Punycodeの憂鬱

Fri, 21 Apr 2017 22:15:08 +0900

18日に書いたURL偽装の話。

たとえば“аpple.com”は一見、Appleの公式サイトのURLに見える。しかし、実は先頭の文字にキリル文字の“а”が使われており、アクセスすると偽のWebサイトに誘導されてしまう。

というのが問題だと思ったのだが、多国語コードが混在すると

たとえば、先ほどのURLへアクセスしても、アドレスバーには“аpple.com”ではなくPunycode形式の“xn--pple-43d.com”と表示されるため、偽サイトであることは容易に判別できる。

らしい。

問題は

しかし、この保護メカニズムに欠陥があり、ドメインに使われている文字が同じ言語であるケースでは機能していなかった。たとえば、“xn--80ak6aa92e.com”へアクセスすると、アドレスバーには“apple.com”と表示されてしまい、視覚的に“apple.com”と見分けるのが困難となる。

という事で、多国語コード混在ではなく純粋にASCIIで表現可能な"80ak6aa92e"というPunycodeを変換するとASCII文字で"apple"と表示されてしまうので、計算をして"xn--"で始まるPunycode相当のドメインにより偽装する事が可能になるという事のようだ。

実際に"xn--"で始まるドメインを取れるかどうかお名前.comで試してみたところ、

3文字目、4文字目を半角ハイフンにすることはできません。

となったのでひと安心したが、プロトコル的には防げないのでDNS攻撃を併用する事で偽装できる可能性は排除できない。

2017/04/21 on Yano's digital garage