3. modulis · 3.2
Domēnu un saišu lasīšana
3. modulis: Pikšķerēšanas atpazīšana · Lasīšanas laiks: 13 minūtes
Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet noteikt jebkuras saites patieso mērķi: Jūs atradīsiet reģistrējamo domēnu, izmantojot publisko domēnu galotņu sarakstu, un atpazīsiet apakšdomēna, ceļa un @ trikus, lookalike domēnus, punycode, saišu saīsinātājus un atvērtos pāradresējumus.
Pamatjēdzieni: URL, shēma, host, reģistrējams domēns, publiska domēna galotne, apakšdomēns, ceļš, lookalike, typosquatting, homogrāfs, punycode (xn--), URL saīsinātājs, atvērts pāradresējums
Saites sastāvdaļas
Interneta adresi sauc par URL. Tai ir fiksētas sastāvdaļas:
https://inlog.mijnbank.example:443/klant/overzicht?taal=nl#saldo| Sastāvdaļa | Šajā piemērā | Ko tā dara |
|---|---|---|
| Shēma | https | Kā pārlūks veido savienojumu |
| Host | inlog.mijnbank.example | Ar kuru serveri Jūs sazināties |
| Ports (reti redzams) | 443 | Tā servera "durvju numurs" |
| Path | /klant/overzicht | Kura lapa uz tā servera |
| Vaicājums (query) | ?taal=nl | Papildu dati lapai |
| Fragments | #saldo | Vieta lapā |
Host ir vienīgā daļa, kas nosaka, kam pieder vietne. Path, vaicājumu un fragmentu nosaka tā host īpašnieks pats. Tur tātad var ierakstīt jebko, arī citas organizācijas nosaukumu.
Host lasāms no labās uz kreiso pusi, apzīmējumu pa apzīmējumam. Pašas beigas ir vissvarīgākās.
Reģistrējamais domēns un publisko domēnu galotņu saraksts
Ne visa host daļa parāda, kas ir īpašnieks, bet tikai viena tās daļa: reģistrējamais domēns. Tas ir nosaukums, ko kāds ir reģistrējis pie reģistratora. Viss pa kreisi no tā ir apakšdomēni, un tos īpašnieks izveido pats, cik vien vēlas.
Lai atrastu reģistrējamo domēnu, Jums jāzina, kur vispār var reģistrēt savu nosaukumu. Šādu daļu sauc par publisko domēna galotni. Piemēri ir com, lv un example, bet arī co.uk: Apvienotajā Karalistē kā uzņēmums Jūs reģistrējat nosaukumu zem co.uk. Reģistrējamais domēns tad ir publiskā domēna galotne plus viens apzīmējums pirms tās.
| Host | Publiskā domēna galotne | Reģistrējamais domēns |
|---|---|---|
www.example.com | com | example.com |
inlog.mijnbank.example | example | mijnbank.example |
www.shop.[nosaukums].co.uk | co.uk | [nosaukums].co.uk |
mijnbank.co.uk.example | example | uk.example |
Vienkāršais noteikums "ņem pēdējās divas daļas" tātad kļūdīsies. Pie www.shop.[nosaukums].co.uk Jūs iegūtu co.uk, un tas nepieder nevienam konkrēti. Pēdējais piemērs parāda, ka co.uk nosaukuma vidū nenozīmē neko: tur īpašnieks ir uk.example.
Kuras galotnes ir publiskas, norādīts Public Suffix List sarakstā (publicsuffix.org), ko iesāka Mozilla un ko tagad uztur kopiena. Pārlūki to izmanto, cita starpā, lai noteiktu, kuras vietnes drīkst koplietot sīkdatnes, un lai izceltu svarīgo adreses daļu. Sarakstā ir arī daļa ar "privātām" galotnēm: pakalpojumiem, kuros klienti saņem savu apakšdomēnu, piemēram, dažas blogu un projektu lapu mitināšanas (hostings) platformas. Katrs klients zem tās skaitās kā atsevišķs īpašnieks.
Ja galotnes saraksta nav, derīgs ir standarta noteikums: pēdējais apzīmējums ir galotne. Tāpēc ar .example reģistrējamais domēns vienmēr ir pēdējie divi apzīmējumi.
Triki ar apakšdomēnu, ceļu un @
Tagad, kad zināt, kur atrodas īpašnieka informācija, Jūs redzēsiet, kā uzbrucēji maldina Jūsu acis. Viņi novieto gaidīto nosaukumu kaut kur citur saitē.
Apakšdomēna triks.
https://mijnbank.example.inlog-check.example/loginJūs redzat mijnbank.example priekšā. Bet lasiet no labās puses: galotne ir example, reģistrējamais domēns ir inlog-check.example, un tas pieder uzbrucējam. Uzbrucējs ir iegādājies šo domēnu un pats tam priekšā pievienojis apakšdomēnu mijnbank.example.
Ceļa triks.
https://inlog.example/mijnbank.example/klant/loginHost ir inlog.example, un nekas vairāk. Viss pēc pirmās vienas / ir ceļš (path), un to izvēlas inlog.example īpašnieks pats.
@ triks.
https://mijnbank.example@aanvaller.example/inloggenURL pirms host var saturēt lietotāja daļu, kas noslēgta ar @ (URL standarts, RFC 3986, to sauc par userinfo). Viss pirms @ tātad nav host. Pārlūks dodas uz aanvaller.example un nekur citur. Daži pārlūki brīdina vai noņem lietotāja daļu, bet uz to nevar paļauties.
Noderīga fiksēta pieeja: atrodiet pirmo / pēc https://. Tas, kas ir pirms tā, ir host (iespējams, ar lietotāja daļu un @). Ja ir @, host sākas tikai pēc tā. Lasiet host no labās uz kreiso pusi, līdz atrodat reģistrējamo domēnu.
Lookalike domēni, typosquatting un punycode
Lookalike domēns ir savs domēns, kas izskatās pēc cita:
| Lookalike | Triks |
|---|---|
rnijnbank.example | rn daudzos fontos izskatās pēc m |
mijnbnak.example | divi burti samainīti vietām (typosquatting: likme uz drukas kļūdu) |
mijnbank-veilig.example | pievienots vārds ar defisi: pavisam cits domēns |
mijnbank-example.example | punkts aizstāts ar defisi |
mijnbank.example.inlog-check.example | īstais domēns kā apakšdomēns (skatiet iepriekš) |
Vēl viens solis tālāk ir homogrāfs: domēns ar burtiem no cita raksta sistēmas, kas izskatās vienādi. Kirilicas а izskatās pēc latīņu a, bet datoram tas ir cits simbols. Domēnu nosaukumus ar šādiem simboliem sauc par starptautiskiem domēnu nosaukumiem. DNS pazīst tikai burtus a līdz z, ciparus un defisi, tāpēc šāds nosaukums tiek pārveidots uz punycode (RFC 3492): formu, kas sākas ar xn--.
mijnbаnk.example (ar kirilicas а)
xn--mijnbnk-6fg.example (tas pats nosaukums punycode formā)Ja adresē redzat xn--, šis nosaukums satur simbolus ārpus a līdz z. Tas var būt pavisam normāli (daudzām valodām ir diakritiskās zīmes vai savs raksts), bet nosaukumam, kas citādi izskatās latviski vai angliski, tas ir spēcīgs signāls. Pārlūkiem ir noteikumi, lai aizdomīgas kombinācijas parādītu kā punycode; piemēram, Chrome parāda apzīmējumu ar jauktu latīņu un kirilicas rakstu kā xn--. Taču šie noteikumi neuztver visu, un e-pastā vai tērzēšanā bieži redzami tikai gludi burti.
Saīsinātāji un atvērtie pāradresējumi
URL saīsinātāji pārveido garu saiti par īsu, piemēram, https://kort.example/a8Xk2. Ērti, bet galamērķi Jūs neredzat. Saites reģistrējamais domēns pieder saīsinātājam, nevis organizācijai, ko Jūs sagaidāt. Ja banka vai piegādātājs lūdz Jūs pieteikties, izmantojot saīsinātu saiti: to nedariet.
Atvērts pāradresējums (open redirect) ir lapa īstā vietnē, kas apmeklētājus pāradresē uz jebkuru adresi, kas norādīta saitē:
https://mijnbank.example/doorsturen?naar=https://aanvaller.example/inloggenHost patiešām ir mijnbank.example, bet pēc viena klikšķa Jūs atrodaties aanvaller.example, to nepamanot. Arī ar saīsinātāju vai jaunumu vēstkopas izsekošanas saiti Jūs nonāksiet citur, nevis sākotnējā domēnā. Mācība: pēc klikšķināšanas vēlreiz paskatieties adreses joslā, pirms kaut ko ievadāt. Un atslēdziņa? Tā norāda vien to, ka savienojums ir šifrēts. Arī viltus vietnēm ir derīgs sertifikāts.
Praksē: šādi tas izskatās
Datorā Jūs turat peli virs saites, neklikšķinot; patiesais mērķis parādās loga kreisajā apakšējā stūrī vai mākonītī. Vairumā e-pasta programmu un tīmekļa pastā tas arī darbojas. Telefonā Jūs turat saiti nospiestu: parādās izvēlne ar adresi augšā. Nekad neizvēlieties "atvērt".
Ņemiet vērā divus slazdus:
- Redzamais teksts nav mērķis. E-pastā uz pogas vai tekstā var būt rakstīts
https://mijnbank.example, lai gan saite zem tās ved uz pavisam citu adresi. Svarīgs ir tikai tas, ko redzat, turot peli vai nospiežot ilgi. - Garas adreses tiek saīsinātas (nocirstas). Telefoni bieži parāda tikai sākumu. Tieši svarīgākā, pēdējā daļa tad pazūd. Ritiniet vai pieskarieties adresē, lai redzētu to pilnībā.
Ja šaubāties, ierakstiet pats adresi, kuru zināt, vai izmantojiet grāmatzīmi. Nīderlandes CERT (CERT.LV) arī iesaka vispirms pārbaudīt saiti.
Kopsavilkums
- Tikai host nosaka, kam pieder vietne. Path, vaicājumu un visu pirms
@izvēlas uzbrucējs pats. - Reģistrējamais domēns ir publiskā domēna galotne plus viens apzīmējums. Izmantojiet Public Suffix List, nevis "pēdējās divas daļas" (atcerieties
co.uk). - Lasiet host no labās uz kreiso pusi. Īstais domēns priekšā kā apakšdomēns ir klasisks triks.
- Lookalike domēni: burtu samaiņa, papildu vārdi, homogrāfi.
xn--nozīmē simbolus ārpus a līdz z. - Saīsinātāji slēpj mērķi, atvērtie pāradresējumi pāradresē Jūs tālāk. Pēc klikšķa vēlreiz paskatieties adreses joslā.
Tests
Uzdevums
Uzdevums A3.2: Reģistrējamā domēna atrašana. Jūs saņemsiet astoņas saites. Pie katras saites ierakstiet reģistrējamo domēnu un norādiet, vai saite atbilst īstajai organizācijai. Programma pārbaudīs Jūsu atbildi, izmantojot Public Suffix List.
Uzdevums A3.2b: Mānīgas saites. Astoņas saites ar @ trikiem, punycode, saīsinātājiem un pāradresēšanas lapām. Pie katras saites norādiet, kurā domēnā Jūs nonāksiet, vai izvēlieties "nav redzams".
Lasiet vairāk
Soļi WebOké rakstos attiecas uz WebOké vidi; citiem pakalpojumu sniedzējiem process ir līdzīgs.
- Vai šis e-pasts tiešām ir no WebOké? Pikšķerēšanas atpazīšana un akcijas koda izmantošana
- DNS kurss par domēnu nosaukumiem un to, kā tos lasīt: https://www.weboke.lv/dns-cursus
- CERT.LV par spoofing (identitātes viltošanu): https://cert.lv/
- Public Suffix List: https://publicsuffix.org/
- RFC 3986, URL uzbūve (cita starpā userinfo): https://www.rfc-editor.org/rfc/rfc3986
- RFC 3492, Punycode: https://www.rfc-editor.org/rfc/rfc3492
- Chromium par to, kad pārlūks parāda starptautisku nosaukumu kā punycode: https://chromium.googlesource.com/chromium/src/+/main/docs/idn.md