لینک‌هایی که درست به نظر می‌رسن ولی تقلبین

دو نشانی، یه شکل

مثلا فرض کنید یه پیامک براتون اومده که «حساب شما مسدود شده، از این لینک وارد بشید». لینک رو باز می‌کنید، بالای صفحه نشانی سایت رو نگاه می‌کنید، حرف به حرف درسته. قفل هم کنارش هست. صفحه هم عین صفحه‌ی همیشگیه. رمز رو می‌زنید، و چند ساعت بعد می‌فهمید اون سایت، سایت اصلی نبوده.

چطوری ممکنه؟ نشانی که درست بود. جوابش اینه که نشانی برای چشم شما درست بود، نه برای کامپیوتر. این دو تا نشانی رو ببینید:

هر دو «apple.com» خونده می‌شن. ولی دومی یه سایت دیگه‌ست، و اسم واقعیش اون چیزیه که زیرش نوشته شده. سال ۲۰۱۷ یه پژوهشگر امنیت به اسم Xudong Zheng دقیقا همین دامنه رو ثبت کرد تا نشون بده مرورگرهای اون روز، کروم و فایرفاکس و اپرا، فرقش رو نشون نمی‌دن.

به این کار می‌گن حمله با حروف هم‌شکل، که به انگلیسی بهش می‌گن IDN homograph attack. Homograph یعنی دو تا نوشته که شکلشون یکیه ولی اصلشون یکی نیست. این درس می‌گه این حروف هم‌شکل از کجا میان، چرا کامپیوتر فرقشون رو می‌فهمه و ما نه، مرورگر چه کمکی می‌کنه، و شما چی کار کنید که هیچ‌وقت گولش رو نخورید.

دوقلوهای همسان

کامپیوتر حرف نمی‌فهمه، عدد می‌فهمه. پس برای هر حرف و نشانه‌ای که توی دنیا نوشته می‌شه، یه شماره گذاشتن. اسم این جدول بزرگ یونیکد (Unicode)‌ئه. حرف‌های انگلیسی توش هستن، حرف‌های فارسی و عربی هستن، چینی، روسی، یونانی، ایموجی، همه. هر کدوم شماره‌ی خودش رو داره، که معمولا به شکل U+0061 نوشته می‌شه.

حالا یه چیز جالب: بعضی حرف‌ها توی دو تا الفبای مختلف، عینا یه شکلن. «a» انگلیسی و «а» روسی رو با هر فونتی بنویسید، چشم هیچ فرقی نمی‌بینه. ولی شماره‌شون فرق داره:

مثل دوقلوهای همسان. صورتشون یکیه، ولی کارت شناسایی هر کدوم یه شماره‌ی جدا داره. شما با دیدن صورت فرقشون رو نمی‌فهمید، ولی مامور ثبت احوال با دیدن کارت، همون لحظه می‌فهمه. چشم ما شکل رو می‌بینه، کامپیوتر کارت رو.

این دوقلوها کم نیستن. فقط بین انگلیسی و روسی، حرف‌های a، c، e، o، p، x، y و چند تای دیگه دوقلو دارن. الفبای یونانی هم چند تا داره، مثلا «ο» یونانی عین «o» انگلیسیه. کنسرسیوم یونیکد، یعنی همون گروهی که این جدول رو نگه می‌داره، یه فهرست رسمی از حروف هم‌شکل منتشر کرده که اسمش confusables‌ئه، یعنی «اونایی که با هم اشتباه گرفته می‌شن». مرورگرها از همین فهرست استفاده می‌کنن.

گاهی هم دوقلو از یه الفبای دیگه نیست؛ همون حرف انگلیسیه با یه علامت ریز. مثلا «é» که بالاش یه خط کوچیک داره، یا حرفی که یه نقطه‌ی ریز زیرش داره. روی صفحه‌ی گوشی، با فونت کوچیک، این علامت‌ها اصلا دیده نمی‌شن.

ترجمه‌ی پشت صحنه

یه گیر کوچیک وجود داشت. DNS، یعنی دفترچه‌تلفن اینترنت که اسم سایت رو می‌گیره و نشانی سرورش رو پس می‌ده، از قدیم فقط حرف انگلیسی می‌فهمید. عوض کردن همه‌ی سرورهای DNS دنیا هم شدنی نبود.

پس یه راه زیرکانه پیدا کردن: نشانی غیرانگلیسی، پشت صحنه به یه شکل انگلیسی ترجمه بشه. این ترجمه یه روش مشخص داره به اسم Punycode. مرورگر نشانی رو با Punycode به یه رشته از حرف و عدد انگلیسی تبدیل می‌کنه و اول همه‌ش هم xn-- می‌ذاره، تا معلوم باشه این یه نشانی ترجمه‌شده‌ست:

پس هر دامنه‌ای که حتی یه حرف غیرانگلیسی داره، یه اسم دوم هم داره که با xn-- شروع می‌شه. و نکته‌ی اصلی این درس همینه: اسم واقعی، همون اسم xn-- دار‌ئه. DNS همونو می‌شناسه، گواهی امنیت سایت برای همون صادر می‌شه، و سرور با همون پیدا می‌شه. اون چیزی که توی نوار نشانی می‌بینید، فقط شکل خوندنی اونه.

برای همین «apple.com» با «a» و «p» و «e» روسی، برای کامپیوتر هیچ ربطی به apple.com اصلی نداره؛ یه اسم کاملا جداست، با صاحب جدا، سرور جدا و گواهی جدا. فقط چشم ما این دو تا رو یکی می‌بینه.

یه نکته‌ی فنی کوچیک هم هست: هر تیکه‌ی نشانی، یعنی بین دو تا نقطه، حداکثر ۶۳ بایت می‌تونه باشه، و این ۶۳ تا رو شکل xn-- دارش حساب می‌کنن. برای همین اسم‌های غیرانگلیسی نمی‌تونن خیلی بلند باشن.

حمله چطوری ساخته می‌شه

کلاهبردار برای این حمله نه لازمه سایت اصلی رو هک کنه، نه به گوشی شما دست بزنه. همه‌ی کار چهار قدمه، و هر چهار تاش قانونی و ارزونه:

1. یه دامنه ثبت می‌کنه که یکی دو تا حرفش دوقلوی حرف‌های سایت اصلیه. ثبت دامنه برای هر کسی آزاده و چند دقیقه طول می‌کشه.
2. برای این دامنه گواهی امنیت (SSL) می‌گیره، که امروز رایگانه. حالا کنار نشانی قفل هم نشون داده می‌شه.
3. ظاهر سایت اصلی رو کپی می‌کنه: لوگو، رنگ، صفحه‌ی ورود. کپی کردن ظاهر یه سایت چند دقیقه کاره.
4. لینک رو برای آدم‌ها می‌فرسته: توی پیامک، ایمیل، پیام‌رسان، یا حتی یه تبلیغ.

اگه نشانی رو با دقت نگاه کنید، درسته. اگه قفل رو نگاه کنید، هست. اگه صفحه رو نگاه کنید، آشناست. یعنی هر سه چیزی که بهمون یاد دادن نگاه کنیم، درست به نظر میاد. برای همین این حمله از فیشینگ (Phishing) معمولی خطرناک‌تره؛ فیشینگ یعنی هر پیام یا صفحه‌ای که خودش رو جای یه جای معتبر جا می‌زنه تا رمز یا اطلاعات کارت شما رو بگیره، و این یکی ماهرترین شکلشه.

شکل‌های مختلفش

این حمله چند تا شکل داره. زیر هر نمونه، حرف‌هایی که عوض شدن خط خوردن:

قاطی (mixed-script). بیشتر حروف انگلیسیه، ولی یکی دو تاش روسی یا یونانیه. مثلا سال ۲۰۰۵ چند پژوهشگر امنیت یه نسخه از paypal.com با «a» روسی ساختن و نشون دادن که بیشتر مرورگرهای اون روز فرقش رو نمی‌فهمن. این ساده‌ترین شکله، و امروز مرورگرها بیشترش رو می‌گیرن.

تمام از یه الفبای دیگه (whole-script). همه‌ی حروف اسم از یه الفبای دیگه‌ست، مثلا همه روسی، ولی چون همه‌شون دوقلوی انگلیسی دارن، کل اسم انگلیسی دیده می‌شه. همون نمونه‌ی apple.com سال ۲۰۱۷ از همین نوع بود، و چون قاطی نبود، از قانون‌های مرورگرهای اون روز رد شد.

با نشانه. حروف همه لاتینه، ولی یکیش یه علامت ریز داره. مثلا سال ۲۰۱۷ یه دامنه شبیه adobe.com ثبت شد که زیر «b» یه نقطه‌ی ریز داشت، و ازش برای پخش یه برنامه‌ی مخرب استفاده کردن.

غلط‌املایی، که به انگلیسی بهش می‌گن Typosquatting. این یکی اصلا IDN نیست و همه‌ی حروفش انگلیسیه، ولی از همون خطای چشم استفاده می‌کنه: «rn» کنار هم که از دور «m» دیده می‌شه، عدد «۱» انگلیسی به جای «l»، صفر به جای «o»، یا یه حرف اضافه، مثل goggle. این‌جا کامپیوتر هیچ کمکی نمی‌تونه بکنه، چون همه‌ی حروف مجازن. درس غلط‌املایی در دامنه کامل‌تر درباره‌ش حرف می‌زنه.

و یه شکل دیگه که هیچ حرف عوضی نداره، ولی باز هم چشم رو گول می‌زنه: اسم سایت اصلی رو اول یه نشانی طولانی می‌ذارن، مثل paypal.com.example.ir. پایین‌تر، توی بخش «اسم واقعی سایت»، می‌بینیم چرا این اصلا سایت paypal نیست.

دوقلوهای فارسی

فکر نکنید این مشکل فقط مال حروف انگلیسیه. خود فارسی هم دوقلو داره. الفبای فارسی و عربی خیلی از حروفشون مشترکه، ولی دو تا حرف «ک» و «ی» توی یونیکد دو نسخه دارن: یه نسخه‌ی فارسی و یه نسخه‌ی عربی. اول و وسط کلمه، عین هم دیده می‌شن:

«کتاب» با «ک» فارسی و «كتاب» با «ك» عربی، برای چشم یکین. ولی اگه کسی دو تا دامنه با این دو شکل ثبت کنه، برای کامپیوتر دو تا اسم جدان. فقط آخر کلمه یه کم فرق دیده می‌شه، مثلا «ي» عربی آخر کلمه دو تا نقطه زیرش داره و «ی» فارسی نداره. عددها هم همینطورن: عدد فارسی، عدد عربی و عدد انگلیسی سه تا شماره‌ی جدا توی یونیکد دارن.

اینجا یه خبر خوب هست. ایرنیک، یعنی جایی که دامنه‌های .ir و .ایران رو ثبت می‌کنه، از سال ۲۰۰۵ یه جدول برای دامنه‌های فارسی داره. طبق این جدول، «ك» و «ي» عربی خودکار به «ک» و «ی» فارسی تبدیل می‌شن، عددهای عربی و انگلیسی به عدد فارسی تبدیل می‌شن، و نیم‌فاصله هم حساب نمی‌شه. یعنی کسی نمی‌تونه با عوض کردن «ی» یه دامنه‌ی فارسی دوم بسازه که عین مال شما باشه. ایرنیک تا پنج شکل شبیه یه اسم رو هم برای همون صاحب دامنه کنار می‌ذاره، تا کس دیگه‌ای نتونه ثبتشون کنه.

ولی این قانون فقط برای دامنه‌های ایرانیه. توی پسوندهای دیگه، مثل .com، این قانون‌ها نیست و هر پسوندی قانون خودش رو داره.

مرورگر چی کار می‌کنه

بعد از این همه سال، مرورگرها بی‌دفاع نیستن. هر بار که یه نشانی IDN باز می‌شه، مرورگر تصمیم می‌گیره که حروف خوندنیش رو نشون بده یا شکل xn-- دارش رو. مثل یه غربال که هر نشانی باید از توش رد بشه:

مثلا کروم از نسخه‌ی ۵۱ یه فهرست بلند از این بررسی‌ها داره، و اج هم از سال ۲۰۲۰ همون روش رو استفاده می‌کنه. به زبون ساده، چند تا از مهم‌ترین‌هاش اینان:

• حروف لاتین، روسی و یونانی نباید توی یه تیکه از اسم قاطی بشن. اگه بشن، شکل xn-- نشون داده می‌شه.
• اگه همه‌ی حروف روسی باشه ولی همه‌شون دوقلوی انگلیسی داشته باشن، و پسوند هم روسی نباشه، مثل همون apple.com سال ۲۰۱۷، باز xn-- نشون داده می‌شه.
• مرورگر یه «اسکلت» (skeleton) از نشانی می‌سازه، یعنی هر حرف رو با دوقلوی ساده‌ش عوض می‌کنه، و اسکلت رو با فهرست سایت‌های پربازدید مقایسه می‌کنه. اگه شبیه یکیشون بود، باز xn--.
• برای بعضی نشانی‌های خیلی شبیه به یه سایت معروف، یه صفحه‌ی هشدار کامل نشون داده می‌شه که می‌پرسه «منظورتون این سایت بود؟».

پس اگه یه روز توی نوار نشانی یه چیزی مثل xn--80ak6aa92e.com دیدید، این یعنی مرورگر به اسم شک کرده و داره اسم واقعی رو نشونتون می‌ده. اون لحظه هیچ اطلاعاتی وارد نکنید.

ولی این غربال صددرصدی نیست. هر چند وقت یه بار پژوهشگرها یه دوقلوی تازه پیدا می‌کنن که از قانون‌ها رد می‌شه، و مرورگر قانون تازه اضافه می‌کنه. غلط‌املایی‌ها هم که اصلا از غربال IDN رد نمی‌شن، چون IDN نیستن. سال ۲۰۱۹ یه گروه پژوهشی حدود ۴٫۴ میلیون دامنه‌ی IDN رو بررسی کرد و ۸٬۲۸۴ تا دامنه‌ی هم‌شکل با سایت‌های معروف پیدا کرد. یعنی این دامنه‌ها واقعا ثبت می‌شن، و شما نباید فقط به غربال تکیه کنید. برای همین مرورگرتون رو همیشه به‌روز نگه دارید؛ هر به‌روزرسانی قانون‌های تازه‌ی همین غربال رو هم با خودش میاره.

قفل چی رو می‌گه

خیلی‌ها یاد گرفتن «قفل کنار نشانی بود، پس امنه». قفل دروغ نمی‌گه، ولی فقط جواب یه سوال رو می‌ده:

قفل یعنی بین گوشی شما و اون سایت، راه رمزگذاری شده و کسی وسط راه نمی‌تونه حرف‌هاتون رو بخونه. یعنی سایت یه گواهی SSL معتبر داره، برای همون اسمی که باز شده. ولی برای اسم xn-- دار جعلی هم گواهی معتبر صادر می‌شه، چون اون اسم واقعا مال کلاهبرداره. قفل نمی‌گه این سایت مال کدوم شرکته، فقط می‌گه شما دارید امن با «همین سایت» حرف می‌زنید، هر کی که هست.

مثل این می‌مونه که یه نامه‌ی پلمب‌شده بدید دست یه پیک. پلمب نشون می‌ده وسط راه کسی بازش نکرده. ولی اگه از اول نامه رو به آدرس اشتباه فرستاده باشید، پلمب کمکی نمی‌کنه.

اسم واقعی سایت

قبل از اینکه دنبال حرف عوضی بگردید، باید بدونید کجای نشانی رو نگاه کنید. نشانی ممکنه خیلی بلند باشه، ولی اسم واقعی سایت فقط یه تیکه‌شه: تیکه‌ی آخر، درست قبل از اولین «/» تکی.

توی این نمونه، «paypal.com» اول نشانیه، ولی فقط یه زیردامنه‌ست، یعنی یه پیشوند که صاحب example.ir هر چی دلش بخواد می‌تونه جلوی اسمش بذاره. سایتی که باز می‌شه، example.ir‌ئه. نشانی رو از سمت راست به چپ بخونید، از اولین «/» به عقب: پسوند، بعد اسم. همین دو تیکه اسم واقعیه.

و تازه وقتی اسم واقعی رو پیدا کردید، دنبال دوقلوها بگردید. اگه نشانی xn-- داشت، یعنی یه حرف غیرانگلیسی توش هست. اگه سایت معروفی که می‌شناسید انگلیسیه، ولی اسمش توی نشانی xn-- داره، یعنی اون سایت نیست.

درس خوندن نشانی سایت همه‌ی تیکه‌های نشانی رو یکی‌یکی توضیح می‌ده.

سه راه امن

بهترین دفاع اینه که برای سایت‌های مهم، مثل بانک، ایمیل، پیام‌رسان و فروشگاهی که کارت بانکیتون رو توش می‌زنید، اصلا از لینک وارد نشید. سه راه هست که هیچ‌کدوم به چشم شما تکیه نمی‌کنه:

1. نشانک (Bookmark). یه بار، با دقت، سایت درست رو باز کنید و ذخیره‌ش کنید. از اون به بعد هر بار از همون نشانک برید. نشانک اسم واقعی رو نگه می‌داره، نه شکلش رو، پس همیشه درست می‌ره.
2. تایپ دستی. اگه پیامک گفت «حسابتون مسدود شده»، روی لینک نزنید. خودتون مرورگر رو باز کنید و نشانی بانک رو تایپ کنید، یا برنامه‌ی خود بانک رو باز کنید. اگه واقعا مشکلی باشه، اونجا هم می‌بینیدش. با کیبورد معمولی نمی‌شه حرف روسی تایپ کرد، پس تایپ دستی شما رو به همون اسم درست می‌بره.
3. مدیر رمز (Password Manager). برنامه‌ای که رمزهاتون رو نگه می‌داره و خودش پر می‌کنه، اسم سایت رو با کارت می‌شناسه، نه با شکل. روی سایت جعلی، هر چقدر هم شبیه باشه، رمز رو پیشنهاد نمی‌ده. پس اگه یه روز مدیر رمزتون روی سایتی که همیشه پر می‌کرد، ساکت موند، اول شک کنید، بعد هر کار دیگه. اون لحظه رمز رو دستی تایپ نکنید.

و یه لایه‌ی دیگه هم بذارید: ورود دومرحله‌ای (Two-Factor Authentication). اگه یه روز با همه‌ی دقتتون باز هم رمز رو توی سایت جعلی زدید، مرحله‌ی دوم جلوی خیلی از ورودها رو می‌گیره. فقط یادتون باشه کدی که برای مرحله‌ی دوم براتون پیامک می‌شه رو هم هیچ‌وقت توی سایتی که از لینک باز کردید نزنید.