Казахская буква «ө» помогает подделывать сайты в Chrome

Исследователи сервиса Have I Been Squatted Иэн Маскат и Линн Бриффа нашли способ обойти защиту от поддельных адресов в браузерах на движке Chromium. Для этого хватает одной буквы. Кириллическая «ө» из казахского, монгольского и татарского алфавитов и латинская «ƙ» из языка хауса проходят все проверки, и Chrome показывает фальшивый адрес как настоящий. Об исследовании 10 октября написал британский The Register.

Исследователи зарегистрировали 20 демонстрационных доменов. Среди них аналоги apple.com и spacex.com, где часть букв заменена кириллицей и «ө», а также oƙta.com и niƙe.com с крючковатой «ƙ». Все они ведут на страницы с объяснением уязвимости, ничего вредного там нет.

Как работает обход

Адреса с национальными символами браузер может показывать двумя способами. В обычном виде, Unicode, или в техническом, Punycode, вроде xn--80a6aa68c8d.com. Второй сразу выдаёт подделку. Chromium выбирает формат по нескольким проверкам, которые Google ввела в 2017 году, после того как исследователь Сюйдун Чжэн зарегистрировал копию apple.com из кириллических букв.

Первая проверка срабатывает, только если все символы адреса есть в жёстко заданном списке похожих на латиницу кириллических букв. «ө», «ї» и «ү» в этот список не входят. Одной такой буквы достаточно, чтобы фильтр пропустил домен. По данным исследователей, в Chrome 154, стабильной версии от 22 сентября, этих символов в списке по-прежнему нет. Две другие подобные буквы, «ҏ» и «ӿ», Google закрыла ещё в Chrome 148.

Вторая проверка сравнивает «скелет» адреса, очищенный от диакритики, примерно с 8500 популярными сайтами. Но перечёркнутая «ө» сохраняет черту, а «ƙ» сохраняет крючок, поэтому совпадения нет. Всплывающие предупреждения Safety Tips тоже не спасают. Они появляются только при точном совпадении или разнице в одну букву и зависят от истории посещений.

Кого это касается

Обход работает в Chrome и Edge, а значит, и в других браузерах на Chromium. Почта Gmail тоже показала все 20 доменов в обычном виде. Outlook в веб-версии, наоборот, вывел их в Punycode, причём вместе с настоящими национальными адресами.

Масштаб проблемы исследователи оценили по списку ICANN. В зоне .com около 167 млн доменов, из них примерно 733 тысячи содержат национальные символы. Около 162 тысяч похожи на обычные латинские адреса. Авторы уточняют, что это не 162 тысячи мошеннических сайтов: часть доменов компании регистрируют для защиты собственных брендов.

Google публично на исследование не ответила, сроки исправления неизвестны. Пока безопаснее открывать банки, почту и маркетплейсы из закладок, а не по ссылкам из писем и мессенджеров. О других уловках злоумышленников мы писали в разделе о кибербезопасности.

Источники: The Register — исследование Have I Been Squatted об обходе защиты Chromium