Modul 3 · 3.2
Čítanie domén a odkazov
Modul 3: Rozpoznanie phishingu · Čas čítania: 13 minút
Cieľ lekcie: Po tejto lekcii dokážete pri každom odkaze určiť jeho skutočný cieľ: nájdete registrovateľnú doménu pomocou zoznamu verejných sufixov a rozpoznáte triky so subdoménou, cestou a znakom @, lookalike domény, punycode, skracovače odkazov a otvorené presmerovania.
Kľúčové pojmy: URL, schéma, host, registrovateľná doména, verejný sufix, subdoména, cesta, lookalike doména, typosquatting, homograf, punycode (xn--), skracovač URL, otvorené presmerovanie
Časti odkazu
Webová adresa sa nazýva URL. Skladá sa z pevných častí:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Časť | V tomto príklade | Čo robí |
|---|---|---|
| Schéma | https | Ako sa prehliadač pripája |
| Host | inlog.mijnbank.example | S akým serverom komunikujete |
| Port (zriedka vidieť) | 443 | „Číslo dverí“ na danom serveri |
| Cesta | /klant/overzicht | Ktorá stránka na danom serveri |
| Query | ?taal=nl | Doplňujúce údaje pre stránku |
| Fragment | #saldo | Konkrétne miesto na stránke |
Host je jediná časť, ktorá určuje, komu stránka patrí. Cestu, query a fragment si volí vlastník daného hosta sám. Môže tam teda uviesť čokoľvek, aj názov inej organizácie.
Host sa číta sprava doľava, štítok po štítku. Najdôležitejší je koniec.
Registrovateľná doména a zoznam verejných sufixov
O tom, kto je vlastníkom, nehovorí celý host, ale iba jedna jeho časť: registrovateľná doména. Je to názov, ktorý si niekto zaregistroval u registrátora. Všetko naľavo od nej sú subdomény, ktoré si vlastník vytvára sám, podľa ľubovôle.
Na nájdenie registrovateľnej domény musíte vedieť, kde si vlastne môžete zaregistrovať vlastný názov. Takáto časť sa nazýva verejný sufix. Príkladmi sú com, nl a example, ale aj co.uk: vo Veľkej Británii si firma registruje názov pod co.uk. Registrovateľná doména je potom verejný sufix plus jeden štítok pred ním.
| Host | Verejný sufix | Registrovateľná doména |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[naam].co.uk | co.uk | [naam].co.uk |
mijnbank.co.uk.example | example | uk.example |
Jednoduché pravidlo „zober posledné dva kúsky“ teda neplatí. Pri www.shop.[naam].co.uk by ste dostali co.uk, čo nepatrí nikomu konkrétnemu. A posledný príklad ukazuje, že co.uk uprostred názvu nič neznamená: vlastníkom je tu uk.example.
Ktoré sufixy sú verejné, uvádza Public Suffix List (publicsuffix.org), zoznam, ktorý začala Mozilla a ktorý teraz spravuje komunita. Prehliadače ho používajú okrem iného na určenie, ktoré stránky si môžu zdieľať cookies, a na zvýraznenie dôležitej časti adresy. Zoznam obsahuje aj časť s „privátnymi“ sufixami: služby, kde zákazníci dostávajú vlastnú subdoménu, napríklad niektoré hostingy pre blogy a stránky projektov. Každý zákazník pod takýmto sufixom sa počíta ako samostatný vlastník.
Ak sufix nie je v zozname, platí základné pravidlo: posledný štítok je sufix. Preto je pri .example registrovateľnou doménou vždy posledné dva štítky.
Triky so subdoménou, cestou a znakom @
Teraz, keď viete, kde sa nachádza informácia o vlastníkovi, uvidíte, ako útočníci klamú váš zrak. Názov, ktorý očakávate, umiestnia niekam inam v odkaze.
Trik so subdoménou.
https://mijnbank.example.inlog-check.example/loginNa začiatku vidíte mijnbank.example. Ale čítajte sprava: sufix je example, registrovateľná doména je inlog-check.example a tá patrí útočníkovi. Útočník si túto doménu kúpil a pred ňu umiestnil subdoménu mijnbank.example.
Trik s cestou.
https://inlog.example/mijnbank.example/klant/loginHostom je iba inlog.example a nič viac. Všetko za prvou samostatnou lomkou / je cesta, ktorú si volí vlastník inlog.example sám.
Trik so znakom @.
https://mijnbank.example@aanvaller.example/inloggenURL môže pred hostom obsahovať časť s používateľskými údajmi, ukončenú znakom @ (štandard pre URL, RFC 3986, ju nazýva userinfo). Všetko pred znakom @ teda nie je host. Prehliadač prejde na aanvaller.example a nikam inam. Niektoré prehliadače pred tým varujú alebo túto časť skryjú, ale nespoliehajte sa na to.
Praktický postup: nájdite prvú lomku / za https://. To, čo je pred ňou, je host (prípadne s časťou s používateľskými údajmi a znakom @). Ak sa tam nachádza @, host začína až za ním. Čítajte host sprava doľava, kým nenájdete registrovateľnú doménu.
Lookalike domény, typosquatting a punycode
Lookalike doména je vlastná doména, ktorá sa podobá na doménu niekoho iného:
| Lookalike doména | Trik |
|---|---|
rnijnbank.example | rn sa vo viacerých písmach podobá na m |
mijnbnak.example | dve písmená prehodené (typosquatting: stávka na preklep) |
mijnbank-veilig.example | pridané slovo so spojovníkom: úplne iná doména |
mijnbank-example.example | bodka nahradená spojovníkom |
mijnbank.example.inlog-check.example | skutočná doména ako subdoména (pozri vyššie) |
O krok ďalej je homograf: doména s písmenami z iného písma, ktoré vyzerajú rovnako. Cyrilské а vyzerá ako latinské a, ale pre počítač je to iný znak. Domény s takýmito znakmi sa nazývajú internacionalizované domény. DNS pozná iba písmená a až z, číslice a spojovník, takže sa takýto názov prevádza do punycode (RFC 3492): tvaru, ktorý začína xn--.
mijnbаnk.example (s cyrilským а)
xn--mijnbnk-6fg.example (rovnaký názov v punycode)Ak v adrese vidíte xn--, tento názov obsahuje znaky mimo rozsahu a až z. To môže byť úplne bežné (mnohé jazyky majú diakritiku alebo vlastné písmo), ale pri názve, ktorý inak pôsobí slovensky alebo anglicky, je to silný signál. Prehliadače majú pravidlá na zobrazovanie podozrivých kombinácií ako punycode; Chrome napríklad zobrazí ako xn-- štítok s kombináciou latinského a cyrilského písma. Tieto pravidlá však nezachytia všetko, a v e-maile alebo chate často uvidíte iba pekné písmená.
Skracovače a otvorené presmerovania
Skracovače URL premenia dlhý odkaz na krátky, napríklad https://kort.example/a8Xk2. Je to praktické, ale cieľ nevidíte. Registrovateľná doména odkazu patrí skracovaču, nie organizácii, ktorú očakávate. Banka alebo dodávateľ, ktorý vás žiada o prihlásenie cez skrátený odkaz: to nerobte.
Otvorené presmerovanie je stránka na skutočnej webovej lokalite, ktorá presmeruje návštevníkov na ľubovoľnú adresu uvedenú v odkaze:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenHost je skutočne mijnbank.example, ale po jednom kliknutí ste na aanvaller.example, bez toho, aby ste si to všimli. Aj so skracovačom alebo trackovacím odkazom z newsletterovej služby môžete skončiť inde, než na pôvodnej doméne. Ponaučenie: po kliknutí si znova pozrite adresový riadok, predtým než čokoľvek vyplníte. A čo zámok? Ten hovorí len o tom, že spojenie je šifrované. Aj falošné stránky majú platný certifikát.
V praxi: ako to vyzerá
Na počítači prejdite myšou nad odkaz bez kliknutia; skutočný cieľ sa zobrazí v ľavom dolnom rohu okna alebo v bublinke. Vo väčšine e-mailových programov a webmailov to funguje rovnako. Na telefóne podržte prst na odkaze: zobrazí sa menu s adresou nad ním. Nevyberajte vtedy „otvoriť“.
Dajte si pozor na dve nástrahy:
- Viditeľný text nie je cieľ. V e-maile môže byť na tlačidle alebo v texte uvedené
https://mijnbank.example, zatiaľ čo odkaz pod ním smeruje na úplne inú adresu. Platí len to, čo vidíte pri podržaní myši alebo prsta. - Dlhé adresy sa orezávajú. Telefóny často zobrazujú iba začiatok. A práve dôležitý koniec sa tak stráca. Posuňte alebo klepnite v adrese, aby ste ju videli celú.
Ak si nie ste istí, zadajte adresu, ktorú poznáte, sami, alebo použite záložku. Odporúčania SK-CERT, https://www.sk-cert.sk/ tiež odporúčajú odkaz najprv overiť.
Zhrnutie
- O tom, komu stránka patrí, rozhoduje iba host. Cestu, query a všetko pred znakom
@si volí útočník sám. - Registrovateľná doména je verejný sufix plus jeden štítok. Používajte Public Suffix List, nie pravidlo „posledné dva kúsky“ (pomyslite na
co.uk). - Host čítajte sprava doľava. Skutočná doména na začiatku ako subdoména je klasický trik.
- Lookalike domény: zámena písmen, dodatočné slová, homografy.
xn--znamená znaky mimo rozsahu a až z. - Skracovače skrývajú cieľ, otvorené presmerovania vás presmerujú inam. Po kliknutí si znova pozrite adresový riadok.
Kvíz
Úloha
Úloha A3.2: Nájdenie registrovateľnej domény. Dostanete osem odkazov. Pri každom odkaze uveďte registrovateľnú doménu a určte, či odkaz zodpovedá skutočnej organizácii. Program vaše odpovede overí pomocou Public Suffix List.
Úloha A3.2b: Zákerné odkazy. Osem odkazov s trikmi so znakom @, punycode, skracovačmi a presmerovacími stránkami. Pri každom odkaze uveďte, na akej doméne skončíte, alebo zvoľte „nedá sa zistiť“.
Ďalšie čítanie
Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.
- Je skutočne tento e-mail od spoločnosti WebOké? Ako rozpoznať phishing a použiť akčný kód
- Kurz o DNS, o doménových menách a ako ich čítať: https://www.weboke.sk/dns-cursus
- Spoofing, informácie o podvrhnutí identity: https://www.ncsc.nl/phishing/spoofing (holandský NCSC)
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, štruktúra URL (okrem iného userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium, kedy prehliadač zobrazí internacionalizovaný názov ako punycode: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md