Peneliti ti Leyur cara anyar pikeun ngadaptar domain kalawan , rupana sarupa jeung domain séjénna, tapi sabenerna béda alatan ayana karakter nu hartina béda. domain internasionalisasi sarupa () bisa jadi dina glance kahiji teu béda ti domain pausahaan well-dipikawanoh sarta jasa, anu ngamungkinkeun aranjeunna bisa dipaké pikeun phishing, kaasup meunangkeun sertipikat TLS bener pikeun aranjeunna.
Substitusi klasik ngaliwatan domain IDN sigana sarupa geus lila diblokir dina panyungsi jeung registrars, hatur nuhun kana larangan dina campur karakter tina alfabét béda. Contona, hiji domain dummy apple.com ("xn--pple-43d.com") teu bisa dijieun ku ngaganti Latin "a" (U+0061) jeung Cyrillic "a" (U+0430), saprak hurup dina domain anu dicampur tina alfabét béda teu diwenangkeun. Dina 2017 aya hiji cara pikeun ngalipetkeun panyalindungan sapertos ku cara ngan nganggo karakter unicode dina domain, tanpa nganggo alfabét Latin (contona, nganggo simbol basa sareng karakter anu sami sareng Latin).
Ayeuna metode anu sanés pikeun ngaleungitkeun panyalindungan parantos kapanggih, dumasar kana kanyataan yén registrar meungpeuk campur Latin sareng Unicode, tapi upami karakter Unicode anu ditunjuk dina domain kagolong kana sakelompok karakter Latin, campuran sapertos kitu diidinan, sabab karakter éta milik. hurup sarua. Masalahna nyaeta dina extension nu aya homoglyphs sarupa dina tulisan jeung karakter sejenna tina alfabét Latin:
simbol""nyarupaan "a", ""- "g", ""- "l".
Kamungkinan ngadaptar domain nu alfabét Latin dicampurkeun jeung karakter Unicode ditangtukeun ku registrar Verisign (pendaftar séjén teu diuji), sarta subdomains dijieun dina jasa Amazon, Google, Wasabi jeung DigitalOcean. Masalahna kapanggih dina bulan Nopémber taun ka tukang sareng, sanaos béwara dikirim, tilu bulan saatosna parantos dibenerkeun dina menit terakhir ngan di Amazon sareng Verisign.
Salila percobaan, panalungtik méakkeun $400 pikeun ngadaptar domain handap kalawan Verisign:
- amɑzon.com
- chɑse.com
- sɑlesforce.com
- mɑil.com
- ɑppɩe.com
- ebɑy.com
- ɡstatis.com
- steɑmpowered.com
- theɡguardian.com
- theverɡe.com
- washingtonpost.com
- pɑypɑɩ.com
- wɑlmɑrt.com
- wɑsɑbisys.com
- yɑhoo.com
- cɩoudfɩare.com
- deɩɩ.com
- gmɑiɩ.com
- www.gooɡleapis.com
- huffinɡtonpost.com
- instaram.com
- microsoftonɩine.com
- ɑmɑzonɑws.com
- ndroid.com
- netfɩix.com
- nvidiɑ.com
- ɡoogɩe.com
Para panalungtik ogé ngaluncurkeun pikeun mariksa domain anjeun pikeun alternatif anu mungkin sareng homoglyphs, kalebet mariksa domain anu tos kadaptar sareng sertipikat TLS kalayan nami anu sami. Sedengkeun pikeun sertipikat HTTPS, 300 domain kalawan homoglyphs dipariksa ngaliwatan log Sertipikat Transparansi, nu generasi sertipikat kacatet pikeun 15.
Panyungsi Chrome sareng Firefox ayeuna ningalikeun domain sapertos kitu dina bar alamat dina notasi kalayan awalan "xn--", tapi, dina tautan, domain muncul tanpa konversi, anu tiasa dianggo pikeun nyelapkeun sumber daya jahat atanapi tautan kana halaman, dina samaran. tina ngundeur éta tina situs anu sah. Contona, dina salah sahiji domain dicirikeun ku homoglyphs, sebaran versi jahat tina perpustakaan jQuery kacatet.
sumber: opennet.ru