Lue uutinen mobiilisivustolla

Idn-osoitehuijaus puree vaihtoehtoselaimiin

10.2.2005 13:57 Kansainvälisiä merkkejä sisältävien idn-verkkotunnusten käsittely suosituissa selainohjelmissa mahdollistaa osoiterivillä näkyvän osoitteen sekä ssl-sertifikaatin väärentämisen. Huijauksen huomaaminen on erittäin vaikeaa. Poikkeuksellisesti MS:n IE ei ole altis väärennöksille.

Erityisesti Verisign on ajanut kansainvälisiä toimialuiden nimiä eli idn-verkkotunnuksia (internationalized domain names) voimakkaasti eteenpäin. Idn:ia tukevat selaimet hyväksyvät muun muassa ääkkösten käytön verkkotunnuksissa.

Idn-tuki löytyy kaikista suosituista selaimista lukuun ottamatta Microsoftin Internet Exploreria, joka ei siksi ole huijauksille tällä kertaa altis.

Haavoittuvuudesta kertoneen Shmoo Groupin mukaan osoitehuijaus tehoaa ainakin Mozillaan perustuviin Firefox 1.0-, Camino .8.5- ja Mozilla 1.6 -selaimiin. Muista selainohjelmista alttiita ovat muun muassa Opera 7.54, Safari 1.2.5 ja Omniweb 5.

Tietoturvayhtiö Secunian mukaan myös Konqueror-selaimet ja kaikki osoitteita käsittelevät KDE-sovellukset ovat haavoittuvia.

Osoitehuijaukset toimivat myös niissä IE-selaimissa, joihin on asennettu Verisignin haavoittuva i-Nav-plugin.

Kalastelijoiden mieleen

Selaimen osoiterivin url sekä ssl-sertifikaatti voidaan väärentää. Väärennösten arvellaan olevan erityisesti tietojen kalastelijoiden mieleen, kuten Shmoon esimerkistä voi päätellä.

Shmoo Groupin kuvaamat hyökkäykset perustuvat ns. homograafisiin merkkeihin, eli merkkeihin, jotka kuuluvat eri merkistöihin, mutta ovat ulkoasultaan samanlaisia.

Esimerkkihuijauksessa käytetään ryhmän rekisteröimää www.xn--pypal-4ve.com-idn-verkkotunnusta, jossa ensimmäisen a-kirjain on kyriilinen. Linkissä se on korvattu ascii-koodilla "& #1072;". Esimerkin linkin kautta kyseiselle sivulle saapuvat vaihtoehtoselaimien käyttäjät näkevät osoitteena www.paypal.comin.

Huijauksen mahdollistaa selaimien punycode-koodauksen käsittely. Punycode on suunniteltu varta vasten unicode-merkkien saamiseksi verkkotunnuksiin.

Kiertokonsti Mozilla-selaimille

Shmoon mukaan Mozilla-tuotteista idn-tuen saa poistettua asettamalla network.enableIDN-parametrin arvoksi false. Tosin jotkut Firefox 1.0:n käyttäjät ovat kertoneet, ettei neuvo tepsi.

Opera ja Safari selaimille ei ole tiedossa tapaa suojautua osoiteväärennöksiltä. Opera Software on itse asiassa ilmoittanut toteuttaneensa idn-tuen oikein, eikä siksi aio muuttaa sen toimintaa, Shmoo Groupin varoituksessa kerrotaan.

Muun muassa Mäkitorppa on ottanut käyttöönsä idn-verkkotunnuksen www.mäkitorppa.com (punycode:www.xn--mkitorppa-v2a.com).

Verisign käyttää ääkkösiä sisältäviä osotteita houkuttelemaan lisää käyttäjiä i-Navi-selainlisukkeelleen. IE:n käyttäjä päättyy Verisignin mainossivulle yrittäessään esimerkiksi Elisan www.pääoma.com-sivulle tai rakenteilla olevalle ääni.com-sivulle. Idn-tunnusten rekisteröinti on ollut mahdollista viime keväästä asti.

Päivitys klo 15.49: IDN-osoitteiden käsittelyn saa pysyvästi estettyä Mozillan selaimista muokkaamalla user.js-tiedostoa:
"user_pref("network.enableIDN", false);"

Päivitys 13.2.2004:

Firefox-kiertokonsti: URL:ssa sallittujen merkkien rajoittaminen tavallisiin ascii-merkkeihin.

1. Install the Firefox extension.

2. Look at the Adblock 'Preferences' and go to 'Adblock Options'

3. Tick 'Site Blocking'

4. Add the following filter :-
/[^\x20-\xFF]/

This will block any URL that uses characters outside the normal ASCII range.
Lähde: forums.MozillaZine.org

Jaakko Kuivalainen toimitus@digitoday.fi

Kirjoita kommentti

Ohjeet: Pysy aiheessa ja kirjoita napakasti. Muista, että haastateltavilla, kanssakeskustelijoilla ja toimittajilla on oikeus omaan, eriävään mielipiteeseen. Ole kohtelias ja ystävällinen, äläkä tarkoituksella provosoi tai hauku muita keskustelijoita. Taloussanomat varaa oikeuden poistaa asiattomat viestit. Varauduthan siihen, että linkkejä sisältävät viestit tarkistetaan yksitellen roskapostin suodattamiseksi. Arvostamme mielipidettäsi!
Lue koko keskusteluetiketti

Bottivarmistus: mitä on kaksi ynnä viisi?

Viesti Nimi

Uutiset

Miljoonien viinakokoelma myyntiin vaimon vuoksi

• USA:n tiedustelupalvelu kumoaa huhut Kim Jong-unin salamurhasta
• Tukholman teinit tilaavat vodkaa tekstiviestillä
• Ministerin ilmoitus hämmensi Finnairin väen
• Obama perääntyi ehkäisykiistassa