پایگاه دانش
بررسی فرستنده و دامنههای شبیهسازیشده
این شخص کیست، در پنجاه کلمه، و آیا دامنهاش شبیهسازیشده است؟
جزئیات
- روی نام فرستنده در یک پیام کلیک کنید تا درباره آن شخص و دامنه پشت او جستوجوی وب انجام شود.
- حکمی که هنگام دریافت پیام صادر شده بالای پاسخ مینشیند، چون تنها یکی از این دو معتبر است: بررسیهای خود ما هدرها و پیوندهای همین پیام را میخوانند، در حالی که جستوجو فقط پیشینهای است که یک مدل درباره یک نام میدهد و هرگز خود پیام را ندیده است.
- دامنههای نزدیک به اصل علامتگذاری میشوند: paypaI.com که در آن i بزرگ بهجای l نشسته، یا paypal-secure.com که چیزی به آن چسباندهاند تا چشم از رویش رد شود. معیار، دو ویرایش فاصله از نام برند است، یا نام برند با چیزی که به آن سنجاق شده باشد.
- مقایسه برند در برابر بیست نامی انجام میشود که جعلشان میارزد: paypal، microsoft، apple، dhl، chase و بقیه. شبیهسازی دامنه حسابدار شما در آن فهرست نیست و هرگز هم نمیتواند باشد، پس از راه دیگری گرفته میشود: هر دامنهای که درون یک کلمه واحد الفباها را با هم قاطی کند، فارغ از اینکه از چه چیزی تقلید میکند، بهتنهایی علامتگذاری میشود. قاطیکردن خطها خودِ تکنیک است نه هدف، و دامنهای که تماماً به خط سیریلیک یا یونانی نوشته شده باشد دامنهای عادی است و دستنخورده میماند.
- دامنههایی که با الفبای دیگری نوشته شدهاند پیش از مقایسه رمزگشایی میشوند. pаypal.com با «а»ی سیریلیک بهصورت xn--pypal-4ve.com سفر میکند که هفده ویرایش با paypal فاصله دارد و با هیچ چیز مطابقت نمیکند، پس نام دوباره به آنچه یک انسان میبیند رمزگشایی میشود، حروف تقلیدی به همان حروف لاتینی که از رویشان کپی شدهاند تا میخورند، و نتیجه با نام برند مقایسه میشود. وزن این مورد از یک شباهت معمولی بیشتر است: املایی که ناچار از دو الفبا سرهم شده باشد نسخه بیگناهی ندارد.
- دامنه شبیهسازیشدهای که DMARC و DKIM را برای خودش پاس میکند — کاری که برای مهاجم هیچ هزینهای ندارد چون دامنه خودش است — سیگنالهای هویتیاش تا ۴۵٪ وزنشان تنزل داده میشوند، و ۴۰ در برابر آستانه هشدارِ ۳۰ تبدیل به ۱۸ میشود. باید چیز دیگری هم در پیام فعال شود، و آن باید چیزی باشد که این تنزل به آن دست نمیزند: پیوندی که یک دامنه را نشان میدهد و به دامنه دیگری میرود، بهتنهایی از آستانه میگذرد، و پیوست اجرایی هم همینطور. یک گام احراز هویتنشده نمیتواند آن چیز باشد، چون فقط روی دامنهای فعال میشود که DMARC و DKIM را رد کرده باشد، یعنی درست برعکس دامنهای که تنزل خورده است؛ یک عبارت فوریتآور هم کافی نیست: یک «your account has been suspended» ده امتیاز در برابر آستانه سی میگیرد، پس دو تا از آن بهعلاوه یک پیوند لازم است.