Що таке атака IDN-гомограф?

Як працює атака IDN-гомограф?

Вона працює, бо Unicode містить літери з різних алфавітів, які виглядають однаково, а система доменів дозволяє будь-кому реєструвати імена з ними. Інтернаціоналізоване доменне ім'я (IDN) — це ім'я з не-ASCII-символами. DNS працює лише з ASCII, тож кожна така мітка перетворюється на punycode, рядок, що починається з xn-- і далі йде закодована форма. Людина бачить версію Unicode, якщо браузер вирішив її показати; програмне забезпечення, яке зберігає або журналює ім'я, бачить форму xn--.

Зловмисник реєструє ім'я, де одна або кілька латинських літер замінено схожою: наприклад, кириличну а замість латинської a. Реєстр і реєстратор приймають його, бо це дійсне ім'я. Відвідувач читає examplecoin.com і підписує транзакцію на копії вашого сайту.

Що означає префікс xn--?

Префікс xn-- позначає мітку з не-ASCII-символами в закодованій формі. У наведених прикладах xn--exmplecoin-0qi.com — це збережена форма exаmplecoin.com: ASCII-літери мітки йдуть першими, а закодований кириличний символ стоїть після дефіса. Ім'я, що починається з xn--, саме по собі не шкідливе; багато легітимних сайтів іншими мовами використовують його. Важливо, чи декодований рядок імітує бренд. Будь-яке підозріле ім'я можна декодувати так, як у скрипті вище, або вставити в інструмент пошуку, перш ніж клікнути.

Як Chrome вирішує, показувати Unicode чи punycode?

Chrome вирішує для кожної мітки окремо і показує форму xn--, щойно перевірка не проходить. Задокументовані перевірки включають змішування алфавітів, які не повинні змішуватися (латиниця з кирилицею або грецькою), змішані confusables з даних безпеки Unicode, і мітки, що складаються лише з схожих літер одного алфавіту, якщо розширення не в цьому алфавіті. Chrome також відхиляє мітки лише з цифр або цифрових схожих символів, і мітки, що збігаються з топ-доменом після видалення діакритики. Якщо всі перевірки проходять, мітка показується в Unicode. Політика не залежить від мовного налаштування користувача.

Усе-кирилична аррӏе.com з таблиці — це випадок цілого алфавіту: вона нічого не змішує, тож правило змішування не спрацьовує, і Chrome покладається на окрему перевірку цілого алфавіту. Інші браузери мають власні політики, які Wardmint не читала, тож ця сторінка документує лише Chrome. Пов'язаний ризик загальної плутанини адрес описано в які типи схожих доменів реєструють фішери.

Як захистити мій бренд від гомограф-доменів?

Реєструйте ASCII-варіанти, які можете, стежте за рештою і повідомляйте про знайдене. Гомограф-ім'я ви не можете заздалегідь зареєструвати в кожному алфавіті, бо комбінацій забагато. Але шукати їх можна: dnstwist створює гомогліфні імена з дослідженого набору символів Unicode і перевіряє, які існують, а журнали сертифікатів показують імена з вашим брендом у декодованій формі. Посібник зі пошуку схожих доменів має команди, а як стежити за прозорістю сертифікатів описує журнали.

Сторінки Wardmint описують реєстрації ASCII-імен і не стверджують про реєстрацію IDN. Для ASCII-гомогліфів (1 замість l, rn замість m) покриття таке саме, як для будь-якої друкарської помилки: див. як захистити свій бренд від тайпсквотингу.

Що про це кажуть цифри Wardmint?

Wardmint перевірила політику Chromium 12 листопада 2026 року і згрупувала її правила в 5 родин перевірок, які вирішують між Unicode і punycode: конвертація і дійсність, змішування алфавітів, нумерація і невидимі символи, confusables, а також цифри, шаблони і топ-домени. Групування — власне Wardmint; правила належать Chromium.

Гомограф-домен — це ім'я домену, літери якого відрізняються від відомого імені, але для читача виглядають однаково. Атака IDN-гомограф — це використання такого імені для видавання себе за бренд. Punycode — це ASCII-кодування з префіксом xn--, яке DNS зберігає для імен з не-ASCII-літерами.