El ataque homógrafo de nombre de dominio internacionalizado ( IDN ) es una forma en que una parte malintencionada puede engañar a los usuarios de computadoras sobre con qué sistema remoto se están comunicando, explotando el hecho de que muchos caracteres diferentes se parecen (es decir, son homógrafos, de ahí el término para el ataque, aunque técnicamente homoglifo es el término más preciso para diferentes personajes que se parecen). Por ejemplo, los alfabetos cirílico, griego y latino tienen cada uno una letra ⟨o⟩ que tiene la misma forma pero un significado diferente que sus contrapartes. [a]
Este tipo de ataque de suplantación de identidad también se conoce como suplantación de script . Unicode incorpora numerosos sistemas de escritura y, por varias razones, a los caracteres de apariencia similar, como el griego Ο, el latín O y el cirílico О, no se les asignó el mismo código. Su uso incorrecto o malicioso es una posibilidad de ataques a la seguridad. Así, por ejemplo, un usuario habitual de example.compuede verse inducido a hacer clic en él sin cuestionarlo como un enlace aparentemente familiar, sin saber que la tercera letra no es el carácter latino "a", sino el carácter cirílico "а", y por tanto es un carácter completamente diferente. dominio del previsto.
El registro de nombres de dominio homográficos es similar a la typosquatting , en el sentido de que ambas formas de ataques utilizan un nombre de apariencia similar a un dominio más establecido para engañar al usuario. [b] La principal diferencia es que en la typosquatting el perpetrador atrae a las víctimas confiando en errores tipográficos naturales comúnmente cometidos al ingresar manualmente una URL, mientras que en la homograph spoofing el perpetrador engaña a las víctimas presentando hipervínculos visualmente indistinguibles. De hecho, sería un raro accidente que un usuario de la web tecleara, por ejemplo, una letra cirílica dentro de una palabra que de otro modo estaría en inglés, como "citibаnk". Hay casos en los que un registro puede ser tanto una falsificación tipográfica como una suplantación de homógrafos; los pares de l/I, i/jy 0/Oestán muy juntos en los teclados y, según el tipo de letra, puede ser difícil o imposible distinguirlos.
Una de las primeras molestias de este tipo, anterior a Internet e incluso a los terminales de texto , fue la confusión entre "l" (letra minúscula "L")/"1" (el número "uno") y "O" (letra mayúscula para vocal "o") / "0" (el número "cero"). Algunas máquinas de escribir de la era anterior a las computadoras incluso combinaban la L y la uno ; los usuarios tenían que escribir una L minúscula cuando se necesitaba el número uno. La confusión cero/o dio lugar a la tradición de cruzar ceros , para que un operador de computadora los tecleara correctamente. [1] Unicode puede contribuir en gran medida a esto con su combinación de caracteres, acentos, varios tipos de guiones , etc., a menudo debido a un soporte de representación inadecuado , especialmente con tamaños de fuente más pequeños y la amplia variedad de fuentes. [2]
Incluso antes, la escritura a mano brindaba grandes oportunidades de confusión. Un ejemplo notable es la etimología de la palabra " cenit ". La traducción del árabe "samt" incluyó la confusión del escriba de "m" con "ni". Esto era común en la letra negra medieval , que no conectaba las columnas verticales de las letras i, m, n o u, lo que hacía difícil distinguirlas cuando había varias seguidas. Esto último, así como la confusión "rn"/"m"/"rri" ("RN"/"M"/"RRI"), todavía es posible para el ojo humano incluso con la moderna tecnología informática avanzada.
La sustitución intencionada de caracteres parecidos con diferentes alfabetos también se ha conocido en diversos contextos. Por ejemplo, el falso cirílico se ha utilizado como entretenimiento o para llamar la atención, y la " codificación Volapuk ", en la que la escritura cirílica está representada por caracteres latinos similares, se utilizó en los primeros días de Internet como una forma de superar la falta de soporte para el alfabeto cirílico. Otro ejemplo es que las placas de matrícula de los vehículos pueden tener tanto cirílico (para uso doméstico en países con escritura cirílica) como latín (para conducción internacional) con las mismas letras. Las placas de matrícula que se emiten en Grecia se limitan al uso de letras del alfabeto griego que tienen homóglifos en el alfabeto latino, ya que las regulaciones de la Unión Europea exigen el uso de letras latinas.
ASCII tiene varios caracteres o pares de caracteres que se parecen y se conocen como homógrafos (u homoglifos ). Los ataques de suplantación de identidad basados en estas similitudes se conocen como ataques de suplantación de identidad homógrafos . Por ejemplo, 0 (el número) y O (la letra), "l" L minúscula y "I" mayúscula "i".
En un ejemplo típico de un ataque hipotético, alguien podría registrar un nombre de dominio que parece casi idéntico a un dominio existente pero que va a otra parte. Por ejemplo, el dominio "rnicrosoft.com" comienza con "r" y "n", no con "m". Otros ejemplos son G00GLE.COM , que se parece mucho a GOOGLE.COM en algunas fuentes. Utilizando una combinación de caracteres en mayúsculas y minúsculas, googIe.com ( i mayúscula , no L minúscula ) se parece mucho a google.com en algunas fuentes. PayPal fue objeto de una estafa de phishing que explotaba esto, utilizando el dominio PayPaI.com . En ciertas fuentes de espacio estrecho como Tahoma (la predeterminada en la barra de direcciones de Windows XP ), colocar una c delante de una j , l o i producirá homoglifos como cl cj ci (dga).
En sistemas informáticos multilingües , diferentes caracteres lógicos pueden tener apariencias idénticas. Por ejemplo, el carácter Unicode U+0430, letra minúscula cirílica a ("а"), puede parecer idéntico al carácter Unicode U+0061, letra minúscula latina ("a"), que es la "a" minúscula utilizada en inglés. Por lo tanto wikipediа.org( xn--wikipedi-86g.org; la versión cirílica) en lugar de wikipedia.org(la versión latina).
El problema surge del diferente tratamiento de los personajes en la mente del usuario y la programación del ordenador. Desde el punto de vista del usuario, una "а" cirílica dentro de una cadena latina es una "a" latina; No hay diferencia en los glifos de estos caracteres en la mayoría de las fuentes. Sin embargo, la computadora los trata de manera diferente cuando procesa la cadena de caracteres como identificador. Por lo tanto, se rompe la suposición del usuario de una correspondencia uno a uno entre la apariencia visual de un nombre y la entidad nombrada.
Los nombres de dominio internacionalizados proporcionan una forma compatible con versiones anteriores para que los nombres de dominio utilicen el conjunto completo de caracteres Unicode, y este estándar ya cuenta con un amplio respaldo. Sin embargo, este sistema amplió el repertorio de caracteres de unas pocas docenas de caracteres en un solo alfabeto a muchos miles de caracteres en muchas escrituras; esto aumentó enormemente el alcance de los ataques homógrafos.
Esto abre una rica vena de oportunidades para el phishing y otras variedades de fraude. Un atacante podría registrar un nombre de dominio que se parezca al de un sitio web legítimo, pero en el que algunas de las letras hayan sido reemplazadas por homógrafos en otro alfabeto. Luego, el atacante podría enviar mensajes de correo electrónico que supuestamente provienen del sitio original, pero que dirigen a las personas al sitio falso. El sitio falso podría entonces registrar información como contraseñas o detalles de cuentas, mientras pasa tráfico al sitio real. Es posible que las víctimas nunca noten la diferencia, hasta que se produzca una actividad sospechosa o delictiva en sus cuentas.
En diciembre de 2001, Evgeniy Gabrilovich y Alex Gontmakher, ambos de Technion , Israel , publicaron un artículo titulado "El ataque homógrafo", [1] que describía un ataque que utilizaba URL Unicode para falsificar la URL de un sitio web. Para demostrar la viabilidad de este tipo de ataque, los investigadores registraron con éxito una variante del nombre de dominio microsoft .com que incorporaba caracteres cirílicos.
Se previeron problemas de este tipo antes de que se introdujeran los IDN y se emitieron directrices a los registros para tratar de evitar o reducir el problema. Por ejemplo, se recomendó que los registros solo aceptaran caracteres del alfabeto latino y del de su propio país, no todos los caracteres Unicode, pero los principales TLD ignoraron este consejo . [ cita necesaria ]
El 7 de febrero de 2005, Slashdot informó que este exploit fue revelado por 3ric Johanson en la conferencia de hackers Shmoocon . [3] Los navegadores web compatibles con IDNA parecían dirigir la URL http://www.pаypal.com/, en la que el primer carácter se reemplaza por una a cirílica , al sitio del conocido sitio de pagos PayPal , pero en realidad conducían a un sitio web falsificado con contenido diferente. Los navegadores populares continuaron teniendo problemas para mostrar correctamente los nombres de dominio internacionales hasta abril de 2017. [4]
Los siguientes alfabetos tienen caracteres que pueden usarse para ataques de suplantación de identidad (tenga en cuenta que estos son solo los más obvios y comunes, dada la licencia artística y el riesgo que correrá el falsificador de ser atrapado; las posibilidades son mucho más numerosas de las que se pueden enumerar). aquí):
El cirílico es, con diferencia, el alfabeto más utilizado para los homoglifos, en gran parte porque contiene 11 glifos en minúsculas que son idénticos o casi idénticos a sus homólogos latinos.
Las letras cirílicas а , с , е , о , р , х e y tienen contrapartes ópticas en el alfabeto latino básico y se ven cercanas o idénticas a a , c , e , o , p , x e y . Los cirílicos З , Ч y б se parecen a los números 3 , 4 y 6 . La cursiva genera más homoglifos: дтпи o дтпи ( д т п и en tipo estándar), parecidos a d m n u (en algunas fuentes se puede usar д , ya que su forma cursiva se asemeja a una g minúscula ; sin embargo, en la mayoría de las fuentes convencionales, д en cambio se parece a un signo diferencial parcial , ∂ ).
Si se cuentan las letras mayúsculas, А В С Е Н І Ј К М О Р Ѕ Т Х puede sustituir A B C E H I J K M O P S T X , además de las mayúsculas para los homoglifos cirílicos minúsculas.
Las letras problemáticas cirílicas no rusas son і e i , ј y j , е y q , ѕ y s , е y w , і y Y , mientras que і y F , і G tienen cierto parecido entre sí. El cirílico 기 ё ї ꧁ también se puede utilizar si un IDN en sí está siendo falsificado, para falsificar ä ë ï ö .
Si bien Komi De ( ′ ), shha ( һ ), palochka ( ۀ ) e izhitsa ( ѵ ) tienen un gran parecido con las d, h, l y v latinas, estas letras son raras o arcaicas y no son ampliamente compatibles con la mayoría de las fuentes estándar. (no están incluidos en el WGL-4 ). Intentar utilizarlos podría provocar un efecto de nota de rescate .
Del alfabeto griego , solo omicron ο y, a veces, nu ν parecen idénticos a una letra del alfabeto latino en minúsculas utilizada para las URL. Las fuentes que están en cursiva mostrarán la alfa griega α que parece una a latina .
Esta lista aumenta si también se permiten coincidencias cercanas (como el griego εικηρτυωχγ para eiknptuwxy). Usando letras mayúsculas , la lista se amplía enormemente. El griego ΑΒΕΗΙΚΜΝΟΡΤΧΥΖ parece idéntico al latín ABEHIKMNOPTXYZ. El griego ΑΓΒΕΗΚΜΟΠΡΤΦΧ se parece al cirílico АГВЕНКМОПРТФХ (al igual que el cirílico Л (Л) y el griego Λ en ciertas fuentes geométricas sans-serif), las letras griegas κ y ο se parecen a los cirílicos к y о. Además de esta τ griega, φ puede ser similar a la т cirílica, ф en algunas fuentes, la δ griega se parece a la б cirílica en el alfabeto serbio , y la а cirílica también pone en cursiva lo mismo que su contraparte latina, lo que permite sustituirla por alfa o viceversa. La forma semilunar de sigma, Ϲϲ, se parece tanto al latín Cc como al cirílico Сс.
Si un IDN en sí está siendo falsificado, la beta griega β puede ser un sustituto de la eszett ß alemana en algunas fuentes (y de hecho, la página de códigos 437 las trata como equivalentes), al igual que la variante griega de final de palabra sigma ς para ç ; Los sustitutos griegos acentuados όίά generalmente se pueden usar para óíá en muchas fuentes, y la última de ellas (alfa) nuevamente solo se parece a una fuente en cursiva.
El alfabeto armenio también puede aportar caracteres críticos: varios caracteres armenios como օ, ָ, ֽ, así como las mayúsculas ֏ y ּ suelen ser completamente idénticos a los caracteres latinos en las fuentes modernas, y símbolos que se parecen lo suficiente como para pasar por alto, como ցְָօֽ֦, que parecen como ghnoqu, ֵ que se parece a j (aunque sin puntos) y ք, que puede parecerse a p o f dependiendo de la fuente; ֡ puede parecerse al cirílico ш. Sin embargo, el uso del armenio es, afortunadamente, un poco menos confiable: no todas las fuentes estándar contienen glifos armenios (mientras que las escrituras griega y cirílica sí los tienen); Windows anterior a Windows 7 representaba el armenio en una fuente distinta, Sylfaen , cuya mezcla del armenio con el latín parecería obviamente diferente si se usara una fuente distinta a Sylfaen o un tipo de letra Unicode . (Esto se conoce como efecto de nota de rescate ). La versión actual de Tahoma , utilizada en Windows 7, admite armenio (las versiones anteriores no lo hacían). Además, esta fuente diferencia la g latina del armenio ց.
Dos letras en armenio (ցַ) también pueden parecerse al número 2, օ se parece al 3, mientras que otra (־) a veces se parece al número 4.
La suplantación de identidad en hebreo es generalmente rara. Sólo se pueden utilizar de forma fiable tres letras de ese alfabeto: Samekh (ס), que a veces se parece a la o, vav con signo diacrítico (וֹ), que se parece a una i, y heth (ח), que se parece a la letra n. También se pueden encontrar aproximaciones menos precisas para algunos otros caracteres alfanuméricos, pero normalmente sólo son lo suficientemente precisas como para utilizarlas con fines de marca extranjera y no para sustitución. Además, el alfabeto hebreo se escribe de derecha a izquierda y tratar de mezclarlo con glifos de izquierda a derecha puede causar problemas.
Aunque la escritura tailandesa ha tenido históricamente un aspecto distintivo con numerosos bucles y pequeños adornos, la tipografía tailandesa moderna , comenzando con Manoptica en 1973 y continuando hasta IBM Plex en la era moderna, ha adoptado cada vez más un estilo simplificado en el que los caracteres tailandeses se representan con glifos. muy parecido a las letras latinas. ค (A), ท (n), น (u), บ (U), ป (J), พ (W), ร (S) y ล (a) se encuentran entre los glifos tailandeses que pueden parecerse mucho al latín. .
El idioma chino puede ser problemático para los homógrafos, ya que existen muchos caracteres chinos tradicionales (escritura normal) y simplificados . En el dominio .org , registrar una variante hace que la otra no esté disponible para nadie; en .biz, un único registro de IDN en idioma chino ofrece ambas variantes como dominios activos (que deben tener el mismo servidor de nombres de dominio y el mismo registrante). .hk (.香港) también adopta esta política.
Otras escrituras Unicode en las que se pueden encontrar homógrafos incluyen formas numéricas ( números romanos ), compatibilidad con CJK y letras y meses CJK adjuntos (ciertas abreviaturas), latín (ciertos dígrafos), símbolos de moneda , símbolos alfanuméricos matemáticos y formas de presentación alfabética ( ligaduras tipográficas). ).
Dos nombres que difieren sólo en el acento de un carácter pueden parecer muy similares, particularmente cuando la sustitución involucra la letra i punteada ; el título (punto) de la i se puede reemplazar con un signo diacrítico (como un acento grave o agudo ; tanto ì como í están incluidos en la mayoría de los conjuntos de caracteres y fuentes estándar) que solo se pueden detectar con una inspección minuciosa. En la mayoría de los registros de dominio de nivel superior, wíkipedia.tld (xn--wkipedia-c2a.tld) y wikipedia.tld son dos nombres diferentes que pueden estar en manos de diferentes registrantes. [5] Una excepción es .ca , donde reservar la versión ASCII simple del dominio impide que otro registrante reclame una versión acentuada del mismo nombre. [6]
Unicode incluye muchos caracteres que no se muestran de forma predeterminada, como el espacio de ancho cero . En general, ICANN prohíbe registrar cualquier dominio con estos caracteres, independientemente del TLD.
En 2011, una fuente desconocida (que se registró con el nombre "Completamente Anónimo") registró un nombre de dominio homográfico de la estación de televisión KBOI-TV 's para crear un sitio web de noticias falsas . El único propósito del sitio era difundir una broma del Día de los Inocentes sobre la emisión por parte del Gobernador de Idaho de una supuesta prohibición de la venta de música de Justin Bieber . [7] [8]
En septiembre de 2017, el investigador de seguridad Ankit Anubhav descubrió un ataque homógrafo IDN en el que los atacantes registraron adoḅe.com para entregar el troyano Betabot . [9]
La defensa más sencilla es que los navegadores web no admitan IDNA u otros mecanismos similares, o que los usuarios desactiven cualquier soporte que tengan sus navegadores. Eso podría significar bloquear el acceso a los sitios IDNA, pero generalmente los navegadores permiten el acceso y solo muestran los IDN en Punycode . De cualquier manera, esto equivale a abandonar los nombres de dominio que no son ASCII.
Como defensa adicional, Internet Explorer 7, Firefox 2.0 y superiores y Opera 9.10 incluyen filtros de phishing que intentan alertar a los usuarios cuando visitan sitios web maliciosos. [16] [17] [18] En abril de 2017, varios navegadores (incluidos Chrome, Firefox y Opera) mostraban IDN que consistían exclusivamente en caracteres cirílicos normalmente (no como punycode), lo que permitía ataques de suplantación de identidad. Chrome endureció las restricciones de IDN en la versión 59 para evitar este ataque. [19] [20]
Extensiones de navegador como No Homo-Graphs están disponibles para Google Chrome y Firefox que verifican si el usuario está visitando un sitio web que es homógrafo de otro dominio de una lista definida por el usuario. [21]
Estos métodos de defensa sólo se extienden al interior de un navegador. Las URL homográficas que albergan software malicioso aún pueden distribuirse, sin mostrarse como Punycode, a través del correo electrónico , redes sociales u otros sitios web sin ser detectadas hasta que el usuario haga clic en el enlace. Si bien el enlace falso se mostrará en Punycode cuando se haga clic en él, en este punto la página ya ha comenzado a cargarse en el navegador. [ cita necesaria ]
La base de datos de homógrafos de IDN es una biblioteca de Python que permite a los desarrolladores defenderse de esto mediante el reconocimiento de caracteres basado en aprendizaje automático . [22]
ICANN ha implementado una política que prohíbe a cualquier TLD internacionalizado potencial elegir letras que puedan parecerse a un TLD latino existente y, por lo tanto, usarse para ataques homógrafos. Los IDN TLD propuestos .бг (Bulgaria), .укр (Ucrania) y .ελ (Grecia) han sido rechazados o estancados debido a su aparente parecido con las letras latinas. Los tres (y el .срб serbio y el .мон mongol ) fueron aceptados posteriormente. [23] Los TLD de tres letras se consideran más seguros que los TLD de dos letras, ya que son más difíciles de hacer coincidir con los dominios de países latinos normales ISO-3166; aunque persiste la posibilidad de hacer coincidir nuevos dominios genéricos, dichos dominios genéricos son mucho más costosos que registrar una dirección de dominio de segundo o tercer nivel, lo que hace que sea prohibitivo intentar registrar un TLD homoglífico con el único propósito de crear dominios fraudulentos ( que a su vez atraería el escrutinio de ICANN).
El Centro de Coordinación del operador de registro ruso para TLD RU solo acepta nombres cirílicos para el dominio de nivel superior .рф , prohibiendo una mezcla con caracteres latinos o griegos. Sin embargo, el problema en .com y otros gTLD sigue abierto. [24]
En su estudio de 2019, Suzuki et al. presentó ShamFinder, [25] un programa para reconocer IDN, arrojando luz sobre su prevalencia en escenarios del mundo real. De manera similar, Chiba et al. (2019) diseñaron DomainScouter, [26] un sistema experto en detectar diversos IDN homógrafos en dominios. Mediante el análisis de aproximadamente 4,4 millones de IDN registrados en 570 dominios de nivel superior (TLD), pudo identificar con éxito 8284 homógrafos de IDN, incluidos muchos no identificados previamente. casos dirigidos a marcas en idiomas distintos del inglés. [27]
Microsfot.com{{cite web}}: Mantenimiento CS1: copia archivada como título ( enlace ), Comunicaciones de la ACM, 45(2):128, febrero de 2002.