Омографическая атака (IDN homograph attack) использует интернационализированные доменные имена с символами других алфавитов, похожими на латинские буквы, чтобы создавать фальшивые домены, визуально неотличимые от настоящих.
Как работает омографическая атака
Интернационализированные доменные имена (IDN) позволяют регистрировать домены на кириллице, греческом, китайском и других письменностях. В DNS они хранятся в ASCII-форме под названием Punycode, которая начинается с xn--. При этом многие символы Юникода выглядят так же, как латинские: кириллические «а», «е», «о», «р» и «с» практически не отличаются от латинских аналогов. Поэтому атакующий может зарегистрировать домен вроде «аpple.com», частично или полностью написанный кириллицей, и браузер или почтовый клиент покажет его точно как оригинал.
Проблему описали Евгений Габрилович и Алекс Гонтмахер в статье 2002 года. В 2017 году исследователь Сюдун Чжэн (Xudong Zheng) продемонстрировал полностью кириллического двойника apple.com (xn--80ak6aa92e.com), которого Chrome и Firefox отображали как «apple.com», после чего производители браузеров ужесточили правила отображения.
Почему это важно
Омографические домены обесценивают самый распространённый совет пользователям — «проверяйте адрес». Их используют в фишинговых ссылках, на поддельных страницах входа и для спуфинга писем; на них даже можно получить действительный TLS-сертификат, так что значок замка будет на месте. Похожие трюки с визуально одинаковыми символами применяют в именах пользователей, файлов и в исходном коде. По сути это более изощрённая форма тайпсквоттинга.
Как защититься
- Пользоваться менеджером паролей — он не подставит учётные данные на домене-двойнике.
- Обновлять браузеры: современные версии показывают Punycode для подозрительных доменов со смешанными алфавитами.
- Открывать важные сайты из закладок, а не по ссылкам из сообщений.
- Организациям — отслеживать регистрации омоглифных вариантов своих брендов и блокировать их в почтовых и веб-фильтрах.
