Из Википедии, бесплатной энциклопедии
Перейти к навигации Перейти к поиску
Пример атаки с использованием омографа IDN; латинские буквы «е» и «а» заменяются кириллическими буквами «е» и «а».
Пример атаки с использованием омографа IDN; латинские буквы «е» и «а» заменяются кириллическими буквами «е» и «а».

Доменное имя интернационализированы ( IDN ) омограф атака является способом злоумышленник сторона может обмануть пользователей компьютеров о том, что система дистанционного они общаются с, эксплуатируя тот факт , что многие различные персонажи похожи друг на друга (то есть, они томографы, отсюда термин для атака, хотя технически гомоглиф - более точный термин для разных персонажей, которые выглядят одинаково). Например, обычного пользователя example.com может соблазнить щелкнуть ссылку, в которой латинский символ «a» заменен на кириллический символ «а» .

Этот вид спуфинговой атаки также известен как спуфинг сценария . Юникод включает в себя множество систем письма, и по ряду причин похожим на вид символам, таким как греческий Ο , латинский O и кириллица О, не был присвоен один и тот же код. Их неправильное или злонамеренное использование может стать причиной атак на систему безопасности. [1]

Регистрация гомографических доменных имен сродни типосквоттингу , поскольку обе формы атак используют имя, похожее на имя более устоявшегося домена, чтобы обмануть пользователя. Основное различие состоит в том, что при типосквотировании преступник привлекает жертв, полагаясь на естественные типографские ошибки, которые обычно допускаются при ручном вводе URL , в то время как при спуфинге омографа преступник обманывает жертв, предоставляя визуально неразличимые гиперссылки . Действительно, для пользователя сети будет редкостью набрать, например, кириллическую букву внутри английского слова, такого как «citibаnk». Бывают случаи, когда регистрация может быть как типосквоттингом, так и спуфингом омографа; пары l / I , i / j, и 0 / O расположены близко друг к другу на клавиатуре и, в зависимости от гарнитуры, их может быть трудно или невозможно различить.

История [ править ]

Первой неприятностью такого рода, которая возникла еще до появления Интернета и даже текстовых терминалов , была путаница между «l» (строчная буква «L») / «1» (цифра «один») и «O» (заглавная буква для гласная «о») / «0» (число «ноль»). Некоторые пишущие машинки в докомпьютерную эпоху даже сочетали L и один ; пользователям приходилось вводить букву L в нижнем регистре, когда требовалась цифра один. Путаница с нулевым / нулевым значением породила традицию перечеркивания нулей , чтобы оператор компьютера мог их правильно ввести. [2] Юникод может в значительной степени способствовать этому благодаря сочетанию символов, акцентов, нескольких типов дефисов и т. Д.поддержка, особенно с меньшими размерами шрифтов и большим разнообразием шрифтов. [1]

Еще раньше почерк давал много возможностей для путаницы. Ярким примером является этимология слова « зенит ». В переводе с арабского «самт» писец перепутал «м» с «ни». Это было обычным явлением в средневековом блэклеттере , который не соединял вертикальные столбцы с буквами i, m, n или u, что затрудняло их различение, когда несколько были в ряду. Последнее, а также путаница «rn» / «m» / «rri» («RN» / «M» / «RRI») все еще возможны для человеческого глаза даже с использованием современных передовых компьютерных технологий.

Преднамеренная замена похожих символов разными алфавитами также известна в различных контекстах. Например, искусственная кириллица использовалась в качестве развлечения или привлечения внимания, а « кодировка волапука », в которой кириллица представлена ​​аналогичными латинскими символами, использовалась на заре Интернета как способ преодоления отсутствия поддержки кириллица. Другой пример: номерные знаки транспортных средств могут иметь как кириллицу (для внутреннего использования в странах с кириллицей), так и латиницу (для международных поездок) с одинаковыми буквами. На регистрационных знаках, выдаваемых в Греции, можно использовать только буквы греческого алфавита.гомоглифы в латинском алфавите, поскольку правила Европейского Союза требуют использования латинских букв.

Омографы в ASCII [ править ]

ASCII имеет несколько символов или пар символов, которые выглядят одинаково и известны как омографы (или гомоглифы ). Атаки спуфинга, основанные на этих сходствах, известны как атаки спуфинга омографа . Например, 0 (число) и O (буква), «l» в нижнем регистре L и «I» в верхнем регистре «i».

В типичном примере гипотетической атаки кто-то может зарегистрировать доменное имя, которое выглядит почти идентичным существующему домену, но используется в другом месте. Например, домен «rnicrosoft.com» начинается с «r» и «n», а не «m». Другим примером является G00GLE.COM, который в некоторых шрифтах очень похож на GOOGLE.COM . Используя сочетание прописных и строчных символов, googIe.com (заглавная i , а не маленькая L ) в некоторых шрифтах очень похож на google.com . PayPal стал целью фишингового мошенничества с использованием домена PayPaI.com . В некоторых шрифтах с узким интервалом, таких как Tahoma(по умолчанию в адресной строке в Windows XP ), если поставить c перед j , l или i , получатся гомоглифы, такие как cl cj ci (dga).

Омографы в интернационализированных доменных именах [ править ]

В многоязычных компьютерных системах разные логические символы могут иметь идентичный внешний вид. Например, символ Unicode U + 0430, строчная кириллическая буква a («а») может выглядеть идентично символу Unicode U + 0061, латинской строчной букве a («a»), которая является строчной буквой «a», используемой в английском языке. Следовательно wikipediа.org(кириллица) вместо wikipedia.org(латинская версия).

Проблема возникает из-за различного отношения к персонажам в сознании пользователя и компьютерного программирования. С точки зрения пользователя кириллица «а» внутри латинской строки - это латинская «а»; в большинстве шрифтов глифы этих символов не различаются. Однако компьютер обрабатывает их по-разному при обработке строки символов как идентификатора. Таким образом, нарушается предположение пользователя о взаимно однозначном соответствии между внешним видом имени и названной сущностью.

Интернационализированные доменные имена обеспечивают обратную совместимость для доменных имен, чтобы использовать полный набор символов Unicode, и этот стандарт уже широко поддерживается. Однако эта система расширила репертуар персонажей с нескольких десятков символов в одном алфавите до многих тысяч символов во многих сценариях; это значительно увеличило возможности атак омографа.

Это открывает множество возможностей для фишинга и других видов мошенничества. Злоумышленник может зарегистрировать доменное имя, которое выглядит так же, как у законного веб-сайта, но в котором некоторые буквы заменены омографами в другом алфавите. Затем злоумышленник может отправлять сообщения электронной почты, якобы пришедшие с исходного сайта, но перенаправляя людей на поддельный сайт. Затем поддельный сайт может записывать такую ​​информацию, как пароли или данные учетной записи, одновременно передавая трафик на настоящий сайт. Жертвы могут никогда не заметить разницы, пока с их аккаунтами не начнется подозрительная или преступная деятельность.

В декабре 2001 года Евгений Габрилович и Алекс Гонтмахер , оба из Техниона , Израиль , опубликовали статью под названием «Атака гомографа» [2], в которой описывалась атака, в ходе которой использовались URL-адреса Unicode для подделки URL-адресов веб-сайтов. Чтобы доказать возможность такого рода атак, исследователи успешно зарегистрировали вариант доменного имени microsoft .com, включающий символы кириллицы.

Проблемы такого рода ожидались до того, как были введены IDN, и реестрам были выпущены инструкции, чтобы попытаться избежать или уменьшить проблему. Например, было рекомендовано, чтобы реестры принимали только символы латинского алфавита и алфавита своей страны, а не все символы Unicode, но этот совет игнорировался основными TLD . [ необходима цитата ]

7 февраля 2005 года Slashdot сообщил, что этот эксплойт был раскрыт 3риком Йохансоном на хакерской конференции Shmoocon . [3] Веб - браузеры , поддерживающие Идны появились направлять URL HTTP: //www.pаypal.com/, в котором первая символ заменяется на кириллицу А , на сайт известного сайта оплаты PayPal , но на самом деле привели на поддельный веб-сайт с другим содержанием. Популярные браузеры продолжали испытывать проблемы с правильным отображением международных доменных имен до апреля 2017 г. [4]

В следующих алфавитах есть символы, которые могут использоваться для атак спуфинга (обратите внимание, это только самые очевидные и распространенные, с учетом художественной лицензии и того, насколько рискует спуфер, чтобы его поймали; возможностей гораздо больше, чем можно перечислить. здесь):

Кириллица [ править ]

Кириллица, безусловно, является наиболее часто используемым алфавитом для гомоглифов, в основном потому, что она содержит 11 строчных глифов, которые идентичны или почти идентичны латинским аналогам.

В кириллица А , С , Е , О , р , х и у имеют оптические аналоги в основной латиницы и выглядят близки или идентичны в , с , е , о , р , х и у . Кириллица З , Ч и б напоминают цифры 3 , 4 и 6 . Курсивный шрифт дает больше гомоглифов : дтпи илидтпи ( д т п и в стандартном типе), напоминающий д м н у (в некоторых шрифтах д может быть использованы, так как его наклонная форма напоминает строчной г , однако, в большинстве обычных шрифтов, д вместо напоминает дифференциальный знак, ∂ ).

При подсчете заглавных букв А В С Е Н І Ј К М О Р Ѕ Т Х может заменять A B C E H I J K M O P S T X , в дополнение к заглавным буквам для строчных кириллических гомоглифов.

Кириллические нерусские проблемные буквы і и я , ј и J , ԛ и д , ѕ и S , ԝ и вес , Ү и Y , в то время как Ғ и F , Ԍ и G имеют некоторое сходство друг с другом. Кириллица ӓ ё ї ӧ также может использоваться, если сам IDN подделывается, чтобы подделать ä ë ï ö .

Хотя коми де ( ԁ ), шха ( һ ), палочка ( Ӏ ) и ижица ( ѵ ) сильно похожи на латинские d, h, l и v, эти буквы либо редки, либо архаичны и не широко поддерживаются в большинстве стандартных шрифтов. (они не включены в WGL-4 ). Попытка использовать их может вызвать эффект записки о выкупе .

Греческий [ править ]

В греческом алфавите только omicron ο и иногда nu ν идентичны букве латинского алфавита в нижнем регистре, используемой для URL-адресов. Шрифты, набранные курсивом, будут иметь греческую альфа-букву α, похожую на латинскую a .

Этот список увеличивается, если также разрешены близкие совпадения (например, греческое εικηρτυωχγ для eiknptuwxy). Использование заглавных букв значительно расширяет список. Греческий ΑΒΕΗΙΚΜΝΟΡΤΧΥΖ выглядит идентично латинскому ABEHIKMNOPTXYZ. Греческий ΑΓΒΕΗΚΜΟΠΡΤΦΧ похож на кириллический АГВЕНКМОПРТФХ (как и кириллица Л (Л) и греческий Λ в некоторых геометрических шрифтах без засечек), греческие буквы κ и о похожи на кириллические к и о. Помимо этого греческого τ, φ может быть похожим на кириллицу τ, ф в некоторых шрифтах, греческий δ похож на кириллицу á в сербском алфавите , а кириллица атакже выделяется курсивом, как и его латинский аналог, что позволяет заменить его на альфа или наоборот. Полулунная форма сигмы Ϲϲ похожа на латинскую Cc и кириллическую Cс.

Если сам IDN подделывается, греческая бета β может заменять немецкий esszet ß в некоторых шрифтах (и фактически кодовая страница 437 рассматривает их как эквивалент), как и греческая сигма ς вместо ç; Заменители греческого языка с ударением όίά обычно могут использоваться для óíá во многих шрифтах, причем последний из них (альфа) снова только напоминает a, выделенный курсивом.

Армянский [ править ]

Армянский алфавит также может внести свой вклад критических символов: несколько армянских героев , как օ, ո, ս, а капитал Տ и Լ часто полностью идентичны латинские символы в современных шрифтах. Такие символы, как ա, могут напоминать кириллицу ш. Кроме того, есть похожие символы. ցհոօզս, которые выглядят как ghnoqu, յ, которые похожи на j (хотя и без точки), и ք, которые могут напоминать p или f в зависимости от шрифта. Однако использование армянского языка проблематично. Не все стандартные шрифты содержат армянские глифы (в то время как греческий и кириллический шрифты присутствуют в большинстве стандартных шрифтов). Из-за этого в Windows до Windows 7 армянский язык отображался отдельным шрифтом: Sylfaen, который поддерживает армянский язык, и смешение армянского с латинским будет очевидно отличаться при использовании шрифта, отличного от Sylfaen или гарнитуры Unicode . (Это известно как эффект записки о выкупе .) Текущая версия Tahoma , используемая в Windows 7, поддерживает армянский язык (в предыдущих версиях не было). Кроме того, этот шрифт отличает латинский g от армянского ց.

Две буквы в армянском языке (Ձշ) также могут напоминать цифру 2, Յ - 3, а другая (վ) иногда - цифру 4.

Иврит [ править ]

Спуфинг на иврите, как правило, встречается редко. Только три буквы из этого алфавита могут быть надежно использованы: самех (ס), который иногда напоминает o, vav с диакритическим знаком (וֹ), который напоминает i, и heth (ח), который напоминает букву n. Также можно найти менее точные аппроксимации для некоторых других буквенно-цифровых символов, но они обычно достаточно точны только для использования в целях иностранного брендинга, а не для подмены. Кроме того, еврейский алфавит пишется справа налево, и попытка смешать его с глифами слева направо может вызвать проблемы.

Тайский [ править ]

Вверху: тайские глифы, отображаемые современным шрифтом (IBM Plex), в котором они напоминают латинские глифы.
Внизу: те же глифы, отображаемые с помощью традиционных циклов.

Хотя тайский шрифт исторически имел особый вид с многочисленными петлями и небольшими завитушками , современная тайская типография , начиная с Manoptica в 1973 году и продолжая IBM Plex в современную эпоху, все чаще принимает упрощенный стиль, в котором тайские символы представлены глифами. строго представляющие латинские буквы. ค (A), ท (n), น (u), บ (U), ป (J), พ (W), ร (S) и ล (a) входят в число тайских глифов, которые могут очень напоминать латинские символы. .

Китайский [ править ]

Китайский язык может быть проблематичным для омографов , как существует много символов и как традиционный (обычный сценарий) и упрощенных китайские иероглифы . В домене .org регистрация одного варианта делает другой недоступным для всех; в .biz при регистрации одного IDN на китайском языке оба варианта становятся активными доменами (у которых должен быть один и тот же сервер доменных имен и один и тот же регистрант). .hk (. 香港) также принимает эту политику.

Другие скрипты [ править ]

Другие скрипты Unicode, в которых можно найти омографы, включают числовые формы ( римские цифры ), совместимость с CJK и закрытые буквы и месяцы CJK (некоторые сокращения), латинский (некоторые диграфы), символы валюты , математические буквенно-цифровые символы и буквенные формы представления ( типографические лигатуры). ).

Знаки с диакритическими знаками [ править ]

Два имени, которые отличаются только акцентом на одном символе, могут выглядеть очень похожими, особенно если в замене используется буква i с точками ; титр (точка) на i можно заменить диакритическим знаком (например, серьезным ударением или острым ударением ; и ì, и í включены в большинство стандартных наборов символов и шрифтов), которые можно обнаружить только при внимательном рассмотрении. В большинстве реестров доменов верхнего уровня wíkipedia.tld (xn - wkipedia-c2a.tld) ​​и wikipedia.tld - это два разных имени, которые могут принадлежать разным регистрантам. [5] Единственным исключением является .ca , где зарезервирован простой код ASCII.версия домена не позволяет другому регистранту претендовать на версию того же имени с диакритическими знаками. [6]

Невидимые символы [ править ]

Юникод включает в себя множество символов, которые не отображаются по умолчанию, например, пробел нулевой ширины . Как правило, ICANN запрещает регистрацию любого домена с этими символами, независимо от TLD.

Известные атаки омографа [ править ]

В 2011 году неизвестный источник (зарегистрировавшийся под названием «Совершенно анонимный») зарегистрировал доменное имя, аналогичное телевизионной станции KBOI-TV , для создания сайта фейковых новостей . Единственной целью сайта было распространение первоапрельской шутки о губернаторе Айдахо, объявившем о запрете продажи музыки Джастином Бибером . [7] [8]

В сентябре 2017 года исследователь безопасности Анкит Анубхав обнаружил атаку омографа IDN, при которой злоумышленники зарегистрировали adoḅe.com для доставки трояна Betabot. [9]

Защита от нападения [ править ]

Уменьшение на стороне клиента [ править ]

Самая простая защита заключается в том, чтобы веб-браузеры не поддерживали IDNA или другие подобные механизмы, или чтобы пользователи отключили любую поддержку, имеющуюся в их браузерах. Это может означать блокировку доступа к сайтам IDNA, но обычно браузеры разрешают доступ и просто отображают IDN в Punycode . В любом случае это означает отказ от доменных имен, отличных от ASCII.

  • Google Chrome версии 51 и более поздних использует алгоритм, аналогичный тому, который используется в Firefox. Предыдущие версии отображали IDN только в том случае, если все его символы принадлежат одному (и только одному) из предпочтительных языков пользователя. Браузеры на основе Chromium и Chromium, такие как новый Microsoft Edge и Opera, также используют тот же алгоритм. [10] [11]
  • Подход Safari заключается в отображении проблемных наборов символов как Punycode . Это можно изменить, изменив настройки в системных файлах Mac OS X. [12]
  • Mozilla Firefox версии 22 и более поздних версий отображает IDN, если TLD предотвращает атаки омографа, ограничивая использование символов в именах доменов, или если метки не смешивают сценарии для разных языков. В противном случае IDN отображаются в Punycode. [13] [14]
  • В Internet Explorer 7 и более поздних версий разрешены имена IDN, за исключением меток, которые смешивают сценарии для разных языков. Ярлыки, которые смешивают скрипты, отображаются в Punycode. Есть исключения для локалей, где символы ASCII обычно смешиваются с локализованными скриптами. [15] Internet Explorer 7 может использовать IDN, но он налагает ограничения на отображение доменных имен, отличных от ASCII, на основе определяемого пользователем списка разрешенных языков и предоставляет антифишинговый фильтр, который проверяет подозрительные веб-сайты по удаленной базе данных известные фишинговые сайты. [ необходима цитата ]
  • Старый Microsoft Edge конвертирует весь Юникод в Punycode. [ необходима цитата ]

В качестве дополнительной защиты Internet Explorer 7, Firefox 2.0 и выше и Opera 9.10 включают фишинговые фильтры, которые пытаются предупреждать пользователей, когда они посещают вредоносные веб-сайты. [16] [17] [18] По состоянию на апрель 2017 года несколько браузеров (включая Chrome, Firefox и Opera) обычно отображали IDN, состоящие исключительно из кириллических символов (не как punycode), что позволяло использовать спуфинг-атаки. Chrome ужесточил ограничения IDN в версии 59, чтобы предотвратить эту атаку. [19] [20]

Расширения браузера, такие как No Homo-Graphs, доступны для Google Chrome и Firefox, которые проверяют, посещает ли пользователь веб-сайт, который является омографом другого домена из определенного пользователем списка. [21]

Эти методы защиты распространяются только на браузер. Гомографические URL-адреса, содержащие вредоносное программное обеспечение, могут по-прежнему распространяться без отображения в виде Punycode, через электронную почту , социальные сети или другие веб-сайты, не обнаруживаясь до тех пор, пока пользователь не щелкнет ссылку. Хотя поддельная ссылка будет отображаться в Punycode при нажатии на нее, к этому моменту страница уже начала загружаться в браузер, и вредоносное программное обеспечение, возможно, уже было загружено на компьютер.

Снижение риска на стороне сервера / оператора реестра [ править ]

База данных омографов IDN - это библиотека Python, которая позволяет разработчикам защищаться от этого с помощью распознавания символов на основе машинного обучения. [22]

ICANN внедрила политику, запрещающую любому потенциальному интернационализированному TLD выбирать буквы, которые могут напоминать существующий латинский TLD и, таким образом, использоваться для атак с использованием омографа. Предлагаемые IDN TLD .бг (Болгария), .укр (Украина) и .ελ (Греция) были отклонены или приостановлены из-за их предполагаемого сходства с латинскими буквами. Позже были приняты все три (и сербский .срб, и монгольский .мон ). [23]Трехбуквенные TLD считаются более безопасными, чем двухбуквенные, поскольку их труднее сопоставить с обычными латинскими доменами страны ISO-3166; хотя потенциал сопоставления с новыми общими доменами сохраняется, такие общие домены намного дороже, чем регистрация адреса домена второго или третьего уровня, что делает попытки зарегистрировать гомоглифный TLD с единственной целью создания поддельных доменов ( что само по себе привлекло бы внимание ICANN).

Координационный центр оператора реестра для TLD RU России принимает только кириллические имена для домена верхнего уровня .рф , запрещая смешивание с латинскими или греческими символами. Однако проблема с доменом .com и другими gTLD остается открытой. [24]

См. Также [ править ]

  • Интернационализированное доменное имя
  • Гомоглиф
  • Повторяющиеся символы в Юникоде
  • Эквивалентность Unicode
  • Typosquatting

Ссылки [ править ]

  1. ^ a b «Вопросы безопасности Unicode» , Технический отчет № 36, 28 апреля 2010 г.
  2. ^ a b Евгений Габрилович и Алексей Гонтмахер, «Архивная копия» (PDF) . Архивировано из оригинального (PDF) 02.01.2020 . Проверено 10 декабря 2005 .CS1 maint: заархивированная копия как заголовок ( ссылка ), Сообщения ACM, 45 (2): 128, февраль 2002 г.
  3. ^ Раскрытие информации о взломе IDN от shmoo.com. Архивировано 20 марта 2005 г. на Wayback Machine.
  4. ^ «Фишинговая атака Chrome и Firefox использует домены, идентичные известным безопасным сайтам» . Wordfence . 2017-04-14 . Проверено 18 апреля 2017 .
  5. ^ В Интернете есть различныеконвертеры Punycode , например https://www.hkdnr.hk/idn_conv.jsp
  6. ^ "Архивная копия" . Архивировано из оригинала на 2015-09-07 . Проверено 22 сентября 2015 .CS1 maint: заархивированная копия как заголовок ( ссылка )
  7. ^ Поддельный URL-адрес веб-сайта не из KBOI-TV. Архивировано 5 апреля 2011 г. на Wayback Machine . КБОИ-ТВ. Проверено 1 апреля 2011.
  8. ^ Веб-сайт новостей Boise TV, нацеленный на шутку Джастина Бибера. Архивировано 15 марта 2012 г. на Wayback Machine . КТВБ. Проверено 1 апреля 2011.
  9. ^ Мимосо, Майкл (2017-09-06). "Атака IDN Homograph, распространяющая бэкдор Betabot" . Threatpost . Проверено 20 сентября 2020 .
  10. ^ «Интернационализированные доменные имена (IDN) в Google Chrome» . chromium.googlesource.com . Проверено 26 августа 2020 .
  11. ^ «Предстоящее обновление с исправлением фишинга омографа IDN - Блог» . Opera Security . 2017-04-21 . Проверено 26 августа 2020 .
  12. ^ «О поддержке международного доменного имени Safari» . Проверено 29 апреля 2017 .
  13. ^ «Алгоритм отображения IDN» . Mozilla . Проверено 31 января 2016 .
  14. ^ "Ошибка 722299" . Bugzilla.mozilla.org . Проверено 31 января 2016 .
  15. ↑ Шариф, Тарик (31.07.2006). «Изменения IDN в IE7, позволяющие смешивать скрипты» . IEBlog . Microsoft . Проверено 30 ноября 2006 .
  16. ^ Шариф, Тарик (2005-09-09). «Фильтр фишинга в IE7» . IEBlog . Microsoft . Проверено 30 ноября 2006 .
  17. ^ «Firefox 2 Защита от фишинга» . Mozilla. 2006 . Проверено 30 ноября 2006 .
  18. ^ "Защита от мошенничества в Opera" . Программное обеспечение Opera. 2006-12-18 . Проверено 24 февраля 2007 .
  19. ^ Фишинговая атака Chrome и Firefox использует домены, идентичные известным безопасным сайтам
  20. ^ Фишинг с доменами Unicode
  21. ^ «Никаких гомографов» . em_te. 2018-06-28 . Проверено 18 февраля 2020 .
  22. ^ "База данных омографов IDN" .
  23. ^ Завершение оценки строки ускоренного доступа IDN ccTLD Архивировано 17 октября 2014 г. на Wayback Machine
  24. ^ Emoji к Zero-Day: Latin омоглиф в областях и субдомены архивация 2020-12-09 в Wayback Machine

Внешние ссылки [ править ]

  • Генератор атаки гомографа
  • Фишинг с доменами Unicode