Homografdomäner lurar fortfarande användare – säkerhetshygienen som faktiskt fångar dem

En domän som ser exakt ut som ett välkänt varumärkes webbadress kan ändå vara falsk. Internationaliserade domännamn tillåter tecken från kyrilliska, grekiska och andra skriftsystem som återges identiskt med latinska bokstäver – byt in tillräckligt många av dem i ett varumärkes namn, registrera resultatet, så kan en webbläsare visa något som ser ut som den riktiga adressen men leder någon helt annanstans. Detta är IDN-homografattacken, och den är fortfarande en av de nätfisketekniker som är svårast för användare att upptäcka med blotta ögat.

Varför ”läs webbadressen noga” inte räcker

Rådet att granska en webbadress före inloggning förutsätter att en användare visuellt kan skilja mellan tecken som specifikt valts ut för att se likadana ut. Det kan de ofta inte. Därför är de mer hållbara skydden inte alls beroende av mänsklig perception.

Skydd som inte förlitar sig på att användare upptäcker bytet

• Lösenordshanterare fyller bara i inloggningsuppgifter på den exakta domänsträng de sparades mot, inte på vad en domän visuellt liknar – redan detta blockerar det mesta av stölden av inloggningsuppgifter från en homografsida.
• DNS-filtrering kan blockera kända liknande domäner innan användarens webbläsare ens laddar dem.
• Övervakning av certifikatstransparens flaggar nya certifikat som utfärdats för varumärkesliknande domäner, ofta innan en nätfiskesida går live.
• Webbläsare kan konfigureras för att visa misstänkta internationaliserade domäner i sin råa Punycode-form i stället för den vilseledande skriften.
• Att registrera de mest uppenbara homoglyfvarianterna av företagets egen domän tar bort några av de enklaste målen för en angripare.

Vad supporten faktiskt bör säga till användare

Bokmärk känsliga inloggningssidor efter ett verifierat första besök i stället för att skriva in eller klicka på en länk varje gång. Eskalera alla domäner som liknar organisationens eget varumärke till den som ansvarar för missbruks- eller varumärkesskyddsrapportering. Och be aldrig en användare att ”testa” en inloggningssida som någon annan har skickat – redan den instruktionen slår ut de flesta av de tekniska skydden ovan.

Ingen webbläsare blockerar i dag på egen hand tillförlitligt varje homografdomän, så den praktiska slutsatsen är försvar på djupet: tekniska kontroller som inte bygger på perception, plus tillräcklig användarmedvetenhet för att eskalera det som ändå slinker igenom.

Källor: Wikipedia, zvelo.