цом
• пɑипɑɩ.цом
• вɑлмɑрт.цом
• вɑсɑбисис.цом
• иɑхоо.цом
• цɩоудфɩаре.цом
• деɩɩ.цом
• гмɑиɩ.цом
• гооɡлеапис.цом
• хуффинɡтонпост.цом
• инстаɡрам.цом
• мицрософтонɩине.цом
• ɑмɑзонɑвс.цом
• роидндроид.цом
• нетфɩик.цом
• нвидиɑ.цом
• ɡоогɩе.цом

Истраживачи су такође покренули онлајн услуга да проверите своје домене за могуће алтернативе са хомоглифима, укључујући проверу већ регистрованих домена и ТЛС сертификата са сличним именима. Што се тиче ХТТПС сертификата, преко евиденције транспарентности сертификата проверено је 300 домена са хомоглифима, од којих је генерисање сертификата забележено за 15.

Тренутни претраживачи Цхроме и Фирефок приказују такве домене у траци за адресу у нотацији са префиксом „кн--“, међутим, у везама се домени појављују без конверзије, што се може користити за убацивање злонамерних ресурса или линкова на странице, под маском преузимања са легитимних сајтова. На пример, на једном од идентификованих домена са хомоглифима, забележена је дистрибуција злонамерне верзије јКуери библиотеке.

Извор: опеннет.ру