Исследователи обошли проверки поддельных доменов в Chrome и Edge
Изображение: OpenAI
Домены с символами ө и ƙ обходят основные проверки подмены адресов в Chrome и Edge из-за особенностей обработки Unicode, сообщает The Register. Исследователи Have I Been Squatted зарегистрировали 20 доменов-двойников, которые браузеры показывают в Unicode, хотя запись Punycode выдала бы подмену.
Проверка полностью кириллического имени срабатывает, только если каждый его символ есть в списке букв, похожих на латинские. Символа ө в этом списке нет даже в Chrome 154, вышедшем 22 сентября. Его добавление позволяет обойти проверку, как в демонстрационном домене aррӏө[.]com, похожем на адрес Apple.
Другой механизм сравнивает упрощённую запись домена с перечнем почти 8500 популярных сайтов. При обработке ө и ƙ в этой записи остаются дополнительные знаки, поэтому совпадения с настоящими адресами не получается. Так проверку проходит и oƙta[.]com: браузер показывает адрес с символом ƙ, похожим на латинскую k, а не в безопасном виде xn--ota-f6a.com.
Предупреждения при переходе на подозрительный сайт тоже помогают не всегда. Они не срабатывают для имён короче пяти символов, к которым относится oƙta[.]com. Домены с несколькими заменами букв, как в кириллическом двойнике Apple, также могут пройти без предупреждения. Эта защита учитывает и историю посещений, но у пользователя с небольшой историей её возможности ограничены.
Почтовые сервисы разбираются в таких адресах ещё хуже. Веб-версия Gmail показала все 20 тестовых доменов в Unicode, а Outlook Web все 20 в Punycode, включая безобидные, то есть ни один из них не отличает двойников от честных международных имён.
Исследователи также изучили по списку ICANN все домены в зоне .com и нашли около 162 000 пар, в которых международное доменное имя похоже на адрес из ASCII-символов. Это не число фишинговых сайтов: часть доменов могли зарегистрировать компании для защиты своих названий или работы на разных языках. Издание рекомендует организациям отслеживать регистрацию похожих адресов.
