Chrome, Firefox i Opera podatne na atak homograficzny

Chociaż zdarza się to raczej rzadko, są sytuacje, w których wiodące przeglądarki internetowe okazują się gorsze od tych cieszących się mniejszym zainteresowaniem użytkowników. Właśnie z taką sytuacją mamy do czynienia w niniejszym przypadku: jak wynika z doniesień, Google Chrome, Mozilla Firefox oraz Opera okazują się podatne na nowy typ ataku zmierzający do wyłudzenia danych, natomiast między innymi Edge, Safari, Vivaldi oraz Internet Explorer pozostają na niego odporne.

Xudong Zheng, który stoi za odkryciem luki we wspomnianych przeglądarkach, zwraca uwagę, że informacja o szyfrowanym połączeniu oraz znajomo wyglądający adres nie wystarczą, by być pewnym, że trafiliśmy na właściwą stronę. Zorientowano się bowiem, że stosując niewielką modyfikację ataku homograficznego, przeglądarkę można „oszukać” i w polu adresu wyświetlać pozornie inną treść, niż właściwy adres strony.

Atak homograficzny polega na wykorzystywaniu podobnych do siebie znaków pochodzących spoza alfabetu łacińskiego, a których reprezentacja Unicode jest jednakowa. Do kodowania tego typu adresów, stosuje się tzw. Punycode – inne kodowanie, pozwalające zapisywać takie adresy w Unicode, z wykorzystaniem ograniczonego zakresu znaków. Pozwala to wstępnie odfiltrować niebezpieczne witryny, które w swoim adresie łączą znaki z różnych alfabetów, a więc teoretycznie mogą być niebezpieczne.

Co jednak najciekawsze, okazuje się, że można to łatwo wykorzystać. Wystarczy zwrócić uwagę na fakt, iż wymienione przeglądarki finalnie i tak stosują kodowanie Unicode, by w pasku tytułu wyświetlić adres witryny. Z tego też powodu, spreparowane witryny będą wyświetlane jak ich rzeczywiste odpowiedniki. Aby dać temu przykład, autor odkrycia stworzył demonstracyjną stronę, którą stara się zwrócić uwagę na wspomnianą lukę.

Faktyczny adres powyższej witryny to xn--80ak6aa92e.com, jednak z powodu interpretacji znaków w polu adresu, część przeglądarek wyświetla go jako apple.com, co w połączeniu z „kłódką bezpieczeństwa” informującą o certyfikacie, daje świetną bazę do stworzenia wyłudzającej informację kopii strony producenta z logo nadgryzionego jabłka.

Luka w sposobie interpretowania adresów trafia już z pewnością na warsztat programistów wspomnianych przeglądarek. Odpowiednia poprawka znalazła się już nawet w testowym Chrome Canary 59, a Google obiecuje, że do stabilnej odmiany przeglądarki trafi jeszcze w tym miesiącu. Pozostaje czekać na informacje od Mozilli i zespołu Opery.