Användning av liknande Unicode-tecken för att kringgå autentisering

GitHub visade sig utsatt för en attack som möjliggör åtkomst till kontot genom manipulation av Unicode-tecken i e-post. Problemet är att vissa Unicode-tecken, vid användning av funktioner för att konvertera till små eller versaler, översätts till vanliga tecken som liknar varandra (när flera olika tecken översätts till ett tecken — till exempel, när det turkiska tecknet «ı» och «i» omvandlas till versal blir de båda «I»).

Innan parametrarna för inloggning kontrolleras i vissa tjänster och applikationer omvandlas användardata först till stora eller små bokstäver och kontrolleras sedan i databasen. Om tjänsten tillåter användning av unicode-tecken i användarnamn eller e-post, kan en angripare använda liknande unicode-tecken för att genomföra en attack som manipulerar kollisioner i tabeller för teckenkonvertering (Unicode Case Mapping Collisions).

‘ß’.toUpperCase() == ‘ss’.toUpperCase() // 0x0131
‘K’.toLowerCase() == ‘K’.toLowerCase() // 0x212A
‘John@Gıthub.com’.toUpperCase() == ‘John@Github.com’.toUpperCase()

I GitHub kunde angriparen kunna initiera en begäran om återställningskod till en annan e-postadress via formuläret för återställning av glömt lösenord genom att ange en adress i formuläret som innehåller ett unicode-tecken som orsakar kollision (till exempel, istället för mike@example.org anges e-postadressen mıke@example.org). Adressen passerade kontrollen eftersom den omvandlades till versaler och matchade den ursprungliga adressen (mike@example.org), men när meddelandet skickades användes den direkt och återställningskoden skickades till den falska adressen (mıke@example.org).

Några tecken, som orsakar kollisioner vid konvertering av fall:

ß 0x00DF SS
ı 0x0131 I
ſ 0x017F S
ff 0xFB00 FF
fi 0xFB01 FI
fl 0xFB02 FL
ffi 0xFB03 FFI
ffl 0xFB04 FFL
ſt 0xFB05 ST
st 0xFB06 ST
K 0x212A k

Källa: opennet.ru