Tietoturva

Valikko

Idn-osoitehuijaus puree vaihtoehtoselaimiin

Kansainvälisiä merkkejä sisältävien idn-verkkotunnusten käsittely suosituissa selainohjelmissa mahdollistaa osoiterivillä näkyvän osoitteen sekä ssl-sertifikaatin väärentämisen. Huijauksen huomaaminen on erittäin vaikeaa. Poikkeuksellisesti MS:n IE ei ole altis väärennöksille.
Erityisesti Verisign on ajanut kansainvälisiä toimialuiden nimiä eli idn-verkkotunnuksia (internationalized domain names) voimakkaasti eteenpäin. Idn:ia tukevat selaimet hyväksyvät muun muassa ääkkösten käytön verkkotunnuksissa.

Idn-tuki löytyy kaikista suosituista selaimista lukuun ottamatta Microsoftin Internet Exploreria, joka ei siksi ole huijauksille tällä kertaa altis.

Haavoittuvuudesta kertoneen Shmoo Groupin mukaan osoitehuijaus tehoaa ainakin Mozillaan perustuviin Firefox 1.0-, Camino .8.5- ja Mozilla 1.6 -selaimiin. Muista selainohjelmista alttiita ovat muun muassa Opera 7.54, Safari 1.2.5 ja Omniweb 5.

Tietoturvayhtiö Secunian mukaan myös Konqueror-selaimet ja kaikki osoitteita käsittelevät KDE-sovellukset ovat haavoittuvia.

Osoitehuijaukset toimivat myös niissä IE-selaimissa, joihin on asennettu Verisignin haavoittuva i-Nav-plugin.

Kalastelijoiden mieleen

Selaimen osoiterivin url sekä ssl-sertifikaatti voidaan väärentää. Väärennösten arvellaan olevan erityisesti tietojen kalastelijoiden mieleen, kuten Shmoon esimerkistä voi päätellä.

Shmoo Groupin kuvaamat hyökkäykset perustuvat ns. homograafisiin merkkeihin, eli merkkeihin, jotka kuuluvat eri merkistöihin, mutta ovat ulkoasultaan samanlaisia.

Esimerkkihuijauksessa käytetään ryhmän rekisteröimää www.xn--pypal-4ve.com-idn-verkkotunnusta, jossa ensimmäisen a-kirjain on kyriilinen. Linkissä se on korvattu ascii-koodilla "& #1072;". Esimerkin linkin kautta kyseiselle sivulle saapuvat vaihtoehtoselaimien käyttäjät näkevät osoitteena www.paypal.comin.

Huijauksen mahdollistaa selaimien punycode-koodauksen käsittely. Punycode on suunniteltu varta vasten unicode-merkkien saamiseksi verkkotunnuksiin.

Kiertokonsti Mozilla-selaimille

Shmoon mukaan Mozilla-tuotteista idn-tuen saa poistettua asettamalla network.enableIDN-parametrin arvoksi false. Tosin jotkut Firefox 1.0:n käyttäjät ovat kertoneet, ettei neuvo tepsi.

Opera ja Safari selaimille ei ole tiedossa tapaa suojautua osoiteväärennöksiltä. Opera Software on itse asiassa ilmoittanut toteuttaneensa idn-tuen oikein, eikä siksi aio muuttaa sen toimintaa, Shmoo Groupin varoituksessa kerrotaan.

Muun muassa Mäkitorppa on ottanut käyttöönsä idn-verkkotunnuksen www.mäkitorppa.com (punycode:www.xn--mkitorppa-v2a.com).

Verisign käyttää ääkkösiä sisältäviä osotteita houkuttelemaan lisää käyttäjiä i-Navi-selainlisukkeelleen. IE:n käyttäjä päättyy Verisignin mainossivulle yrittäessään esimerkiksi Elisan www.pääoma.com-sivulle tai rakenteilla olevalle ääni.com-sivulle. Idn-tunnusten rekisteröinti on ollut mahdollista viime keväästä asti.


Päivitys klo 15.49: IDN-osoitteiden käsittelyn saa pysyvästi estettyä Mozillan selaimista muokkaamalla user.js-tiedostoa:
"user_pref("network.enableIDN", false);"


Päivitys 13.2.2004:

Firefox-kiertokonsti: URL:ssa sallittujen merkkien rajoittaminen tavallisiin ascii-merkkeihin.

1. Install the Firefox extension.

2. Look at the Adblock 'Preferences' and go to 'Adblock Options'

3. Tick 'Site Blocking'

4. Add the following filter :-
/[^\x20-\xFF]/

This will block any URL that uses characters outside the normal ASCII range.
Lähde: forums.MozillaZine.org

Kommentit

    Näytä lisää

    Näitä luetaan!

    1. 1

      HS: Hyväkuntoisen 48-vuotiaan naisen työnhaku tyssäsi 30-vuotiaan ylipainoiseen miehen päätökseen

    2. 2

      Taksikuski Heikki otti kyytiin rahattoman muistisairaan – kotoa löytyi salkku täynnä käteistä

    3. 3

      Ilkka: Näin Jari-Matti Latvala kertoi Maisa Torpasta äidilleen: ”Toivon, että et harmistu”

    4. 4

      Tästä kirjeestä perintäyhtiö yritti veloittaa 397 euroa – ”Maan tapa”

    5. 5

      Me Naiset: Arki kaksosvauvojen kanssa kaatoi Erja Lyytisen 17 vuoden liiton – eivät noudattaneet kasvatusoppeja

    6. 6

      Uusi linjaus vei keihäsmestari Ruuskaselta 24 000 euroa – ”Antti on erittäin ärtynyt”

    7. 7

      Äidin riipaiseva kertomus Sipoon Sanomissa poikansa kiusaamisesta: lyöty ja virtsattu päälle

    8. 8

      Jaana, 54, sai Alkosta potkut pitkien kynsien takia: ”Tämän ikäiselle yksikätiselle naiselle ei töitä löydy”

    9. 9

      Yksi kuoli rekan pudottua moottoritieltä Lohjalla – erikoinen tapahtumaketju johti karmeaan turmaan

    10. 10

      Marko otti neljä iloista nuorta naista kyytiin – taksikuskin matkasta pikkujoulujen jatkoille tuli aivan unohtumaton

    11. Näytä lisää
    1. 1

      Yksi kuoli rekan pudottua moottoritieltä Lohjalla – erikoinen tapahtumaketju johti karmeaan turmaan

    2. 2

      Jaana, 54, sai Alkosta potkut pitkien kynsien takia: ”Tämän ikäiselle yksikätiselle naiselle ei töitä löydy”

    3. 3

      Yle paljasti jo: Autovero pois – ajoneuvo- ja polttoaineveroja lasketaan

    4. 4

      Axl Smith kirjoitti someen uhmakkaasti – uhrit ahdistuivat: ”Osa on kokenut uhkaavana”

    5. 5

      Pizzalähettiä odotti imatralaisen kodin ovella harvinaisen röyhkeä kohtelu – kolmen pizzan hinnaksi tuli lopulta yli 350 euroa

    6. 6

      Tänään tv:ssä: Pihla Viitala täysin alastomana Hollywood-debyyttissään: ”En saanut silmiäni irti hänestä”

    7. 7

      Juopuneet suomalaiskaverukset lensivät ulos baarista juuri ennen ammuskelua – pelastuivat verilöylyltä

    8. 8

      Poliisi sai tuoreita vihjeitä sarjahukuttajasta – ”Etsintäkuulutettu on nähty aivan äsken”

    9. 9

      Miss Plus Size -kisan kurvikuningatar Marjaana, 34: Tällä hekumallisella kuvalla houkuttelin mieheni kiireesti kotiin iltariennoista

    10. 10

      Tällainen on Bernerin esitys: Autot halpenevat, ajaminen kallistuu, mustia laatikoita ei tule...

    11. Näytä lisää
    1. 1

      Madonna julkaisi haarovälikuvan – Piers Morgan: ”Oksensin aamupalani”

    2. 2

      Poliisi ampui miehen maaliskuussa – vainajan autosta löytyi kolkko kirje

    3. 3

      Valesotilas yritti huijata – Tiina vedättikin takaisin: ”Naurettiin ukkoni kanssa niin, että mahaan koski”

    4. 4

      Häikäisevän kaunis morsian! Mika Häkkinen ja Marketa pääsivät poroajelun kyytiin – suloiset lapset mukana

    5. 5

      Mikan ja Marketan rakkaustarina – saksalaislehti paljasti kaunottaren menneisyyden

    6. 6

      Perhe etsii vastausta kammottavaan kuvaan – mitä tai mikä ilmestyi yhtäkkiä yöllä kotipihalla otettuun valokuvaan?

    7. 7

      Nainen synnytti salaa vessassa – raskaudesta tietämättömät vanhemmat havahtuivat pamaukseen

    8. 8

      Kolme povekasta blondia: Natalie, 45, sekoitetaan jatkuvasti tyttäriinsä – erotatko kuvista kuka on äiti?

    9. 9

      Patrik Laineen sydän on puhdasta kultaa – vastasi pienen fanin kirjeeseen ikimuistoisella tavalla

    10. 10

      Suomalaisten kasvoilla näkyvä silmälasimalli on auttamattomasti out

    11. Näytä lisää

    Näitä luetaan!

    1. 1

      HS: Hyväkuntoisen 48-vuotiaan naisen työnhaku tyssäsi 30-vuotiaan ylipainoiseen miehen päätökseen

    2. 2

      Taksikuski Heikki otti kyytiin rahattoman muistisairaan – kotoa löytyi salkku täynnä käteistä

    3. 3

      Ilkka: Näin Jari-Matti Latvala kertoi Maisa Torpasta äidilleen: ”Toivon, että et harmistu”

    4. 4

      Tästä kirjeestä perintäyhtiö yritti veloittaa 397 euroa – ”Maan tapa”

    5. 5

      Me Naiset: Arki kaksosvauvojen kanssa kaatoi Erja Lyytisen 17 vuoden liiton – eivät noudattaneet kasvatusoppeja

    6. Näytä lisää
    1. 1

      Yksi kuoli rekan pudottua moottoritieltä Lohjalla – erikoinen tapahtumaketju johti karmeaan turmaan

    2. 2

      Jaana, 54, sai Alkosta potkut pitkien kynsien takia: ”Tämän ikäiselle yksikätiselle naiselle ei töitä löydy”

    3. 3

      Yle paljasti jo: Autovero pois – ajoneuvo- ja polttoaineveroja lasketaan

    4. 4

      Axl Smith kirjoitti someen uhmakkaasti – uhrit ahdistuivat: ”Osa on kokenut uhkaavana”

    5. 5

      Pizzalähettiä odotti imatralaisen kodin ovella harvinaisen röyhkeä kohtelu – kolmen pizzan hinnaksi tuli lopulta yli 350 euroa

    6. Näytä lisää
    1. 1

      Madonna julkaisi haarovälikuvan – Piers Morgan: ”Oksensin aamupalani”

    2. 2

      Poliisi ampui miehen maaliskuussa – vainajan autosta löytyi kolkko kirje

    3. 3

      Valesotilas yritti huijata – Tiina vedättikin takaisin: ”Naurettiin ukkoni kanssa niin, että mahaan koski”

    4. 4

      Häikäisevän kaunis morsian! Mika Häkkinen ja Marketa pääsivät poroajelun kyytiin – suloiset lapset mukana

    5. 5

      Mikan ja Marketan rakkaustarina – saksalaislehti paljasti kaunottaren menneisyyden

    6. Näytä lisää