Alternatív böngészők veszélyben – a Microsoft szoftvere biztonságos

Az IT-biztonsággal foglalkozó Eric Johanson a múlt hét végén megtartott ShmooCoon hackertalálkozón tudatta a nyilvánossággal, hogy az alternatív böngészőket egy közös veszély fenyegeti. A szakértő elmondása értelmében számos browser ugyanazt az eljárást használja a nem angol karakterek kezelésére (Internationalized Domain Names) – ennek révén jelenhet meg ugyanúgy egy domainnév a különböző nyelveken.

Maga a kódolás azonban könnyen rossz célokra használható fel, és lehetővé teszi egy támadó számára, hogy hamis website-ot hozhasson létre, melyet aztán például phishing, azaz jelszóhalász célokra használhat fel. A hamis link ugyanis teljesen valós URL-nek tűnik számos böngésző címsorában; az Opera, az Apple-féle Safari, a Mozilla és a Firefox browserek tulajdonosainak kárára.

Chris Hofmann, a Mozilla Foundation mérnökigazgatója elismerte a probléma létét, és úgy nyilatkozott, hogy az alapítvány hosszú távú megoldást szeretne találni a jelenségre. „A jelszóhalász támadások emelkedő száma együtt jár annak az aggodalomnak a növekedésével, hogy ezt a sebezhetőséget kihasználhatják a felhasználók becsapására és nem biztonságos oldalakra való átirányítására. A Mozilla ennek a funkciónak a megjavítását vagy letiltását tervezi; hamarosan több információval szolgálhatunk az esettel kapcsolatban.” – nyilatkozta Hofmann.

A probléma azonban nem kizárólag a böngészőket fejlesztő csapatok gondja, az IDN gyengesége a domainnév regisztrátokra is komoly hatást gyakorol. „Manapság sok lehetőség van egy tetszőleges domainnév megjelenítésére a böngészőben, ráadásul számos karakterkészlet rendelkezik olyan karakterekkel, melyek nagyon hasonlítanak egyes latin karakterekre.” – fejtegette Johanson, aki demonstrálta is elméletét. Ennek során egy nem valós támadást intézett a Paypalt használók ellen: a szolgáltatás domainjét használta, de az első „a” betű Unicode karakterét lecserélte, így tulajdonképpen az így nézett ki: http://www.pàypal.com. Ez pedig sokak számára megtévesztő lehet (lásd kapcsolódó linkünket).

Mivel a Microsoft még nem implementálta az IDN támogatását, ezért az Internet Explorer felhasználói nincsenek kitéve ennek a veszélynek.