מקרי קצה בקרילית עוקפים שוב את בדיקות הדמיית הדומיינים של Chromium

דומיינים דומים עדיין משיגים את היעד

תקיפות דומיינים עקב שגיאות הקלדה נותרו אפשריות גם בדומיינים גדולים בתנאי ההגנה המתקדמים ביותר בדפדפנים, לפי ניתוח מפורט של פרויקט המחקר Have I Been Squatted (HIBS). כש-IETF התיר תווי Unicode בשמות דומיינים, צעד זה נחשב מועיל אך גם מסוכן, כי מאות תווים דומים או מזוהים מופיעים באלפביתים שונים.

פורעי סייבר יכולים ליצור אתרי ווב פעילים עם כתובות שנכתבו בכוונה בצורה שגויה, שנראות זהות לכתובות URL אמיתיות, ולתקוף משתמשים שמקלידים את הכתובת בטעות או מגיעים לאתר דרך תוצאות חיפוש זדוניות.

המקרה המיוחד של „аррӏө.com“

בפוסט בבלוג של HIBS מוזכרת הכתובת „аррӏө.com“ כדוגמה. דומיין זה אינו זהה ל-„apple.com“, אך בגלל שילוב ספציפי של תווים קריליים שנעשה בו שימוש הוא עוקף מספר שכבות הגנה. באלפבית הקרילי יש תווים רבים שדומים לאותיות לטיניות: למשל а דומה ל-a, е ל-e, о ל-o, р ל-p ו-с ל-c.

ל-Chromium יש את סט הכללים המתקדם ביותר לאיתור וחסימת דומיינים זדוניים, אך דווקא מקרי הקצה חושפים פרצות. בטקסט לטיני סטנדרטי, החלפה של הומוגליף קרילי אחד מפעילה את מנגנוני ההגנה והדפדפן מציג את הדומיין בפורמט Punycode, למשל „xn--pple-43d.com“. בניית דומיין שלם מתווים קריליים דומים, למשל „аррӏе.com“, גם היא אינה עוברת, כי ל-Chromium יש רשימה של 29 תווים קריליים שלעתים קרובות מתחזים לאותיות לטיניות, והוא חוסם רק שילובים המורכבים מהרשימה הזו.

הכתובת „аррӏө.com“ עוברת כי היא משתמשת בתו הקרילי ө, אות העגולה שחותכה קו אופקי ואיננה כלולה ברשימת 29 התווים. גרסה חדשה יותר של Chromium עשויה, וכנראה תוסיף גם אותו, אך האפיזוד הזה חושף את הקושי המרכזי: אין פתרון אוניברסלי לגילוי תקיפות דומיינים עקב שגיאות הקלדה, ואפילו סט הכללים הטוב ביותר ייכשל בסופו של דבר במקרה קצה מסוים.

סט התווים המשתנה

סט התווים של Unicode מתפתח כל הזמן וכיום כולל כמעט 173 000 רשומות, אך בפועל רק חלקם מותר לשימוש בשמות דומיינים או ב-TLD. מחקר מ-2020 הראה ש-Chromium תפס 64,1% מניסיונות תקיפת הדומיינים, ו-Firefox ו-Safari נשארו מאחור. מבוססים על Chromium דפדפנים Chrome, Edge ו-Brave; מלבד בדיקות אלפבית רבות, הוא מחזיק רשימה של יותר מ-8000 דומיינים פופולריים שהם יעדים לתקיפה כזו, ומתוכם 836 עוברים בדיקה מחמירה יותר. רושמי דומיינים גם כן מגדירים כללים לאילו תווים מותר להיכנס לכל TLD, אך זה אינו מספיק לפתור את הבעיה.

אמצעי הגנה מומלצים

בהתחשב בכל זה, HIBS ממליץ לחברות שמדאיגות מהחיקוי לרשום גם דומיינים דומים משלהן ולעודד משתמשים לאמץ passkey. passkey תמיד מקושר לדומיין ספציפי, ולכן משתמש לא יכול להשתמש בו כדי להיכנס לאתר ווב זדוני דומה.

מקורות: Tom's Hardware