Seltene kyrillische und lateinische Buchstaben täuschen URLs in Chromium-Browsern
in einfachen worten
Chrome und Edge sollen verhindern, dass Betrüger gefälschte Webadressen registrieren, die wie echte Markennamen aussehen. Sicherheitsforscher haben zwei ungewöhnliche Buchstaben gefunden, aus dem Kyrillischen und aus dem Hausa-Alphabet, die diesen Schutz umgehen. Dadurch kann eine gefälschte Adresse genau wie eine echte aussehen, etwa apple.com oder nike.com, was Nutzer auf Phishing-Seiten locken könnte.
Die Sicherheitsforscher Ian Muscat und Leanne Briffa von Have I Been Squatted haben zwei Zeichen identifiziert, die Chromiums Schutzmechanismen gegen Typosquatting Registrierung falsch geschriebener Varianten bekannter Namen, um Tippfehler auszunutzen. Vollständige Definition von Typosquatting aushebeln können: das kyrillische ө, verwendet im Kasachischen, Mongolischen und Tatarischen, sowie das lateinische K mit Haken, ƙ, verwendet im Hausa und im Karai-karai. Beide ähneln stark den lateinischen Buchstaben o/e und k, wodurch die beiden 20 überzeugende Lookalike-Domain Eine Domain, die gezielt mit der einer bekannten Marke oder Organisation verwechselt werden soll. Vollständige Definition von Lookalike-Domain registrieren konnten, darunter Varianten von apple.com, spacex.com, okta.com und nike.com, die alle als sichere Demonstrationsseiten registriert bleiben.
Chromium-Browser verlassen sich normalerweise auf zwei Schutzmechanismen. Der erste, eine Funktion namens SafeToDisplayAsUnicode, führt sieben Prüfungen gegen eine fest hinterlegte Liste kyrillischer Zeichen durch, die bekanntermaßen lateinische Buchstaben imitieren, blockiert eine Domain aber nur, wenn jedes Zeichen der Zeichenkette auf dieser Liste steht. Da ө und ähnliche Buchstaben in Chrome 154, veröffentlicht am 22. September, nicht auf dieser Liste stehen, kann eine solche Lookalike-Zeichenkette unentdeckt durchrutschen, ein Fehler, den die Forscher als „Breaker“ bezeichnen.
Der zweite Schutzmechanismus, GetSimilarTopDomain, entfernt diakritische Zeichen aus einer Domain, um ein vereinfachtes „Skelett“ zu bilden, und vergleicht dieses mit rund 8.500 populären Domains. Stimmt das Skelett überein, erzwingt der Browser die Anzeige in Punycode Die Kodierung, die internationalisierte Domainnamen in ASCII mit dem Präfix xn-- umwandelt. Vollständige Definition von Punycode, um den Betrug sichtbar zu machen. Doch ƙ hat keinen Akzent zum Entfernen, sondern wird in ein lateinisches k plus ein kombinierendes Zeichen umgewandelt, wodurch ein Skelett entsteht, das nicht mit der echten Domain übereinstimmt, etwa okta.com, das zu einer anderen Skelett-Zeichenkette wird. Das kyrillische ө verhält sich ähnlich: Sein Querstrich bleibt als kombinierendes Zeichen erhalten, sodass sein Skelett nie mit der echten Apple-Domain übereinstimmt.
Diese Schwachstellen reihen sich in eine lange Geschichte ähnlicher Umgehungen ein, darunter Xudong Zhengs Registrierung einer komplett kyrillischen apple.com-Lookalike-Domain im Jahr 2017, die Browserhersteller dazu veranlasste, die heutigen Prüfungen einzuführen. Die Hersteller haben seitdem weitere verwandte Probleme behoben, zuletzt schloss Chrome 148 eine frühere Umgehungsmethode.