Chromium-ի դոմենի նմանատիպության ստուգումներին նորից հասնում են կիրիլիական հատուկ դեպքերը

Նմանատիպ դոմենները դեռ հասնում են նպատակին

Տիպոսկվատինգի հաձվելը մեծ դոմենների հետ դեռ հնարավոր է ամենավերջին զննիչների պաշտպանության պայմաններում, ըստ հետազոտական նախագծի Have I Been Squatted (HIBS)-ի մանրամասն վերլուծության: Երբ IETF-ն թույլ տվեց Unicode-ի սիմվոլները դոմենի անուններում, այդ քայլը համարվեց օգտակար, բայց միևնուն ժամանակ վտանգավոր, քանի որ հազարավոր սիմվոլ նման կամ նույնական է տարբեր այբուբեններում:

Կիբերհանցագործները կարող են ստեղծել աշխատող վեբակայքեր մտադրած սխալ հասցեներով, որոնք տեսանման տեսքով նույնական են իրական URL-ներին, և հաձվել օգտատերերին, ովքեր սխալմամբ են տպում հասցեն կամ հայտնում են կայքում վտանգավոր որոնման արդյունքներով:

аррӏө.com-ի հատուկ դեպքը

HIBS-ի բլոգի գրառումում որպես օրինակ բերված է „аррӏө.com“ հասցեն: Այս դոմենը նույնական չէ „apple.com“-ին, բայց օգտագործված կիրիլիական սիմվոլների կոնկրետ համակցության պատճառով հասնում է պաշտպանության մի քանի մակարդակների: Կիրիլիական այբուբենում բազմաթիվ լատինական տառերի նման սիմվոլներ կան, այդ թվում а-ն a-ի նման է, е-ն e-ի, о-ն o-ի, р-ն p-ի, իսկ с-ն c-ի նման:

Chromium-ն ամենավերջին կանոնների ամբողջություն ունի չարամիտ դոմենների գտնելու և արգելափակելու համար, բայց հենց այդ հանկարծային դեպքերը բացահայտում են թերությունները: Ստանդարտ լատինական տեքստում մեկ կիրիլիական հոմոգլիֆի տեղադրումը ակտիվացնում է պաշտպանության մեխանիզմները, և զննիչը ցույց է տալիս դոմենը Punycode ձևաչափով, օրինակ՝ „xn--pple-43d.com“: Դոմենի լիովին կիրիլիական նմանատիպ սիմվոլներով կազմակերպումը, օրինակ՝ „аррӏе.com“, նույնպես չի աշխատում, քանի որ Chromium-ն ունի 29 կիրիլիական սիմվոլների ցուցակ, որոնք հաճախ են նմանվում լատինական տառերին, և արգելափակում է միայն այդ ցուցակից բաղկացած համակցությունները:

„аррӏө.com“ հասցեն անցնում է այն պատճառով, որ օգտագործում է կիրիլիական ө սիմվոլը, հատված, որը հորիզոնական գիծ ունի և որը չի ընդգրկված 29 սիմվոլների ցուցակում: Ավելի նոր Chromium տարբերակը կարող է, և հավանաբար, ավելացնի դա, բայց այս դեպքը հիմնական խնդիրը է բացահայտում. տիպոսկվատինգի համար ունիվերսալ լուծում գոյություն չունի, և լավագույն կանոնների ամբողջությունը վերջապես կհանդիպի որևէ անսովոր դեպքի:

Փոփոխական սիմվոլների ամբողջություն

Unicode-ի սիմվոլների ամբողջությունը մշտապես զարգանում է և այժմ պարունակում է մոտ 173 000 գրառում, սակայն գործնականում դոմենի անուններում կամ TLD-ներում օգտագործելու համար միայն մասն է թույլատրվում: 2020 թվականի ուսումնասիրությունը ցույց տվեց, որ Chromium-ը բռնեց տիպոսկվատինգի 64,1% հաձվելու փորձերի, իսկ Firefox-ը և Safari-ն հետ մղվեցին: Chrome-ը, Edge-ը և Brave-ն Chromium-ի հիմքի վրայով աշխատում են. բազմաթիվ այբուբենային ստուգումների համատեքստում, այն պահպանում է 8000-ից ավելի հանրաճանաչ դոմենների ցուցակ, որոնք տիպոսկվատինգի պատճառ են, և դրանցից 836-ին կատարում է ավելի խիստ ստուգում: Դոմենների գրանցումները նույնպես սահմանում են կանոններ, թե որ սիմվոլները կարող են տեղ գտնել որ TLD-ում, բայց դա միայն այս խնդրի լուծման համասված չէ:

Խորհուրդ տրվող պաշտպանության միջոցներ

Բոլոր բաները հաշվի առնելով, HIBS-ն խորհուրդ է տալիս ընկերություններին, ովքեր վախենում են նմանատիպությունից, գրանցել իրենց սեփական նմանատիպ դոմենները և մատնացուցել օգտատերերին passkey-ների տեղադրմանը: Passkey-ները միշտ կապված են որոշակի դոմենի հետ, ուստի օգտատերը չի կարող օգտագործել դրանք մոլեմանով նման վեբակայք մտնելու համար:

Աղբյուրներ: Tom's Hardware