換一個字母，
假 apple.com 便騙過 Chrome

研究人員發現，西里爾字母 ө 和拉丁字母 ƙ 可繞過 Chromium 瀏覽器的防仿冒檢查，並註冊了 20 個示範域名。

「看清楚網址列」是人人都聽過的保安建議。問題是，網址列上的字，未必是你以為的那些字。

研究人員註冊了 аррӏө.com。它看起來像 apple.com，在 Chrome 154 的網址列上也照樣這樣顯示，還有有效的保安證書。但五個字母全是西里爾字母。

2017 年堵上的洞

網址自 2003 年起可以使用幾乎所有文字。西里爾字母裏的 а、е、о、р、с，大部分字型畫出來和英文一模一樣。2017 年，研究員 Xudong Zheng 用全西里爾字母註冊了一個看似 apple.com 的域名，Chrome、Firefox 都照樣顯示。

Chromium 其後加入「全文字仿冒」檢查：如果網址每個字母都在一張「似英文字母」清單上，便改以「xn--」開頭的 Punycode 顯示，讓人一眼看出不是正牌。

一個字母破解

Have I Been Squatted 的研究人員 Ian Muscat 和 Leanne Briffa 發現，這個檢查是「全有或全無」的：只要網址中有一個字母不在清單上，整個檢查便不生效。哈薩克語、蒙古語使用的西里爾字母 ө 就不在清單上，它看起來像 o 或 e。把 аррӏе 最後的 е 換成 ө，Chrome 便放行。

另一個漏洞在第二道防線。瀏覽器會把網址化成「骨架」，再與約 8,500 個熱門網站比對。帶鉤的拉丁字母 ƙ（豪薩語使用）轉換後會留下一個符號，oƙta.com 因而與 okta.com 不完全相同，避過比對。研究人員共註冊了 20 個示範域名，全部只連到說明頁面。

電郵更寬鬆

研究人員又測試了電郵。同一批寄件人域名，Gmail 全部以看似正常的文字顯示，連 Chrome 自 2017 年已攔截的仿冒域名也照樣顯示；Outlook 網頁版則全部顯示為「xn--」編碼。他們統計 .com 域名，發現約 15.5 萬個國際化域名外形與現有英文域名相似，當中不少可能只是防禦性註冊或正當業務。

怎樣自保

研究人員建議，機構可登記自家品牌的這類變體域名，並使用通行密鑰（passkey）等防釣魚的多重認證。

文：踢踢編