Modul 3 · 3.2
Domainek és linkek olvasása
Modul 3: Az adathalászat felismerése · Olvasási idő: 13 perc
Tanulási cél: E lecke után Ön minden linknél meg tudja állapítani a valódi célt: megtalálja a regisztrálható domaint a nyilvános utótag-lista segítségével, és felismeri az alárendelt domain, az útvonal és az @ trükköket, a lookalike domaineket, a punycode-ot, a linkrövidítőket és a nyitott átirányításokat.
Kulcsfogalmak: URL, séma, host, regisztrálható domain, nyilvános utótag, alárendelt domain, útvonal, lookalike, typosquatting, homográf, punycode (xn--), URL-rövidítő, nyitott átirányítás
Egy link felépítése
Egy webcímet URL-nek nevezünk. Fix részekből áll:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Rész | Ebben a példában | Mit csinál |
|---|---|---|
| Séma | https | Hogyan kapcsolódik a böngésző |
| Host | inlog.mijnbank.example | Melyik szerverrel kommunikál |
| Port (ritkán látható) | 443 | Az adott szerver "ajtószáma" |
| Útvonal | /klant/overzicht | Melyik oldal az adott szerveren |
| Lekérdezés | ?taal=nl | Az oldalhoz tartozó extra adatok |
| Töredék | #saldo | Egy hely az oldalon |
A host az egyetlen rész, amely meghatározza, kié az adott oldal. Az útvonalat, a lekérdezést és a töredéket maga a host tulajdonosa állítja be. Ott tehát bármi szerepelhet, akár egy másik szervezet neve is.
A hostot jobbról balra kell olvasni, elemenként. A vége a legfontosabb.
A regisztrálható domain és a nyilvános utótag-lista
Nem a teljes host mutatja meg, ki a tulajdonos, hanem csak egy része: a regisztrálható domain. Ez az a név, amelyet valaki regisztráltatott egy regisztrátornál. Minden, ami ettől balra van, alárendelt domain (szubdomain), amelyet a tulajdonos maga hoz létre, amennyit csak akar.
A regisztrálható domain megtalálásához tudnia kell, hol lehet egyáltalán saját nevet regisztrálni. Egy ilyen részt nyilvános utótagnak (public suffix) nevezünk. Példák erre a com, a nl és az example, de ilyen a co.uk is: az Egyesült Királyságban cégként a co.uk alatt regisztrál nevet. A regisztrálható domain ekkor a nyilvános utótag plusz egy elem előtte.
| Host | Nyilvános utótag | Regisztrálható domain |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[naam].co.uk | co.uk | [naam].co.uk |
mijnbank.co.uk.example | example | uk.example |
Az "ökölszabály", miszerint "vegyük az utolsó két darabot", tehát téves eredményt ad. A www.shop.[naam].co.uk esetén a co.uk-t kapnánk, ami senki konkrét tulajdona. Az utolsó példa pedig azt mutatja, hogy a co.uk egy név közepén semmit nem jelent: ott a uk.example a tulajdonos.
Hogy mely utótagok nyilvánosak, azt a Public Suffix List (publicsuffix.org) tartalmazza, egy lista, amelyet a Mozilla indított el, és amelyet ma a közösség tart karban. A böngészők többek között arra használják, hogy eldöntsék, mely oldalak oszthatnak meg egymással sütiket, és hogy kiemeljék a cím fontos részét. A listában szerepel egy "private" (magán) utótagokat tartalmazó rész is: olyan szolgáltatások, ahol az ügyfelek saját alárendelt domaint kapnak, például egyes blog- és projektoldal-szolgáltatók. Minden ilyen alatti ügyfél külön tulajdonosnak számít.
Ha egy utótag nem szerepel a listában, az alapértelmezett szabály érvényes: az utolsó elem az utótag. Ezért a .example esetében a regisztrálható domain mindig az utolsó két elem.
Alárendelt domain, útvonal és @ trükkök
Most, hogy tudja, hol található a tulajdonos, láthatja, hogyan vezetik félre a támadók a szemét. Az elvárt nevet máshová helyezik a linkben.
Alárendelt domain trükk.
https://mijnbank.example.inlog-check.example/loginElöl a mijnbank.example látható. De olvassa jobbról: az utótag example, a regisztrálható domain inlog-check.example, és ez a támadóé. A támadó megvásárolta ezt a domaint, és elé tette saját maga a mijnbank.example alárendelt domaint.
Útvonal-trükk.
https://inlog.example/mijnbank.example/klant/loginA host itt inlog.example, és semmi több. Minden, ami az első egyszeres / után következik, az útvonal, és azt az inlog.example tulajdonosa maga választja.
@ trükk.
https://mijnbank.example@aanvaller.example/inloggenEgy URL tartalmazhat a host előtt egy felhasználói részt, amelyet @ zár le (az URL-ek szabványa, az RFC 3986, ezt userinfo-nak nevezi). Minden, ami a @ előtt áll, tehát nem host. A böngésző a aanvaller.example címre megy, és sehová máshová. Egyes böngészők figyelmeztetnek, vagy eltávolítják a felhasználói részt, de erre nem szabad számítani.
Egy hasznos, állandó módszer: keresse meg az első / jelet a https:// után. Ami előtte áll, az a host (esetleg egy felhasználói résszel és @-tel). Ha van @, akkor a host csak az után kezdődik. Olvassa a hostot jobbról balra, amíg el nem jut a regisztrálható domainig.
Lookalike domainek, typosquatting és punycode
A lookalike egy saját domain, amely egy másikéra hasonlít:
| Lookalike | Trükk |
|---|---|
rnijnbank.example | az rn sok betűtípusban úgy néz ki, mint az m |
mijnbnak.example | két betű felcserélve (typosquatting: elgépelésre számítás) |
mijnbank-veilig.example | egy hozzáadott szó kötőjellel: teljesen más domain |
mijnbank-example.example | a pontot kötőjelre cserélték |
mijnbank.example.inlog-check.example | a valódi domain alárendelt domainként (lásd fentebb) |
Egy lépéssel tovább a homográf: egy domain más íráskészletből vett betűkkel, amelyek ugyanúgy néznek ki. A cirill а ugyanúgy néz ki, mint a latin a, de a számítógép számára más karakter. Az ilyen karaktereket tartalmazó domainneveket nemzetközi domainneveknek nevezzük. A DNS csak az a-tól z-ig terjedő betűket, számjegyeket és a kötőjelet ismeri, ezért egy ilyen nevet punycode-ra (RFC 3492) alakítanak át: egy olyan formára, amely xn---vel kezdődik.
mijnbаnk.example (cirill а betűvel)
xn--mijnbnk-6fg.example (ugyanaz a név punycode-ban)Ha egy címben xn---t lát, az adott név a-tól z-ig terjedő tartományon kívüli karaktereket tartalmaz. Ez teljesen normális is lehet (sok nyelvben vannak ékezetek vagy saját írásjelek), de egy egyébként hollandosnak vagy angolosnak tűnő névnél ez erős figyelmeztető jel. A böngészők rendelkeznek szabályokkal, amelyek a gyanús kombinációkat punycode-ként jelenítik meg; a Chrome például egy vegyes latin és cirill íráskészletű címkét xn-- formában mutat. De ezek a szabályok nem fognak meg mindent, és egy levélben vagy csevegésben gyakran egyszerűen a rendes betűket látja.
Rövidítők és nyitott átirányítások
Az URL-rövidítők egy hosszú linket röviddé alakítanak, például https://kort.example/a8Xk2. Praktikus, de nem látja a célt. A link regisztrálható domainje a rövidítőé, nem az elvárt szervezeté. Ha egy bank vagy beszállító egy rövidített linken keresztül kér bejelentkezést: ezt ne tegye meg.
A nyitott átirányítás egy valódi oldalon található oldal, amely a látogatókat bármilyen, a linkben megadott címre továbbküldi:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenA host valóban mijnbank.example, de egyetlen kattintás után már a aanvaller.example oldalon van, anélkül, hogy észrevenné. Egy rövidítővel vagy egy hírlevélszolgáltató nyomkövető linkjével is máshová juthat, mint az eredeti domain. A tanulság: kattintás után nézze meg újra a címsort, mielőtt bármit kitöltene. És a lakat ikon? Az csak azt jelzi, hogy a kapcsolat titkosított. Hamis oldalaknak is lehet érvényes tanúsítványuk.
A gyakorlatban: így néz ki
Számítógépen az egérrel a link fölé viszi a kurzort anélkül, hogy rákattintana; a valódi cél az ablak bal alsó sarkában vagy egy buborékban jelenik meg. A legtöbb levelezőprogramban és webmailben ez is működik. Telefonon tartsa lenyomva a linket: egy menüt kap, amelynek tetején a cím látható. Ekkor ne válassza a "megnyitás" lehetőséget.
Két buktatóra figyeljen:
- A látható szöveg nem a cél. Egy levélben a gombon vagy a szövegben szerepelhet a
https://mijnbank.example, miközben az alatta lévő link egy teljesen más címre mutat. Csak az számít, amit az egér vagy a hosszú nyomás mutat. - A hosszú címek csonkolódnak. A telefonok gyakran csak az elejét mutatják. Éppen a fontos vég marad el. Görgessen vagy koppintson a címben, hogy teljesen lássa.
Ha bizonytalan, írja be maga a címet, amelyet ismer, vagy használja a könyvjelzőjét. Az NKI oldala is ajánl eszközöket egy link ellenőrzésére.
Összefoglalás
- Csak a host határozza meg, kié az oldal. Az útvonalat, a lekérdezést és mindent, ami egy
@előtt áll, a támadó maga választja. - A regisztrálható domain a nyilvános utótag plusz egy elem. Használja a Public Suffix Listet, ne "az utolsó két darabot" (gondoljon a
co.uk-ra). - Olvassa a hostot jobbról balra. A valódi domain elöl, alárendelt domainként, klasszikus trükk.
- Lookalike domainek: betűcsere, extra szavak, homográfok. Az
xn--a-tól z-ig terjedő tartományon kívüli karaktereket jelent. - A rövidítők elrejtik a célt, a nyitott átirányítások továbbküldik Önt. Kattintás után nézze meg újra a címsort.
Kvíz
Feladat
A3.2 feladat: A regisztrálható domain megtalálása. Nyolc linket kap. Minden linknél adja meg a regisztrálható domaint, és jelezze, hogy a link megfelel-e a valódi szervezetnek. A program a válaszát a Public Suffix List alapján ellenőrzi.
A3.2b feladat: Nehéz linkek. Nyolc link @ trükkökkel, punycode-dal, rövidítőkkel és átirányító oldalakkal. Linkenként adja meg, melyik domainre jut, vagy válassza a "nem megállapítható" opciót.
Bővebben olvasva
A WebOké cikkekben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál hasonlóan működik.
- Valóban a WebOké küldte ezt az e-mailt? Az adathalászat felismerése és az akciókód felhasználása
- DNS-tanfolyam, a domainnevekről és azok olvasásáról: https://www.weboke.hu/dns-cursus
- NKI, Spoofing: https://nki.gov.hu/
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, egy URL felépítése (többek között a userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium, mikor jelenít meg a böngésző egy nemzetközi nevet punycode-ként: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md