Tietoturva

Idn-osoitehuijaus puree vaihtoehtoselaimiin

Julkaistu:

Kansainvälisiä merkkejä sisältävien idn-verkkotunnusten käsittely suosituissa selainohjelmissa mahdollistaa osoiterivillä näkyvän osoitteen sekä ssl-sertifikaatin väärentämisen. Huijauksen huomaaminen on erittäin vaikeaa. Poikkeuksellisesti MS:n IE ei ole altis väärennöksille.
Erityisesti Verisign on ajanut kansainvälisiä toimialuiden nimiä eli idn-verkkotunnuksia (internationalized domain names) voimakkaasti eteenpäin. Idn:ia tukevat selaimet hyväksyvät muun muassa ääkkösten käytön verkkotunnuksissa.

Idn-tuki löytyy kaikista suosituista selaimista lukuun ottamatta Microsoftin Internet Exploreria, joka ei siksi ole huijauksille tällä kertaa altis.

Haavoittuvuudesta kertoneen Shmoo Groupin mukaan osoitehuijaus tehoaa ainakin Mozillaan perustuviin Firefox 1.0-, Camino .8.5- ja Mozilla 1.6 -selaimiin. Muista selainohjelmista alttiita ovat muun muassa Opera 7.54, Safari 1.2.5 ja Omniweb 5.

Tietoturvayhtiö Secunian mukaan myös Konqueror-selaimet ja kaikki osoitteita käsittelevät KDE-sovellukset ovat haavoittuvia.
MAINOS (TEKSTI JATKUU ALLA)
MAINOS PÄÄTTYY

Osoitehuijaukset toimivat myös niissä IE-selaimissa, joihin on asennettu Verisignin haavoittuva i-Nav-plugin.

Kalastelijoiden mieleen

Selaimen osoiterivin url sekä ssl-sertifikaatti voidaan väärentää. Väärennösten arvellaan olevan erityisesti tietojen kalastelijoiden mieleen, kuten Shmoon esimerkistä voi päätellä.

Shmoo Groupin kuvaamat hyökkäykset perustuvat ns. homograafisiin merkkeihin, eli merkkeihin, jotka kuuluvat eri merkistöihin, mutta ovat ulkoasultaan samanlaisia.

Esimerkkihuijauksessa käytetään ryhmän rekisteröimää www.xn--pypal-4ve.com-idn-verkkotunnusta, jossa ensimmäisen a-kirjain on kyriilinen. Linkissä se on korvattu ascii-koodilla "& #1072;". Esimerkin linkin kautta kyseiselle sivulle saapuvat vaihtoehtoselaimien käyttäjät näkevät osoitteena www.paypal.comin.

Huijauksen mahdollistaa selaimien punycode-koodauksen käsittely. Punycode on suunniteltu varta vasten unicode-merkkien saamiseksi verkkotunnuksiin.

Kiertokonsti Mozilla-selaimille

Shmoon mukaan Mozilla-tuotteista idn-tuen saa poistettua asettamalla network.enableIDN-parametrin arvoksi false. Tosin jotkut Firefox 1.0:n käyttäjät ovat kertoneet, ettei neuvo tepsi.

Opera ja Safari selaimille ei ole tiedossa tapaa suojautua osoiteväärennöksiltä. Opera Software on itse asiassa ilmoittanut toteuttaneensa idn-tuen oikein, eikä siksi aio muuttaa sen toimintaa, Shmoo Groupin varoituksessa kerrotaan.

Muun muassa Mäkitorppa on ottanut käyttöönsä idn-verkkotunnuksen www.mäkitorppa.com (punycode: www.xn--mkitorppa-v2a.com).

Verisign käyttää ääkkösiä sisältäviä osotteita houkuttelemaan lisää käyttäjiä i-Navi-selainlisukkeelleen. IE:n käyttäjä päättyy Verisignin mainossivulle yrittäessään esimerkiksi Elisan www.pääoma.com-sivulle tai rakenteilla olevalle ääni.com-sivulle. Idn-tunnusten rekisteröinti on ollut mahdollista viime keväästä asti.


Päivitys klo 15.49: IDN-osoitteiden käsittelyn saa pysyvästi estettyä Mozillan selaimista muokkaamalla user.js-tiedostoa:
"user_pref("network.enableIDN", false);"


Päivitys 13.2.2004:

Firefox-kiertokonsti: URL:ssa sallittujen merkkien rajoittaminen tavallisiin ascii-merkkeihin.

1. Install the Firefox extension.

2. Look at the Adblock 'Preferences' and go to 'Adblock Options'

3. Tick 'Site Blocking'

4. Add the following filter :-
/[^\x20-\xFF]/

This will block any URL that uses characters outside the normal ASCII range.
Lähde: forums.MozillaZine.org

Kommentit

    Näytä lisää

    Näitä luetaan!
    1. 1

      Eteläisellä Tyynellämerellä erittäin voimakas maanjäristys – tsunamiaaltoja havaittu

    2. 2

      Maapallon pyöriminen hidastuu – tutkijat arvioivat, että vuonna 2018 tapahtuu rajuja maanjäristyksiä

    3. 3

      188-senttinen sairaanhoitajaopiskelija ei kelvannut muotialalle – sai tylyä palautetta vartalostaan: työskentelee nyt alusvaatemallina

    4. 4

      Trump pelasti maanmiehensä vankilalta Kiinassa – omaisen lausunto johti presidentin käsittämättömään ärähdykseen

    5. 5

      Lentokone lähti rajuun nousuun kesken laskeutumisen Helsinki-Vantaalle – matkustajat hämmästyivät

    6. 6

      Rouvan alaston yövieras tuli isäntää vastaan kotipihalla – se letkautus naulautui taksikuskin mieleen pysyvästi

    7. 7

      Tv-katsojat pöyristyivät: Mr. Lordi lipoi Laura Frimanin korvaa Tähdet, tähdet -lähetyksessä – ”Naisia ei nuolla luvatta”

    8. 8

      Platinahymy! Kuningashuone julkaisi lisää 70-vuotishääpäiväkuvia kuningatar Elisabetista, 91, ja prinssi Philipistä, 96

    9. 9

      Kalle Rovanperä teki historiaa MM-rallissa – tulosluettelossa yllättävä yksityiskohta

    10. 10

      Zimbabwelaiset järkyttyneitä Mugaben puheesta – keskiviikoksi luvataan mielenosoituksia

    11. Näytä lisää
    1. 1

      Rouvan alaston yövieras tuli isäntää vastaan kotipihalla – se letkautus naulautui taksikuskin mieleen pysyvästi

    2. 2

      Lentokone lähti rajuun nousuun kesken laskeutumisen Helsinki-Vantaalle – matkustajat hämmästyivät

    3. 3

      57-vuotias Matti ei ole seurustellut koskaan: ”Jos sattuisi tulemaan vastaan vähään tyytyväinen ihminen, en panisi vastaan”

    4. 4

      Titanic-elokuvan poistettu kohtaus paljastaa elokuvan entistä surullisemman lopun – ”Harmi, että nämä leikattiin pois”

    5. 5

      Korsut olivat jatkosodassa seksin peruskouluja – saksalaisten tekniikoita kadehdittiin

    6. 6

      Rallikatsojilta järjetöntä toimintaa Latvalan ja Rovanperän edessä – tällaista idioottimaisuutta ei ole ennen nähty

    7. 7

      Talo Thaimaassa ja citykämppä Espanjassa: Annika, 63, kertoo, miten Lahti vaihtui halpaan elämiseen auringossa

    8. 8

      Moni suomalainen pilaa salaattinsa – tärkeä yksityiskohta unohtuu usein

    9. 9

      Janne Katajan pikkujouluesitys meni täysin mönkään – Niina Lahtinen jäi noloon kiipeliin: ”Hän makasi siellä ilmassa leijumassa”

    10. 10

      Turkkilaisnaisen, 71, uskomattoman nuorekas ulkonäkö lyö ällikällä – kauneuden salaisuus kebab

    11. Näytä lisää
    1. 1

      Isänsä leikkipuistossa puukottama kolmi­vuotias kuoli – poliisi joutui pysäyttämään väkivallanteon voimakeinoin

    2. 2

      Rouvan alaston yövieras tuli isäntää vastaan kotipihalla – se letkautus naulautui taksikuskin mieleen pysyvästi

    3. 3

      Yleisö häkeltyi: Sihteeri Katja kertoi seksielämästään tv-ruudussa – paukautti totuuden Napakympissä

    4. 4

      Kahden viikon päästä ei enää selviä sakoilla – huolimatonta autoilijaa uhkaa vähintään tonnin lisävero

    5. 5

      Frederik palasi matkoilta kotiin ja purskahti itkuun – avovaimo oli pakannut tavaransa ja lähtenyt

    6. 6

      Porvoon puukotusmurhasta epäillyn veli varoitti surmatun 3-vuotiaan äitiä: Vaihda lukot

    7. 7

      Mitä sinä näet kuvassa? 1800-luvulla maalattu teos häkellyttää – naisen kädessä on tutunnäköinen esine

    8. 8

      Juho muutti Puolaan töihin palvelemaan suomalaisia – ”Muistan yllättyneeni katsoessani ensimmäistä palkkakuittia”

    9. 9

      6 asiaa, jotka tapahtuvat, kun lakkaat juomasta maitoa

    10. 10

      Nuoren naisen pyörätuoli horjahti bussin ovella kohtalokkain seurauksin – kuskin reaktio tyrmistytti

    11. Näytä lisää
    Näitä luetaan!
    1. 1

      Eteläisellä Tyynellämerellä erittäin voimakas maanjäristys – tsunamiaaltoja havaittu

    2. 2

      Maapallon pyöriminen hidastuu – tutkijat arvioivat, että vuonna 2018 tapahtuu rajuja maanjäristyksiä

    3. 3

      188-senttinen sairaanhoitajaopiskelija ei kelvannut muotialalle – sai tylyä palautetta vartalostaan: työskentelee nyt alusvaatemallina

    4. 4

      Trump pelasti maanmiehensä vankilalta Kiinassa – omaisen lausunto johti presidentin käsittämättömään ärähdykseen

    5. 5

      Lentokone lähti rajuun nousuun kesken laskeutumisen Helsinki-Vantaalle – matkustajat hämmästyivät

    6. Näytä lisää
    1. 1

      Rouvan alaston yövieras tuli isäntää vastaan kotipihalla – se letkautus naulautui taksikuskin mieleen pysyvästi

    2. 2

      Lentokone lähti rajuun nousuun kesken laskeutumisen Helsinki-Vantaalle – matkustajat hämmästyivät

    3. 3

      57-vuotias Matti ei ole seurustellut koskaan: ”Jos sattuisi tulemaan vastaan vähään tyytyväinen ihminen, en panisi vastaan”

    4. 4

      Titanic-elokuvan poistettu kohtaus paljastaa elokuvan entistä surullisemman lopun – ”Harmi, että nämä leikattiin pois”

    5. 5

      Korsut olivat jatkosodassa seksin peruskouluja – saksalaisten tekniikoita kadehdittiin

    6. Näytä lisää
    1. 1

      Isänsä leikkipuistossa puukottama kolmi­vuotias kuoli – poliisi joutui pysäyttämään väkivallanteon voimakeinoin

    2. 2

      Rouvan alaston yövieras tuli isäntää vastaan kotipihalla – se letkautus naulautui taksikuskin mieleen pysyvästi

    3. 3

      Yleisö häkeltyi: Sihteeri Katja kertoi seksielämästään tv-ruudussa – paukautti totuuden Napakympissä

    4. 4

      Kahden viikon päästä ei enää selviä sakoilla – huolimatonta autoilijaa uhkaa vähintään tonnin lisävero

    5. 5

      Frederik palasi matkoilta kotiin ja purskahti itkuun – avovaimo oli pakannut tavaransa ja lähtenyt

    6. Näytä lisää