Baza wiedzy
Sprawdzanie nadawcy i domeny łudząco podobne
Kto to jest, w pięćdziesięciu słowach, i czy domena jest łudząco podobna?
Szczegóły
- Kliknij nazwę nadawcy w wiadomości, żeby uruchomić wyszukiwanie w sieci na temat osoby i stojącej za nią domeny.
- Werdykt z przyjęcia wiadomości stoi nad odpowiedzią, bo tylko jedno z dwojga jest miarodajne: nasze własne kontrole czytają nagłówki i linki tej wiadomości, podczas gdy wyszukiwanie to wiedza modelu o nazwie, a modelu ta wiadomość nigdy nie widziała.
- Domeny różniące się o włos są wskazywane: paypaI.com z wielkim i w miejscu l albo paypal-secure.com dopchane tak, żeby czytało się dalej. Test to dwie edycje od nazwy marki albo nazwa marki z czymś doczepionym.
- Porównanie z markami obejmuje dwadzieścia nazw, pod które warto się podszywać: paypal, microsoft, apple, dhl, chase i resztę. Podróbka domeny Twojej księgowej nie jest na tej liście i nigdy być nie może, więc łapiemy ją inaczej: każda domena mieszająca alfabety wewnątrz jednego słowa jest wskazywana sama z siebie, kogokolwiek naśladuje. Mieszanie pism jest tu techniką, a nie celem, a domena zapisana w całości cyrylicą lub grecką jest normalną domeną i zostaje w spokoju.
- Domeny zapisane innym alfabetem są dekodowane, zanim zostaną porównane. pаypal.com z cyrylickim а podróżuje jako xn--pypal-4ve.com, co dzieli siedemnaście edycji od paypal i nie pasuje do niczego, więc nazwa jest dekodowana z powrotem do tego, co zobaczyłby człowiek, litery-imitacje są sprowadzane do łacińskich, które kopiują, a wynik porównywany z marką. Waży to więcej niż zwykłe podobieństwo o włos: pisownia, którą trzeba było złożyć z dwóch alfabetów, nie ma niewinnej wersji.
- Domena łudząco podobna, która przechodzi DMARC i DKIM dla siebie samej, co nie kosztuje atakującego nic, bo to jego własna domena, ma sygnały tożsamości zdyskontowane do 45% ich wagi, a 40 staje się 18 przy progu ostrzeżenia równym 30. Musi zadziałać coś jeszcze w wiadomości i musi to być coś, czego dyskont nie dotyka: link, który czyta się jako jedna domena, a prowadzi do innej, przekracza próg sam z siebie, podobnie jak wykonywalny załącznik. Nieuwierzytelniony przeskok nie może być tym czymś, bo zadziała tylko przy domenie, która nie przeszła DMARC i DKIM, czyli przeciwieństwie tej, która jest dyskontowana, a pojedynczy zwrot o pilnej sprawie też nie wystarczy: jedno „Twoje konto zostało zawieszone” to dziesięć punktów przy progu trzydziestu, więc trzeba dwóch takich plus linku.