Modul 3 · 3.2
Čitanje domena i poveznica
Modul 3: Prepoznavanje phishinga · Vrijeme čitanja: 13 minuta
Cilj učenja: Nakon ove lekcije moći ćete za svaku poveznicu odrediti njezino stvarno odredište: pronaći ćete registrabilnu domenu pomoću javnog popisa sufiksa i prepoznati trikove sa supodomenama, putanjom i znakom @, lažno slične domene, punycode, skraćivače poveznica i otvorena preusmjeravanja.
Ključni pojmovi: URL, shema, host, registrabilna domena, javni sufiks, supodomena, putanja, lažno slična domena, typosquatting, homograf, punycode (xn--), skraćivač URL-ova, otvoreno preusmjeravanje (open redirect)
Dijelovi poveznice
Internetska adresa naziva se URL. Sastoji se od fiksnih dijelova:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Dio | U ovom primjeru | Što radi |
|---|---|---|
| Shema | https | Kako preglednik uspostavlja vezu |
| Host | inlog.mijnbank.example | S kojim poslužiteljem komunicirate |
| Port (rijetko vidljiv) | 443 | "Broj vrata" na tom poslužitelju |
| Path | /klant/overzicht | Koja se stranica nalazi na tom poslužitelju |
| Upit (query) | ?taal=nl | Dodatni podaci za stranicu |
| Fragment | #saldo | Mjesto na stranici |
Host je jedini dio koji određuje čija je stranica. Path, upit i fragment određuje sam vlasnik tog hosta. Tu dakle može pisati bilo što, pa i naziv neke druge organizacije.
Host se čita zdesna nalijevo, oznaka po oznaka. Kraj je najvažniji.
Registrabilna domena i javni popis sufiksa
Vlasnika ne otkriva cijeli host, nego samo jedan njegov dio: registrabilna domena. To je naziv koji je netko registrirao kod registrara. Sve lijevo od toga su supodomene, a njih vlasnik sam kreira, koliko god želi.
Da biste pronašli registrabilnu domenu, morate znati gdje uopće možete sami registrirati naziv. Takav se dio naziva javni sufiks. Primjeri su com, hr i example, ali i co.uk: u Ujedinjenom Kraljevstvu tvrtka registrira naziv ispod co.uk. Registrabilna domena tada je javni sufiks plus jedna oznaka ispred njega.
| Host | Javni sufiks | Registrabilna domena |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[naziv].co.uk | co.uk | [naziv].co.uk |
mijnbank.co.uk.example | example | uk.example |
Pravilo "uzmite zadnja dva dijela" dakle ne vrijedi. Kod www.shop.[naziv].co.uk dobili biste co.uk, a to nije ničije vlasništvo. Posljednji primjer pokazuje da co.uk usred naziva ne znači ništa posebno: tamo je uk.example vlasnik.
Koji su sufiksi javni, navedeno je u Public Suffix List (publicsuffix.org), popisu koji je pokrenula Mozilla, a danas ga održava zajednica. Preglednici ga koriste, među ostalim, da odrede koje stranice smiju dijeliti kolačiće i kako bi istaknuli važan dio adrese. Popis sadrži i dio s takozvanim "private" sufiksima: usluge kod kojih klijenti dobivaju vlastitu supodomenu, poput nekih hostinga za blogove i stranice projekata. Svaki takav klijent broji se kao zaseban vlasnik.
Ako sufiks nije na popisu, vrijedi standardno pravilo: posljednja oznaka je sufiks. Zato je kod .example registrabilna domena uvijek posljednje dvije oznake.
Trikovi sa supodomenom, putanjom i znakom @
Sada kada znate gdje se nalazi podatak o vlasniku, vidite kako napadači zavaravaju Vaše oči. Naziv koji očekujete stavljaju negdje drugdje u poveznici.
Trik sa supodomenom.
https://mijnbank.example.inlog-check.example/loginNa početku vidite mijnbank.example. No čitajte zdesna: sufiks je example, registrabilna domena je inlog-check.example, a ona pripada napadaču. Napadač je kupio tu domenu i ispred nje sam postavio supodomenu mijnbank.example.
Trik s putanjom.
https://inlog.example/mijnbank.example/klant/loginHost je inlog.example i ništa više. Sve nakon prve jedne kose crte / je putanja (path), a nju bira sam vlasnik hosta inlog.example.
Trik sa znakom @.
https://mijnbank.example@aanvaller.example/inloggenURL ispred hosta smije sadržavati korisnički dio, završen znakom @ (standard za URL-ove, RFC 3986, naziva to userinfo). Sve ispred @ dakle nije host. Preglednik odlazi na aanvaller.example i nikamo drugamo. Neki preglednici upozoravaju ili uklanjaju korisnički dio, ali na to se ne oslanjajte.
Koristan stalan postupak: pronađite prvu / nakon https://. Ono što stoji ispred nje je host (s eventualnim korisničkim dijelom i znakom @). Ako postoji @, host počinje tek nakon njega. Čitajte host zdesna nalijevo dok ne dobijete registrabilnu domenu.
Lažno slične domene, typosquatting i punycode
Lažno slična domena (lookalike) je vlastita domena koja nalikuje na domenu neke druge organizacije:
| Lažno slična domena | Trik |
|---|---|
rnijnbank.example | rn u mnogim fontovima izgleda poput m |
mijnbnak.example | dva zamijenjena slova (typosquatting: oslanjanje na tipfeler) |
mijnbank-veilig.example | dodana riječ s crticom: posve druga domena |
mijnbank-example.example | točka zamijenjena crticom |
mijnbank.example.inlog-check.example | prava domena kao supodomena (vidi gore) |
Korak dalje je homograf: domena sa slovima iz drugog pisma koja izgledaju isto. Ćirilično а izgleda kao latinično a, ali je za računalo posve drugi znak. Nazivi domena s takvim znakovima nazivaju se internacionalizirani nazivi domena. DNS poznaje samo slova od a do z, brojeve i crticu, pa se takav naziv pretvara u punycode (RFC 3492): oblik koji počinje s xn--.
mijnbаnk.example (s ćiriličnim znakom а)
xn--mijnbnk-6fg.example (isti naziv u punycodeu)Ako u adresi vidite xn--, naziv sadrži znakove izvan raspona a do z. To može biti posve normalno (mnogi jezici imaju naglaske ili vlastito pismo), ali kod naziva koji inače izgleda nizozemski ili engleski, to je snažan signal upozorenja. Preglednici imaju pravila prema kojima sumnjive kombinacije prikazuju kao punycode; Chrome, primjerice, prikazuje kao xn-- naziv koji miješa latinično i ćirilično pismo. No ta pravila ne obuhvaćaju sve slučajeve, a u e-poruci ili chatu često jednostavno vidite uredna slova.
Skraćivači poveznica i otvorena preusmjeravanja
Skraćivači URL-ova pretvaraju dugu poveznicu u kratku, poput https://kort.example/a8Xk2. Korisno, ali ne vidite odredište. Registrabilna domena te poveznice pripada skraćivaču, a ne organizaciji koju očekujete. Banka ili dobavljač koji od Vas traži prijavu putem skraćene poveznice: nemojte to raditi.
Otvoreno preusmjeravanje (open redirect) je stranica na pravoj web stranici koja posjetitelje preusmjerava na bilo koju adresu navedenu u poveznici:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenHost je doista mijnbank.example, ali nakon jednog klika nalazite se na aanvaller.example, a da to i ne primijetite. I putem skraćivača ili poveznice za praćenje iz usluge newslettera možete završiti negdje drugdje nego što je prvotna domena pokazivala. Pouka: nakon klika ponovno pogledajte adresnu traku, prije nego što bilo što upišete. A katanac? On samo govori da je veza šifrirana. I lažne stranice imaju valjani certifikat.
U praksi: tako to izgleda
Na računalu mišem prijeđite preko poveznice bez klikanja; stvarno odredište pojavljuje se u donjem lijevom kutu prozora ili u oblačiću. U većini programa za e-poštu i webmaila to također funkcionira. Na telefonu poveznicu držite pritisnutom: dobit ćete izbornik s adresom iznad njega. Tada nemojte odabrati "otvori".
Pazite na dvije zamke:
- Vidljivi tekst nije odredište. U e-poruci na gumbu ili u tekstu može pisati
https://mijnbank.example, dok poveznica ispod vodi na posve drugu adresu. Vrijedi samo ono što vidite kad prijeđete mišem ili dugo pritisnete. - Dugačke adrese bivaju skraćene. Telefoni često prikazuju samo početak. Upravo važan kraj tada nestaje. Pomaknite se ili dotaknite adresu kako biste je vidjeli u cijelosti.
Ako niste sigurni, sami upišite adresu koju poznajete ili upotrijebite svoju oznaku (bookmark). Nacionalni CERT nudi i preporuke za provjeru sumnjivih poveznica, https://www.cert.hr/.
Sažetak
- Samo host određuje čija je stranica. Path, upit i sve ispred znaka
@bira sam napadač. - Registrabilna domena je javni sufiks plus jedna oznaka. Koristite Public Suffix List, a ne "zadnja dva dijela" (sjetite se
co.uk). - Host čitajte zdesna nalijevo. Prava domena na početku kao supodomena klasičan je trik.
- Lažno slične domene: zamjena slova, dodane riječi, homografi.
xn--znači znakove izvan raspona a do z. - Skraćivači skrivaju odredište, otvorena preusmjeravanja Vas preusmjeravaju. Nakon klika ponovno pogledajte adresnu traku.
Kviz
Zadatak
Zadatak A3.2: Pronalaženje registrabilne domene. Dobit ćete osam poveznica. Za svaku poveznicu upišite registrabilnu domenu i navedite odgovara li poveznica stvarnoj organizaciji. Program provjerava Vaš odgovor pomoću Public Suffix List.
Zadatak A3.2b: Zahtjevne poveznice. Osam poveznica s trikovima koji koriste znak @, punycode, skraćivače i stranice za preusmjeravanje. Za svaku poveznicu upišite na kojoj domeni završavate, ili odaberite "nije moguće utvrditi".
Dodatna literatura
Koraci u WebOké člancima vrijede za WebOké okruženje; kod drugih pružatelja usluga postupak je sličan.
- Je li ovaj e-mail doista od WebOké? Prepoznavanje phishinga i korištenje akcijskog koda
- Tečaj o DNS-u, o nazivima domena i kako ih čitati: https://www.weboke.hr/dns-cursus
- Nizozemski NCSC, Spoofing (krivotvorenje identiteta): https://www.ncsc.nl/phishing/spoofing
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, struktura URL-a (među ostalim userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium, kada preglednik internacionalizirani naziv prikazuje kao punycode: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md