Các cuộc tấn công typo-squatting bằng tên miền có ký tự Unicode vẫn hoạt động được

Tóm tắt nhanh

• IETF cho phép ký tự Unicode trong domain khiến hàng trăm ký tự trông giống nhau có thể bị lợi dụng cho typo-squatting, tức kẻ xấu tạo trang với địa chỉ nhìn y hệt trang thật.
• Have I Been Squatted (HIBS) cho ví dụ "аррӏө.com" để chỉ ra một trường hợp Unicode thoát được nhiều lớp bảo vệ và không hoàn toàn giống "apple.com".
• Chromium có bộ luật tiên tiến nhất để phát hiện domain giả, nhưng vẫn có các trường hợp biên (edge cases) do một số ký tự Cyrillic không nằm trong danh sách cấm.
• Chromium chuyển domain chứa một homoglyph lẫn lộn sang Punycode (ví dụ "xn--pple-43d.com") nếu phát hiện ký tự khác bảng chữ Latin giữa chuỗi Latin.
• Chromium duy trì danh sách 29 ký tự Cyrillic hay giả mạo và hơn 8.000 domain phổ biến để kiểm tra mạnh, với 836 domain được kiểm tra chặt hơn.
• Một ký tự như Cyrillic 'ө' không nằm trong danh sách 29 nên có thể thoát kiểm tra; Chromium có thể bổ sung nhưng không có giải pháp một lần cho tất cả.
• Nghiên cứu 2020 cho thấy Chromium bắt được 64,1% nỗ lực giả mạo, còn Firefox và Safari kém hơn; Chromium là nền tảng cho Chrome, Edge và Brave.
• HIBS khuyến nghị công ty đăng ký các domain lookalike và khuyến khích người dùng dùng passkey vì passkey gắn với domain cụ thể, ngăn đăng nhập trên trang gian.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.