Крайні випадки з кириличними символами знову обходять перевірки Chromium на імітацію доменів

Схожі домени все одно досягають мети

Атаки на основі типоскваттингу на великих доменах залишаються можливими навіть за умов найсучаснішого захисту браузерів, згідно з детальним аналізом дослідницького проєкту Have I Been Squatted (HIBS). Коли IETF дозволив використовувати символи Unicode у доменних іменах, цей крок сприйняли як доцільний, але водночас небезпечний, адже сотні символів схожі або ідентичні в різних абетках.

Кіберзлочинці можуть створювати шахрайські вебсайти з навмисно неправильно написаними адресами, які виглядають так само, як справжні URL, і атакувати користувачів, які помилково вводять адресу або потрапляють на сайт через підступні результати пошуку.

Особливий випадок аррӏө.com

У дописі в блозі HIBS як приклад наведено адресу «аррӏө.com». Цей домен не є ідентичним «apple.com», але завдяки конкретній комбінації використаних кириличних символів обходить кілька рівнів захисту. У кириличній абетці є багато символів, схожих на латинські літери, зокрема а схожа на a, е — на e, о — на o, р — на p, а с — на c.

Chromium має найсучасніший набір правил для виявлення та блокування шкідливих доменів, але саме крайні випадки виявляють проблеми. У стандартному латинському тексті одна кирилична омогліфична літера викликає спрацювання захисних механізмів, і браузер показує домен у форматі Punycode, наприклад «xn--pple-43d.com». Домен, складений повністю з кириличних символів, схожих на латинські, наприклад «аррӏе.com», також не проходить, адже Chromium має список із 29 кириличних символів, які часто маскуються під латинські літери, і блокує лише комбінації, складені з цього списку.

Адреса «аррӏө.com» проходить, оскільки використовує кириличний символ ө, овал, який перетинається горизонтальною лінією і якого немає у списку з 29 символів. Більш нова версія Chromium може додати його, і, ймовірно, додасть, але цей епізод виявляє головну проблему: універсального рішення для виявлення типоскваттингу не існує, і навіть найкращий набір правил зрештою не справляється з якимось крайнім випадком.

Множина змінних символів

Множина символів Unicode постійно розвивається і зараз включає майже 173 000 записів, хоча на практиці в доменних іменах або TLD дозволено використовувати лише частину. Дослідження 2020 року показало, що Chromium перехопив 64,1% спроб типоскваттингу, а Firefox і Safari відстали. На основі Chromium працюють браузери Chrome, Edge і Brave; крім численних перевірок абеток, він зберігає список понад 8000 популярних доменів, які є цілями типоскваттингу, і піддає 836 з них більш суворій перевірці. Реєстратори доменів також встановлюють правила, які символи можуть потрапити в той чи інший TLD, але цього недостатньо для вирішення проблеми.

Рекомендовані заходи захисту

Зважаючи на все, HIBS рекомендує компаніям, які побоюються імітації, реєструвати власні схожі домени та спонукати користувачів до використання passkey. Passkey завжди прив'язані до конкретного домену, тому користувач не зможе використати їх для входу на шахрайський схожий сайт.

Джерела: Tom's Hardware