크로미움, 키릴 문자 위장 도메인 'аррӏө.com' 차단 실패
Have I Been Squatted 연구에 따르면 ө 문자가 크로미움의 혼동 문자 목록에 없어 apple.com을 닮은 도메인이 차단되지 않았다.
보안 연구 단체 Have I Been Squatted가 공개한 블로그 게시물에 따르면, 키릴 문자를 사용해 apple.com과 매우 유사하게 만든 도메인 аррӏө.com이 크로미움의 타이포스쿼팅(오타 유도) 방어 체계를 우회하는 것으로 나타났다. tomshardware.com이 이 연구를 보도했다.
크로미움은 라틴 문자와 닮은 키릴 문자 29개 목록을 유지하며, 이 문자들로만 구성된 도메인은 차단한다. 그러나 ө 문자는 이 29개 목록에 포함되지 않아 аррӏө.com이 퓨니코드(Punycode) 형식으로 변환되지 않고 그대로 표시된다.
반면 라틴 문자와 키릴 문자를 섞은 도메인은 퓨니코드 형식으로 표시된다. 예를 들어 키릴 문자 а와 pple.com을 조합한 주소는 xn--pple-43d.com으로 변환된다.
크로미움은 오타 유도 공격에 노출되기 쉬운 인기 도메인 8,000여 개 목록을 유지하고 있으며, 이 중 836개에는 더 강화된 검사를 적용한다. Have I Been Squatted는 기업에 유사 도메인을 선제적으로 등록하고 사용자에게 패스키 사용을 권장할 것을 제안했다. 크로미움은 Chrome, Edge, Brave 브라우저의 기반 엔진이다.
기존 방어 체계의 한계
2020년 연구에 따르면 크로미움은 유사 도메인 시도 가운데 64.1%를 탐지해 파이어폭스와 Safari보다 높은 탐지율을 기록했다. 한편 IETF가 도메인 이름에 유니코드 문자를 허용했을 당시 보안 전문가들은 유사 문자가 타이포스쿼팅 공격에 악용될 수 있다고 경고한 바 있다. 현재 유니코드 문자 집합에는 약 17만 3,000개의 문자가 등록되어 있다.
한눈에 보기
аррӏө.com이 크로미움에서 차단되지 않는 이유는 무엇인가?
도메인에 사용된 키릴 문자 ө가 크로미움의 혼동 문자 29개 목록에 포함되지 않아 퓨니코드로 변환되지 않기 때문이다.
크로미움 엔진을 쓰는 브라우저는 무엇인가?
Chrome, Edge, Brave가 크로미움 엔진을 기반으로 한다.
Have I Been Squatted가 권고한 대책은 무엇인가?
기업이 유사 도메인을 직접 등록하고, 사용자에게 패스키 사용을 권장할 것을 제안했다.