Čtení domén a odkazů
Modul 3: Rozpoznání phishingu · Doba čtení: 13 minut
Cíl lekce: Po této lekci dokážete u každého odkazu určit jeho skutečný cíl: najdete registrovatelnou doménu pomocí seznamu veřejných sufixů a rozpoznáte triky se subdoménou, cestou a zavináčem, lookalike domény, punykód, zkracovače odkazů i otevřená přesměrování.
Klíčové pojmy: URL, schéma, host, registrovatelná doména, veřejný sufix, subdoména, cesta, lookalike, typosquatting, homograf, punykód (xn--), zkracovač URL, otevřené přesměrování
Části odkazu
Webová adresa se nazývá URL. Skládá se z pevných částí:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Část | V tomto příkladu | Co dělá |
|---|---|---|
| Schéma | https | Jak se prohlížeč připojuje |
| Host | inlog.mijnbank.example | Se kterým serverem komunikujete |
| Port (málokdy viditelný) | 443 | "Číslo dveří" na daném serveru |
| Cesta | /klant/overzicht | Která stránka na daném serveru |
| Query | ?taal=nl | Doplňující údaje pro stránku |
| Fragment | #saldo | Místo na stránce |
Host je jediná část, která určuje, komu stránka patří. Cestu, query a fragment si určuje majitel toho hostu sám. Může tam tedy stát cokoliv, včetně názvu jiné organizace.
Host čtete zprava doleva, štítek po štítku. Konec je nejdůležitější.
Registrovatelná doména a seznam veřejných sufixů
Kdo je vlastníkem, neurčuje celý host, ale jen jeho část: registrovatelná doména. To je název, který si někdo zaregistroval u registrátora. Vše nalevo od ní jsou subdomény, které si vlastník vytváří sám, v libovolném počtu.
Abyste našli registrovatelnou doménu, musíte vědět, kde si vůbec můžete zaregistrovat vlastní název. Taková část se nazývá veřejný sufix. Příklady jsou com, nl a example, ale také co.uk: ve Spojeném království si firma registruje název pod co.uk. Registrovatelná doména je pak veřejný sufix plus jeden štítek před ním.
| Host | Veřejný sufix | Registrovatelná doména |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[nazev].co.uk | co.uk | [nazev].co.uk |
mijnbank.co.uk.example | example | uk.example |
Pravidlo „vezměte poslední dvě části“ tedy selhává. U www.shop.[nazev].co.uk byste dostali co.uk, což nikomu konkrétnímu nepatří. A poslední příklad ukazuje, že co.uk uprostřed názvu nic neznamená: vlastníkem je zde uk.example.
Které sufixy jsou veřejné, uvádí Public Suffix List (publicsuffix.org), seznam, který založila Mozilla a nyní ho spravuje komunita. Prohlížeče ho používají mimo jiné k určení, které stránky si smí sdílet cookies, a k zvýraznění důležité části adresy. Seznam má i část s „privátními“ sufixy: služby, kde zákazníci dostávají vlastní subdoménu, například některé hostingy pro blogy a projektové stránky. Každý zákazník pod takovou doménou se počítá jako samostatný vlastník.
Pokud sufix v seznamu není, platí výchozí pravidlo: poslední štítek je sufix. Proto je u .example registrovatelná doména vždy posledními dvěma štítky.
Triky se subdoménou, cestou a zavináčem
Nyní, když víte, kde hledat vlastníka, uvidíte, jak útočníci klamou Vaše oči. Vloží očekávaný název jinam v odkazu.
Trik se subdoménou.
https://mijnbank.example.inlog-check.example/loginVepředu vidíte mijnbank.example. Čtěte ale zprava: sufix je example, registrovatelná doména je inlog-check.example a ta patří útočníkovi. Útočník tuto doménu koupil a před ni si sám vytvořil subdoménu mijnbank.example.
Trik s cestou.
https://inlog.example/mijnbank.example/klant/loginHost je inlog.example a nic víc. Vše za prvním jednoduchým / je cesta, kterou si volí vlastník inlog.example sám.
Trik se zavináčem.
https://mijnbank.example@aanvaller.example/inloggenURL smí před hostem obsahovat uživatelskou část, ukončenou znakem @ (standard pro URL, RFC 3986, ji nazývá userinfo). Vše před @ tedy není host. Prohlížeč se připojí na aanvaller.example a nikam jinam. Některé prohlížeče před tím varují nebo uživatelskou část skryjí, ale nespoléhejte se na to.
Praktický postup: najděte první / za https://. Co je před ním, je host (případně s uživatelskou částí a @). Pokud je tam @, host začíná až za ním. Čtěte host zprava doleva, dokud nenajdete registrovatelnou doménu.
Lookalike domény, typosquatting a punykód
Lookalike je vlastní doména, která se podobá doméně někoho jiného:
| Lookalike | Trik |
|---|---|
rnijnbank.example | rn v mnoha písmech vypadá jako m |
mijnbnak.example | dvě písmena prohozená (typosquatting: sázka na překlep) |
mijnbank-veilig.example | přidané slovo se spojovníkem: úplně jiná doména |
mijnbank-example.example | tečka nahrazená spojovníkem |
mijnbank.example.inlog-check.example | skutečná doména jako subdoména (viz výše) |
O krok dál jde homograf: doména s písmeny z jiného písma, která vypadají stejně. Azbuková а vypadá jako latinské a, ale pro počítač je to jiný znak. Doménová jména s takovými znaky se nazývají internacionalizovaná doménová jména. DNS zná jen písmena a až z, číslice a spojovník, takový název se tedy převádí do punykódu (RFC 3492): tvaru, který začíná xn--.
mijnbаnk.example (s azbukovým а)
xn--mijnbnk-6fg.example (stejný název v punykódu)Pokud v adrese vidíte xn--, znamená to, že daný název obsahuje znaky mimo a až z. To může být naprosto normální (mnoho jazyků má diakritiku nebo vlastní písmo), ale u názvu, který jinak vypadá česky nebo anglicky, jde o silný varovný signál. Prohlížeče mají pravidla, podle kterých podezřelé kombinace zobrazují v podobě punykódu; Chrome například zobrazí štítek se smíšeným latinským a azbukovým písmem jako xn--. Tato pravidla však nezachytí vše a v e-mailu nebo chatu často uvidíte prostě hezky vypadající písmena.
Zkracovače a otevřená přesměrování
Zkracovače URL udělají z dlouhého odkazu krátký, například https://kort.example/a8Xk2. Praktické, ale cíl nevidíte. Registrovatelná doména odkazu patří zkracovači, ne organizaci, kterou očekáváte. Pokud Vás banka nebo dodavatel žádá o přihlášení přes zkrácený odkaz: nedělejte to.
Otevřené přesměrování je stránka na skutečném webu, která návštěvníky přesměruje na jakoukoliv adresu uvedenou v odkazu:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenHost je skutečně mijnbank.example, ale po jednom kliknutí se ocitnete na aanvaller.example, aniž byste si toho všimli. I se zkracovačem nebo trackovacím odkazem z newsletterové služby se můžete dostat jinam, než ukazovala první doména. Poučení: po kliknutí se znovu podívejte do adresního řádku, než cokoliv vyplníte. A zámeček? Ten jen říká, že spojení je šifrované. I podvodné weby mají platný certifikát.
V praxi: jak to vypadá
Na počítači přejeďte myší nad odkazem, aniž byste klikli; skutečný cíl se zobrazí vlevo dole v okně nebo v bublině. Ve většině e-mailových programů a webmailu to funguje stejně. Na telefonu podržte prst na odkazu: zobrazí se menu s adresou nahoře. Pak nevybírejte „otevřít“.
Pozor na dvě pasti:
- Viditelný text není cíl. V e-mailu může na tlačítku nebo v textu stát
https://mijnbank.example, zatímco odkaz pod ním vede na úplně jinou adresu. Platí jen to, co vidíte při najetí myší nebo dlouhém podržení. - Dlouhé adresy se zkracují. Telefony často zobrazí jen začátek. Právě důležitý konec tak zmizí. Posuňte se nebo poklepejte v adrese, abyste ji viděli celou.
Pokud si nejste jistí, napište si adresu sami podle toho, co znáte, nebo použijte záložku. Odkaz si také můžete nechat nejprve zkontrolovat.
Shrnutí
- Komu stránka patří, určuje pouze host. Cestu, query a vše před
@si volí útočník sám. - Registrovatelná doména je veřejný sufix plus jeden štítek. Používejte Public Suffix List, ne „poslední dva kousky“ (vzpomeňte na
co.uk). - Čtěte host zprava doleva. Skutečná doména vepředu jako subdoména je klasický trik.
- Lookalike: záměna písmen, přidaná slova, homografy.
xn--znamená znaky mimo a až z. - Zkracovače skrývají cíl, otevřená přesměrování Vás přesměrují. Po kliknutí se znovu podívejte do adresního řádku.
Kvíz
Úkol
Úkol A3.2: Nalezení registrovatelné domény. Dostanete osm odkazů. U každého odkazu doplňte registrovatelnou doménu a uveďte, zda odkaz odpovídá skutečné organizaci. Program Vaši odpověď zkontroluje pomocí Public Suffix List.
Úkol A3.2b: Záludné odkazy. Osm odkazů s triky se zavináčem, punykódem, zkracovači a přesměrovacími stránkami. U každého odkazu uveďte, na jaké doméně skončíte, nebo zvolte „nelze zjistit“.
Další čtení
Postupy v článcích znalostní báze WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.
- Je jedná o e-mail skutečně od WebOké? Jak rozpoznat phishing a použít akční kód
- Kurz DNS, o doménových jménech a jak je číst: https://www.weboke.cz/dns-cursus
- Nizozemské NCSC, Spoofing: https://www.ncsc.nl/phishing/spoofing
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, stavba URL (mimo jiné userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium, kdy prohlížeč zobrazí internacionalizovaný název jako punykód: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md