Проверка .рф домена

Homograph attack

Homograph attack — атака с использованием визуально похожих символов из разных алфавитов. После введения IDN (Internationalized Domain Names) в 2003 стало возможно регистрировать домены на любых языках — но сразу стала проблема: кириллический «а» неотличим от латинского «a» в URL bar браузера. Атакующий регистрирует «аррlе.com» с кириллицей, жертва видит привычный «apple.com» и вводит свои данные.

Punycode-форма раскрывает обман: «аррlе.com» в Punycode = xn--pple-43d.com. Но в URL bar браузер показывает Unicode для удобства пользователя. С 2017 года Chrome, Firefox, Safari внедрили правила автоматического показа Punycode для подозрительных доменов.

Confusable символы

Кириллица содержит ~20 символов, идентичных латинским. Полный список (по Unicode TR39 — Unicode Technical Standard for Confusables):

Some Unicode characters look very similar or identical. These are called confusables. They can be used in attacks to confuse users about the identity of a string. Browsers and registrars use rules from UTS 39 to detect and prevent such attacks.— Unicode Technical Standard #39 — Unicode Security Mechanisms

Как проверить домен

1. Скопируйте URL. Из адресной строки браузера, из подозрительного email, из мессенджера.
2. Вставьте в Punycode конвертер. Это инструмент выше — в режиме «Unicode → Punycode». Он покажет ASCII-форму домена.
3. Проверьте префикс xn--. Если в результате есть xn-- — домен содержит non-ASCII символы.
4. Сравните с ожидаемым. Если ожидали apple.com, а получили xn--pple-43d.com — это подделка с кириллической «а».
5. Проверьте через WHOIS. nic.ru/whois для .рф, whois.com для других. Если регистрация недавняя (<30 дней), Domain Privacy hidden — подозрительно.
6. Сертификат SSL. Кликните на замок в адресной строке. EV сертификат (зелёный с названием организации) — у настоящего бренда. DV сертификат (просто «Connection secure») — может быть у фишинга.

Опасные паттерны

• Полностью кириллический «бренд» в .com. «аррlе.com» — все буквы кириллические, но домен в .com. Запрещён современными регистраторами, но иногда проскакивает.
• Смешанные алфавиты. «apρle.com» — латинские буквы + греческая ρ. Регистраторы блокируют, но для редких символов могут пропустить.
• Лишние символы. «paypa1.com» (число 1 вместо l), «ya-ndex.ru» (с дефисом), «yandex-secure.com» (поддомен бренда в третьем уровне).
• Поддомены бренда. «sberbank.com.fake-domain.ru» — «sberbank.com» это поддомен «fake-domain.ru». Браузер выделяет домен 2-го уровня жирным.

Защита для пользователей

• Никогда не кликайте на ссылки в подозрительных email. Особенно «от банка», «от Госуслуг», «от Яндекса». Эти организации не присылают ссылки на ввод паролей.
• Используйте закладки. Если регулярно заходите в банк — добавьте в закладки и заходите только через них.
• Password manager. 1Password, Bitwarden, KeePass автоматически сравнивают URL и не предлагают пароль на homograph-домене. Это лучшая защита.
• 2FA. Даже если ввели пароль на фишинге, 2FA через приложение (не SMS) защитит.
• Регулярно обновляйте браузер. Chrome, Firefox добавляют новые правила обнаружения homograph. На Windows XP / IE — НЕ безопасно.
• Установите HTTPS-only режим. В Chrome / Firefox в настройках. Фишинг часто на HTTP, не HTTPS.

Защита для организаций

• Defensive registration. Регистрируйте варианты домена с confusables: yаndex.com (с кир. а), paypа1.com (с кир. а и числом 1).
• Brand monitoring. MarkMonitor, BrandShield, Cyveillance мониторят новые регистрации похожих доменов.
• UDRP / URS процедуры. Если кто-то зарегистрировал ваш бренд в Punycode — подайте жалобу через ICANN UDRP. Решается за 60 дней, домен передаётся вам.
• EV сертификаты. Покажут настоящее юр.лицо в URL bar — пользователь узнает подделку.
• DMARC. Настройка DMARC/DKIM/SPF на email — защита от подмены отправителя в письмах.