Modul 3 · 3.2
Branje domen in povezav
Modul 3: Prepoznavanje lažnega predstavljanja (phishing) · Čas branja: 13 minut
Cilj učenja: Po tej lekciji boste za vsako povezavo znali določiti njen pravi cilj: poiskali boste registrirljivo domeno s pomočjo seznama javnih pripon in prepoznali trike s poddomenami, potjo in znakom @, lookalike domene, punycode, krajšalnike povezav in odprte preusmeritve.
Ključni pojmi: URL, shema, gostitelj, registrirljiva domena, javna pripona, poddomena, pot, lookalike domena, typosquatting, homograf, punycode (xn--), krajšalnik URL-jev, odprta preusmeritev
Sestavni deli povezave
Spletnemu naslovu rečemo URL. Sestavljen je iz stalnih delov:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Del | V tem primeru | Kaj počne |
|---|---|---|
| Shema | https | Kako se brskalnik poveže |
| Gostitelj | inlog.mijnbank.example | S katerim strežnikom komunicirate |
| Vrata (redko vidna) | 443 | "Številka vrat" na tem strežniku |
| Pot | /klant/overzicht | Katera stran na tem strežniku |
| Poizvedba | ?taal=nl | Dodatni podatki za stran |
| Fragment | #saldo | Mesto na strani |
Gostitelj je edini del, ki določa, čigava je stran. Pot, poizvedbo in fragment določa lastnik tega gostitelja sam. Tam torej lahko piše karkoli, tudi ime druge organizacije.
Gostitelja berete od desne proti levi, oznako za oznako. Najpomembnejši je konec.
Registrirljiva domena in seznam javnih pripon
Lastnika ne razkriva cel gostitelj, ampak le en njegov del: registrirljiva domena. To je ime, ki ga je nekdo registriral pri registrarju. Vse levo od tega so poddomene, ki jih lastnik ustvarja sam, kolikor želi.
Da bi našli registrirljivo domeno, morate vedeti, kje lahko sploh registrirate svoje ime. Takšnemu delu rečemo javna pripona. Primeri so com, nl in example, pa tudi co.uk: v Združenem kraljestvu podjetje registrira ime pod co.uk. Registrirljiva domena je takrat javna pripona plus ena oznaka pred njo.
| Gostitelj | Javna pripona | Registrirljiva domena |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[ime].co.uk | co.uk | [ime].co.uk |
mijnbank.co.uk.example | example | uk.example |
Pravilo "vzemite zadnja dva dela" je torej napačno. Pri www.shop.[ime].co.uk bi dobili co.uk, kar pa ni last nikogar konkretnega. Zadnji primer pa pokaže, da co.uk sredi imena ne pomeni nič: tam je lastnik uk.example.
Kateri dodatki so javni, določa seznam Public Suffix List (publicsuffix.org), seznam, ki ga je začela Mozilla in ga zdaj vzdržuje skupnost. Brskalniki ga med drugim uporabljajo, da določijo, katere strani si lahko delijo piškotke, in da v naslovu poudarijo pomemben del. Seznam ima tudi del z "zasebnimi" priponami: storitve, kjer stranke dobijo svojo poddomeno, na primer nekatera gostovanja za bloge in projektne strani. Vsaka stranka pod njo šteje kot ločen lastnik.
Če pripona ni na seznamu, velja privzeto pravilo: zadnja oznaka je pripona. Zato je pri .example registrirljiva domena vedno zadnji dve oznaki.
Triki s poddomeno, potjo in znakom @
Zdaj ko veste, kje piše pravi lastnik, boste videli, kako Vam napadalci zavajajo oči. Ime, ki ga pričakujete, postavijo nekam drugam v povezavi.
Trik s poddomeno.
https://mijnbank.example.inlog-check.example/loginSpredaj vidite mijnbank.example. Toda berite od desne: pripona je example, registrirljiva domena je inlog-check.example, ta pa je last napadalca. Napadalec je kupil to domeno in pred njo sam postavil poddomeno mijnbank.example.
Trik s potjo.
https://inlog.example/mijnbank.example/klant/loginGostitelj je inlog.example in nič drugega. Vse za prvim samostojnim / je pot, to pa izbira lastnik inlog.example sam.
Trik z znakom @.
https://mijnbank.example@aanvaller.example/inloggenURL lahko pred gostiteljem vsebuje uporabniški del, zaključen z @ (standard za URL-je, RFC 3986, mu reče userinfo). Vse pred @ torej ni gostitelj. Brskalnik gre na aanvaller.example in nikamor drugam. Nekateri brskalniki opozorijo ali odstranijo uporabniški del, vendar se na to ne zanašajte.
Uporaben stalen postopek: poiščite prvi / za https://. Kar je pred njim, je gostitelj (morda z uporabniškim delom in znakom @). Če je prisoten @, se gostitelj začne šele za njim. Gostitelja berite od desne proti levi, dokler ne dobite registrirljive domene.
Lookalike domene, typosquatting in punycode
Lookalike domena je lastna domena, ki je videti podobna domeni nekoga drugega:
| Lookalike domena | Trik |
|---|---|
rnijnbank.example | rn je v mnogih pisavah videti kot m |
mijnbnak.example | dve zamenjani črki (typosquatting: stava na tipkarsko napako) |
mijnbank-veilig.example | dodana beseda z vezajem: povsem druga domena |
mijnbank-example.example | pika zamenjana z vezajem |
mijnbank.example.inlog-check.example | prava domena kot poddomena (glejte zgoraj) |
Korak dlje je homograf: domena s črkami iz druge pisave, ki so videti enako. Cirilska črka а je videti kot latinska a, vendar je za računalnik drug znak. Domenska imena s takimi znaki imenujemo mednarodna domenska imena. DNS pozna le črke od a do z, številke in vezaj, zato se tako ime pretvori v punycode (RFC 3492): obliko, ki se začne z xn--.
mijnbаnk.example (s cirilsko а)
xn--mijnbnk-6fg.example (isto ime v punycode)Če v naslovu vidite xn--, ime vsebuje znake zunaj razpona a do z. To je lahko povsem običajno (mnogi jeziki imajo naglase ali lastno pisavo), vendar pri imenu, ki sicer izgleda nizozemsko ali angleško, je to močan opozorilni znak. Brskalniki imajo pravila, po katerih sumljive kombinacije prikažejo kot punycode; Chrome na primer prikaže oznako, ko gre za mešano latinsko in cirilsko pisavo, kot xn--. Vendar ta pravila ne zajamejo vsega, v e-pošti ali klepetu pa pogosto vidite kar lepe črke.
Krajšalniki in odprte preusmeritve
Krajšalniki URL-jev dolgo povezavo spremenijo v kratko, na primer https://kort.example/a8Xk2. Praktično, vendar ne vidite cilja. Registrirljiva domena povezave je last krajšalnika, ne organizacije, ki jo pričakujete. Banka ali dobavitelj, ki Vas prek skrajšane povezave prosi za prijavo: tega ne storite.
Odprta preusmeritev je stran na pravi spletni strani, ki obiskovalce preusmeri na kateri koli naslov, naveden v povezavi:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenGostitelj je res mijnbank.example, vendar ste po enem kliku na aanvaller.example, ne da bi to opazili. Tudi s krajšalnikom ali sledilno povezavo iz novičnika pridete nekam drugam, kot kaže prva domena. Nauk: po kliku znova poglejte naslovno vrstico, preden karkoli vnesete. In ključavnica? Ta pove le, da je povezava šifrirana. Tudi lažne strani imajo veljavno potrdilo.
V praksi: tako je videti
Na računalniku z miško pridržite kazalko nad povezavo, ne da bi kliknili; pravi cilj se prikaže spodaj levo v oknu ali v mehurčku. V večini poštnih programov in spletne pošte to deluje enako. Na telefonu povezavo pridržite: prikaže se meni z naslovom nad njim. Takrat ne izberite "odpri".
Pazite na dve pasti:
- Vidno besedilo ni cilj. V e-pošti lahko na gumbu ali v besedilu piše
https://mijnbank.example, medtem ko povezava pod njim vodi na povsem drug naslov. Šteje le to, kar vidite ob prehodu z miško ali pridržanju. - Dolgi naslovi so odrezani. Telefoni pogosto prikažejo le začetek. Ravno pomemben konec tako izpade. Pomaknite se ali tapnite v naslov, da ga vidite v celoti.
Če dvomite, sami vtipkajte naslov, ki ga poznate, ali uporabite zaznamek. Nasveti SI-CERT (https://www.cert.si/) prav tako priporočajo, da povezavo najprej preverite.
Povzetek
- Čigava je stran, določa le gostitelj. Pot, poizvedbo in vse pred znakom
@izbira napadalec sam. - Registrirljiva domena je javna pripona plus ena oznaka. Uporabite seznam Public Suffix List, ne "zadnjih dveh delov" (pomislite na
co.uk). - Gostitelja berite od desne proti levi. Prava domena spredaj kot poddomena je klasičen trik.
- Lookalike domene: zamenjava črk, dodatne besede, homografi.
xn--pomeni znake zunaj razpona a do z. - Krajšalniki skrijejo cilj, odprte preusmeritve Vas preusmerijo. Po kliku znova poglejte naslovno vrstico.
Kviz
Naloga
Naloga A3.2: Iskanje registrirljive domene. Prejmete osem povezav. Pri vsaki povezavi vnesite registrirljivo domeno in navedite, ali povezava ustreza pravi organizaciji. Program Vaš odgovor preveri s pomočjo seznama Public Suffix List.
Naloga A3.2b: Zahrbtne povezave. Osem povezav s triki z znakom @, punycode, krajšalniki in preusmeritvenimi stranmi. Pri vsaki povezavi vnesite, na kateri domeni pristanete, ali izberite "ni razvidno".
Za nadaljnje branje
Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.
- Je ta e-pošta res poslana s strani WebOké? Prepoznavanje lažnega predstavljanja (phishing) in uporaba kode za akcijo
- Tečaj DNS, o domenskih imenih in kako jih berete: https://www.weboke.si/dns-cursus
- SI-CERT, o lažnem predstavljanju (spoofing): https://www.cert.si/
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, zgradba URL-ja (med drugim userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium, kdaj brskalnik mednarodno ime prikaže kot punycode: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md