Қазақтың «ө» әрпі Chrome-да жалған сайт жасауға көмектеседі
Зерттеушілер .com аймағынан кәдімгі латын адрестеріне ұқсайтын ұлттық таңбалы 162 мыңға жуық домен тапты.
Фото: The Register
Have I Been Squatted сервисінің зерттеушілері Иэн Маскат пен Линн Бриффа Chromium негізіндегі браузерлердің жалған адрестерден қорғанысын айналып өтудің жолын тапты. Ол үшін бір ғана әріп жеткілікті. Қазақ, моңғол және татар әліпбилеріндегі кириллицаның «ө» әрпі мен хауса тіліндегі латынның «ƙ» әрпі барлық тексеруден өтіп кетеді. Сондықтан Chrome жалған адресті нағыз сайттікі сияқты көрсетеді. Зерттеу туралы 10 қазанда британдық The Register жазды.
Зерттеушілер 20 демонстрациялық домен тіркеді. Олардың арасында әріптерінің бір бөлігі кириллицаға және «ө»-ге ауыстырылған apple.com мен spacex.com көшірмелері бар. Ал oƙta.com мен niƙe.com адрестерінде ілмекті «ƙ» тұр. Бұл домендердің бәрі осалдықты түсіндіретін беттерге апарады, онда зиянды ештеңе жоқ.
Айналып өту қалай жұмыс істейді
Ұлттық таңбалары бар адресті браузер екі түрде көрсете алады. Бірі — кәдімгі Unicode түрі, екіншісі — xn--80a6aa68c8d.com сияқты техникалық Punycode түрі. Екінші түрі жалғандықты бірден ашады. Chromium форматты бірнеше тексеру арқылы таңдайды. Google оларды 2017 жылы енгізген. Сол кезде зерттеуші Сюйдун Чжэн apple.com-ның кириллица әріптерінен құралған көшірмесін тіркеген еді.
Бірінші тексеру адрестегі барлық таңба латынға ұқсас кириллица әріптерінің қатаң тізімінде болғанда ғана іске қосылады. Ал «ө», «ї» және «ү» бұл тізімде жоқ. Яғни домен сүзгіден өтуі үшін осындай бір әріп жеткілікті. Зерттеушілердің дерегінше, 22 қыркүйектегі тұрақты Chrome 154 нұсқасында да бұл таңбалар тізімге әлі қосылмаған. Ұқсас тағы екі әріпті, «ҏ» мен «ӿ»-ні, Google Chrome 148 нұсқасында жапқан.
Екінші тексеру диакритикадан тазартылған адрестің «қаңқасын» шамамен 8500 танымал сайтпен салыстырады. Алайда сызықшалы «ө» сызығын, ал «ƙ» ілмегін сақтап қалады, сондықтан сәйкестік табылмайды. Safety Tips ескертулері де көмектеспейді. Олар тек дәл сәйкестікте немесе бір әріп айырмашылығында шығады, оның үстіне кіру тарихына байланысты.
Бұл кімге қатысты
Айналып өту тәсілі Chrome мен Edge-де, демек Chromium негізіндегі басқа браузерлерде де жұмыс істейді. Gmail поштасы да 20 доменнің бәрін кәдімгі түрде көрсетті. Ал Outlook-тың веб-нұсқасы оларды Punycode түрінде шығарды, бірақ нағыз ұлттық адрестерді де солай көрсетті.
Мәселенің ауқымын зерттеушілер ICANN тізімі бойынша бағалады. .com аймағында шамамен 167 млн домен бар, оның 733 мыңға жуығында ұлттық таңбалар кездеседі. Олардың 162 мыңға жуығы кәдімгі латын адрестеріне ұқсайды. Авторлар бұл 162 мың алаяқ сайт емес екенін нақтылайды. Себебі мұндай домендердің бір бөлігін компаниялар өз брендін қорғау үшін тіркейді.
Google зерттеуге ресми жауап бермеді, осалдықтың қашан түзетілетіні белгісіз. Әзірге банк, пошта және маркетплейс сайттарын хаттағы не мессенджердегі сілтеме арқылы емес, бетбелгіден ашқан қауіпсіз.
Дереккөздер: The Register — Have I Been Squatted-тің Chromium қорғанысын айналып өту туралы зерттеуі
