یک محقق امنیتی چینی یک حمله‌ی قیشینگ کاملاً غیرقابل شناسایی را کشف کرده که حتی کاربران بسیار محتاط را نیز در سطح اینترنت می‌تواند هدف قرار دهد. این محقق هشدار داد مهاجمان می‌توانند از آسیب‌پذیری‌های شناخته‌شده بر روی مرورگرهای کروم، فایرفاکس و اُپرا استفاده کرده و صفحات جعلی خود را به‌عنوان وب‌گاه قانونی نمایش داده و گواهی‌نامه‌های ورود و داده‌های حساس کاربران را به سرقت ببرند.

حملات هم‌نگاره تقریباً از سال ۲۰۰۱ میلادی شناسایی شده‌اند ولی شرکت‌های تولیدکننده‌ی مرورگر برای برطرف کردن آن تلاشی نکرده‌اند. این حمله نیز نوعی تهدید جعل آدرس است ولی آدرس هدف، قانونی به نظر می‌رسد درحالی‌که نیست و نویسه‌های آن با نویسه‌های یونیکد جایگزین شده است.

به‌طور پیش‌فرض بسیاری از مرورگرها از یونیکد Punycode برای نمایش نویسه‌های یونیکد در آدرس‌های URL استفاده می‌کنند تا از حملات هم‌نگاره جلوگیری شود. در این یونیکد، نویسه‌های یونیکد به حداقل نویسه‌های زبان لاتین تبدیل می‌شود. محقق امنیتی می‌گوید این آسیب‌پذیری از آنجا ناشی می‌شود که یونیکد Punycode تنها می‌تواند تبدیل از یک زبان به نویسه‌های لاتین را پشتیبانی کند و اگر آدرس URL از نویسه‌های چندین زبان تشکیل شده باشد، این آسیب‌پذیری وجود خواهد داشت.

لینک خبرhttps://u.asis.io/14g

نوشته شده در تاریخ دوشنبه 28 فروردین 1396    | توسط: No Name    |    |
نظرات()