Domeny homograficzne wciąż oszukują użytkowników — higiena, która faktycznie je wykrywa

Domena, która wygląda dokładnie jak adres znanej marki, wciąż może być fałszywa. Międzynarodowe nazwy domen pozwalają używać znaków z cyrylicy, greki i innych systemów pisma, które wyświetlają się identycznie jak litery łacińskie — podmień ich wystarczająco dużo w nazwie marki, zarejestruj wynik, a przeglądarka może pokazać coś, co wygląda jak prawdziwy adres, choć prowadzi zupełnie gdzie indziej. To atak homograficzny IDN i pozostaje jedną z trudniejszych do wykrycia wzrokiem technik phishingowych.

Dlaczego „czytaj uważnie adres URL” to za mało

Zalecenie, aby sprawdzać adres URL przed zalogowaniem, zakłada, że użytkownik potrafi wizualnie odróżnić znaki, które celowo wybrano tak, by wyglądały tak samo. Często nie potrafi. Dlatego trwalsze zabezpieczenia w ogóle nie opierają się na ludzkiej percepcji.

Zabezpieczenia, które nie wymagają od użytkowników zauważenia podmiany

• Menedżery haseł automatycznie uzupełniają poświadczenia tylko na dokładnym ciągu domeny, dla którego zostały zapisane, a nie na tym, co domena wizualnie przypomina — samo to blokuje większość kradzieży danych logowania ze strony homograficznej.
• Filtrowanie na poziomie DNS może blokować znane łudząco podobne domeny, zanim przeglądarka użytkownika w ogóle je załaduje.
• Monitorowanie Certificate Transparency wychwytuje nowe certyfikaty wydane dla domen łudząco podobnych do marek, często zanim strona phishingowa trafi do sieci.
• Przeglądarki można skonfigurować tak, aby podejrzane domeny międzynarodowe wyświetlały w surowej formie Punycode zamiast zwodniczego pisma.
• Rejestrowanie najbardziej oczywistych wariantów homoglificznych własnej domeny firmy eliminuje część najłatwiejszych celów dla atakującego.

Co helpdeski powinny naprawdę mówić użytkownikom

Dodawaj do zakładek wrażliwe strony logowania po zweryfikowanej pierwszej wizycie, zamiast za każdym razem wpisywać adres lub klikać link. Eskaluj każdą domenę łudząco podobną do marki organizacji do osoby odpowiedzialnej za raportowanie nadużyć lub ochronę marki. I nigdy nie proś użytkownika o „testowanie” strony logowania, którą ktoś mu przesłał — samo to polecenie niweczy większość opisanych wyżej zabezpieczeń technicznych.

Żadna przeglądarka nie blokuje dziś samodzielnie i niezawodnie każdej domeny homograficznej, więc praktyczny wniosek to obrona w głąb: zabezpieczenia techniczne, które nie zależą od percepcji, oraz wystarczająca świadomość użytkowników, by eskalować to, co jednak się przedostanie.

Źródła: Wikipedia, zvelo.