Фишинг с использованием Punycode: будьте бдительны!

Punycode – метод преобразования доменного имени в альтернативный формат с использованием только ASCII-символов. К примеру, URL вида «пример-сайта.рф» будет иметь следующий вид в Punycode: " xn----8sbarojrwjdmo.xn--p1ai». Скорее всего, вы уже сталкивались с такими URL-адресами.

Домены в Unicode создают определенную проблему в плане безопасности, поскольку символы Unicode сложно отличить от традиционных символов ASCII. К примеру, можно зарегистрировать домен «xn--pple-43d.ru», что будет являться эквивалентом «аpple.ru». На первый взгляд все хорошо, но здесь используется кириллическая «а», а не ASCII «a». На этом факте основаны атаки с использованием IDN-омографов.

Современные браузеры позволяют защищаться против атак с IDN-омографами. К примеру, Google Chrome выводит URL в формате Punycode, если имя домена содержит символы из нескольких разных языков. Однако обойти этот фильтр достаточно просто: можно зарегистрировать домен, в котором используются только кириллические символы. В результате этого идентифицировать сайт как мошеннический довольно сложно – нужно тщательно проверять URL-адрес и SSL-сертификат.

К счастью, данный баг был исправлен в версии Chrome 58. Пользователи Firefox по-прежнему остаются уязвимыми, поскольку разработчики браузера считают, что с этой проблемой должны бороться регистраторы доменов. Чтобы оградить себя от злоумышленников в Firefox, достаточно зайти в about:config и задать network.IDN_show_punycode в true. В итоге Firefox будет выводить IDN-домены в формате Punycode, что поможет сразу же определить домены-хамелеоны.

Защита от подобных подделок – установка EV SSL-сертификата

SSL-сертификаты с проверкой домена не позволяют получить все визуальные сигналы, которые вызывают доверие у пользователей к сайту. Злоумышленники могут легко получить такие сертификаты и установить их на свои IDN-домены, созданные для кражи у пользователей ценной информации. Чтобы снизить риск, достаточно перейти на EV SSL-сертификаты.

EV SSL-сертификаты позволяют вывести в адресной строке браузера наименование организации, что невозможно сделать с помощью любых других SSL-сертификатов. Подделки под крупные сайты банков, финансовых организаций, платежных систем и т.д. встречаются очень часто. Защита от этого – установка EV SSL от доверенного удостоверяющего центра. Вы всегда можете купить у нас самые лучшие EV SSL-сертификаты по выгодным ценам. Забота о своих клиентах – первый шаг на пути к созданию чистой репутации в сети и, как следствие, стремительному росту продаж!