Unicode spoofing

Unicode spoofing to wykorzystanie podobnie wyglądających znaków z różnych alfabetów do podszycia się pod inną domenę.

Na czym polega podszywanie się za pomocą znaków Unicode

Unicode spoofing to technika polegająca na wykorzystaniu znaków, które wizualnie przypominają inne litery, cyfry albo symbole. Osoba atakująca może zbudować nazwę domeny, adres poczty elektronicznej, nazwę użytkownika lub fragment tekstu tak, aby wyglądały podobnie do prawidłowego adresu. Przykładem jest zastąpienie łacińskiej litery „a” znakiem z innego alfabetu, który ma zbliżony kształt. Dla człowieka oba napisy mogą wyglądać niemal identycznie, choć komputer przechowuje je jako różne punkty kodowe Unicode.

Problem wynika z różnicy między wyglądem tekstu a jego rzeczywistą reprezentacją. Znak nie jest rozpoznawany wyłącznie na podstawie kształtu widocznego na ekranie, lecz także na podstawie przypisanego mu kodu. Dwie nazwy mogą więc wyglądać tak samo lub bardzo podobnie, a jednocześnie prowadzić do innych domen. W przypadku adresów internetowych takie podobieństwo może ułatwić przekierowanie na stronę przygotowaną przez oszusta, zwłaszcza gdy użytkownik ocenia adres tylko wzrokowo i nie porównuje jego znaków z zapisanym wcześniej, zaufanym adresem.

Homoglify, IDN i zapis nazwy domeny

Znaki używane w atakach tego typu są często określane jako homoglify, czyli znaki podobne wizualnie do innych znaków. Nie muszą pochodzić wyłącznie z jednego alfabetu. Podobieństwo mogą tworzyć między innymi litery alfabetu łacińskiego, greckiego i cyrylickiego, a także znaki o zbliżonym kształcie. Ryzyko dotyczy również cyfr, znaków diakrytycznych i niektórych symboli, jeśli sposób ich renderowania zależy od użytej czcionki.

Domeny zawierające znaki spoza podstawowego zestawu ASCII mogą korzystać z mechanizmu Internationalized Domain Names, czyli IDN. W warstwie technicznej nazwa IDN może być przedstawiana w postaci ASCII zgodnej z mechanizmem Punycode. Taki zapis często zaczyna się od przedrostka „xn--”, który sygnalizuje zakodowaną etykietę domeny. Przeglądarka może jednak wyświetlić użytkownikowi formę zawierającą znaki Unicode, zależnie od reguł bezpieczeństwa, ustawień, domeny najwyższego poziomu oraz oceny, czy nazwa nie jest myląca. Sam przedrostek „xn--” nie oznacza ataku, ponieważ legalne domeny wielojęzyczne również mogą korzystać z IDN, ale pozwala zauważyć, że adres nie jest zapisany wyłącznie zwykłymi znakami ASCII.

Jak przeglądarka ogranicza ryzyko błędnej identyfikacji

Nowoczesne przeglądarki próbują ograniczać wyświetlanie podejrzanych nazw Unicode w formie, która mogłaby wprowadzać w błąd. Stosowane są między innymi reguły dotyczące dozwolonych skryptów, mieszaniny alfabetów oraz podobieństwa etykiety do znanych nazw. Jeżeli adres zawiera nietypowe połączenie znaków albo nie spełnia reguł bezpiecznej prezentacji, przeglądarka może pokazać nazwę w postaci Punycode zamiast znaków narodowych. Dokładne zachowanie zależy od konkretnej przeglądarki i jej wersji.

Ochrona po stronie przeglądarki nie usuwa całego zagrożenia. Oszust może użyć poprawnie zapisanej domeny o podobnej nazwie, zmienić wygląd treści strony, zastosować przekierowanie albo umieścić mylący adres w wiadomości. Dlatego podczas logowania lub podawania danych należy sprawdzić pełny adres w pasku przeglądarki, a nie tylko wygląd nazwy w treści wiadomości. Warto zwrócić uwagę na każdą literę, położenie kropki, końcówkę domeny i ewentualny zapis „xn--”. Pomocne jest także ręczne wpisanie znanego adresu albo użycie wcześniej zapisanej zakładki zamiast otwierania linku z nieoczekiwanej wiadomości.

Analiza techniczna może obejmować porównanie rzeczywistego ciągu znaków, jego punktów kodowych oraz wersji ASCII zapisanej w Punycode. Przydatne jest również sprawdzenie, czy w nazwie występują znaki z wielu skryptów i czy różnią się one od znaków używanych w prawidłowej domenie. Sam wygląd zrzutu ekranu nie wystarcza do wiarygodnej oceny, ponieważ obraz nie pokazuje, jakie znaki zostały faktycznie użyte w adresie.

Znaczenie Unicode spoofingu podczas pracy z laptopem i komputerem PC

Na laptopie lub komputerze stacjonarnym objawy związane z Unicode spoofingiem zwykle nie wynikają z uszkodzenia podzespołów, lecz z interpretacji adresu przez przeglądarkę, program pocztowy albo komunikator. Diagnostyka może polegać na sprawdzeniu konkretnego linku, skopiowaniu adresu do zwykłego edytora tekstu, porównaniu znaków z prawidłową nazwą oraz ustaleniu, czy problem występuje w jednej aplikacji, czy w kilku. Należy rozdzielić zmianę sposobu prezentowania domeny od faktycznego przekierowania na inną witrynę.

Jeżeli podejrzany adres został otwarty, nie należy wpisywać na stronie haseł, kodów jednorazowych ani danych płatniczych. Po takim zdarzeniu rozsądne jest zamknięcie strony, uruchomienie aktualnego skanowania zabezpieczeń systemu i zmianę hasła na zaufanym urządzeniu, szczególnie gdy dane zostały już wysłane. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, a w ramach diagnozy można ustalić, czy nietypowe zachowanie przeglądarki wynika z konfiguracji programu, niepożądanego oprogramowania albo innego problemu technicznego.