Uudis

Google parandab turvaaugu, millega saab edukalt võltsveebiaadressidega pettusi korraldada

Google on parandamas Chrome turvaauku, mis lubas brauseris näidata õigena tunduvat internetiaadressi, mis tegelikult oli petusait. See muutis aga õngitsuskirjade loomise ülimalt lihtsaks.

Tänu Punycode nimelisele süsteemile on võimalik registreerida õigena näivaid domeene, kus tavaliste sümbolite asemel on erimärgid – muuhulgas saab selle abil registreerida Eestis ka täpitähtedega domeene.

Kuid Punycode’i puhul sai registreerida ka domeene, kus näiteks tavalise a-tähe asemel oli kirillitsa tähestiksut pärit a-täht, mis inimesele näivad samasugused, kuid arvuti jaoks on erinevad märgid.

Üks näide on see veebiaadress – Google Chrome’iga linki avades näib, nagu inimene oleks aadressil apple.com, mille ehtsust kinnitab ka https ühendus ja kehtiv sertifikaat (roheline tabalukk), kirjutas Engadget.

Reaalsuses pole see mitte aga iPhone’i tootja koduleht, vaid sarnasena näiv lehekülg, mille reaalne aadress on https://www.xn--80ak6aa92e.com. Tõsi, antud näide pole küberkurjategijate petuleht, vaid viga demonstreeriv näidisleht.

Kuidas pettus toimib?

Sellise veebiaadressi ehk URLi alguses olev XN ütleb veebilehitsejale, et selles domeenis kasutatakse ASCII teisendust. Nii on võimalik ettevõtetel, kes ei kasuta traditsioonilist tähestikku, luua domeene, mis näevad välja ladinatähtedes, kuid kuhu on võimalik pääseda ka näiteks hieroglüüfe kasutades. Näiteks võib domeen xn--s7y.co paistab hiina veebibrauserites kui 短.co.

Probleemist Punycode domeenide väärkasutamisega teavitati Google’it ja Mozillat jaanuaris, kuna teised veebisirvijad nagu Safari ja Edge on probleemi juba lahendanud. Google on probleemi parandamas, tulles sellega loodetavasti välja järgmises Chrome versioonis.

Mozilla aga Firefoxi veebibrauseris parandustöid veel ette pole võtnud. Üks ajutine viis Mozilla kasutajatel pettusi vältida on kirjutada aadressiribale about:config ja seejärel muuta network.IDN_show_punycode  valik väärtuseks True.

Telli Geeniuse uudiskiri

Saadame sulle igal argipäeval ülevaate tehnoloogia-, auto- ja rahaportaali olulisematest lugudest.