Les domaines homographes trompent encore — les mesures qui les détectent vraiment

Un domaine qui ressemble exactement à l'URL d'une marque connue peut toujours être faux. Les noms de domaine internationalisés autorisent des caractères cyrilliques, grecs et d'autres écritures qui s'affichent de manière identique aux lettres latines — remplacez-en suffisamment dans le nom d'une marque, enregistrez le résultat, et un navigateur peut afficher quelque chose qui ressemble à l'adresse réelle tout en pointant vers un site totalement différent. C'est l'attaque homographe IDN, et elle reste l'une des techniques d'hameçonnage les plus difficiles à repérer visuellement pour les utilisateurs.

Pourquoi « lire attentivement l'URL » ne suffit pas

Conseiller d'inspecter une URL avant de se connecter suppose que l'utilisateur peut distinguer visuellement des caractères qui ont été précisément choisis pour se ressembler. Or, souvent, il ne le peut pas. C'est pourquoi les défenses les plus durables ne dépendent pas du tout de la perception humaine.

Des défenses qui ne reposent pas sur la capacité des utilisateurs à repérer la substitution

• Les gestionnaires de mots de passe ne remplissent automatiquement les identifiants que sur le domaine exact pour lequel ils ont été enregistrés, et non sur ce à quoi un domaine ressemble visuellement — cela suffit à bloquer la plupart des vols d'identifiants depuis une page homographe.
• Le filtrage au niveau DNS peut bloquer les domaines sosies connus avant même que le navigateur de l'utilisateur ne les charge.
• La surveillance Certificate Transparency signale les nouveaux certificats émis pour des domaines imitant une marque, souvent avant même qu'une page d'hameçonnage ne soit mise en ligne.
• Les navigateurs peuvent être configurés pour afficher les domaines internationalisés suspects sous leur forme Punycode brute au lieu de l'écriture trompeuse.
• Enregistrer les variantes homoglyphes les plus évidentes du propre domaine d'une entreprise élimine certaines des cibles les plus faciles pour un attaquant.

Ce que les services d'assistance devraient réellement dire aux utilisateurs

Ajoutez les pages de connexion sensibles à vos favoris après une première visite vérifiée, plutôt que de taper ou de cliquer sur un lien à chaque fois. Signalez tout sosie de la marque de l'organisation à la personne chargée du signalement des abus ou de la protection de la marque. Et ne demandez jamais à un utilisateur de « tester » une page de connexion envoyée par quelqu'un d'autre — cette seule consigne neutralise la plupart des défenses techniques ci-dessus.

Aucun navigateur ne bloque aujourd'hui de manière fiable tous les domaines homographes à lui seul, si bien que la conclusion pratique est la défense en profondeur : des contrôles techniques qui ne dépendent pas de la perception, auxquels s'ajoute une sensibilisation suffisante des utilisateurs pour faire remonter ce qui passe au travers.

Sources : Wikipedia, zvelo.