Separera internationalisering från personifiering
Internationaliserade domännamn låter människor använda domänetiketter utöver de traditionella ASCII-bokstäverna, siffrorna och bindestrecket. Den förmågan är legitim och viktig. Säkerhetsproblemet är inte närvaron av ett visst manus; det är huruvida en visad identifierare kan förväxlas med en annan identitet i ett konsekvent sammanhang. En homograf- eller förvirrbar domänundersökning måste därför bevara det faktiska namnet, dess validerade DNS representation och mottagarens presentation utan att förklara alla icke-ASCII-namn skadliga.
RFC 5890 definierar terminologi för internationaliserade domännamn i applikationer, inklusive A-etiketter och U-etiketter. Unicode teknisk standard 39 beskriver mekanismer för att identifiera förväxlande strängar. Dessa är relaterade men olika uppgifter. IDNA representation och giltighet är inte en dom om tillhörighet; en förväxlingsjämförelse är inte bevis på bedrägeri. Den här artikeln föreslår en defensiv granskningsmetod utan att registrera namn, skicka meddelanden eller besöka misstänkta domäner.
Bevara formerna istället för att kollapsa dem
RFC 5890 avsnitt 2.3.2.1 definierar en A-etikett som den ASCII-kompatibla formen av en IDNA-giltig etikett och en U-etikett som dess Unicode-form enligt de specificerade kraven. Inte varje sträng som börjar med det välbekanta prefixet xn-- är en giltig A-etikett. En parser måste validera relationen snarare än att behandla prefixet enbart som bevis. På samma sätt är en godtycklig Unicode-sträng inte automatiskt en giltig U-etikett bara för att den ser ut som en domänetikett.
Behåll det obearbetade observerade värdet före transformation. Anteckna sedan analysen och versionen som används, de validerade etikettformulären som den producerade och eventuella fel. Behåll det visade värdet från e-postklienten som en separat observation. En skärmdump kan dokumentera utseende, men den kan inte ersätta de underliggande kodpunkterna eller den analyserade adressen. Detta manuskript har inte kört ett normaliseringsverktyg och tillhandahåller inte påstådda uppmätta konverteringar. Faktiska exempel måste genereras och behållas i en auktoriserad bevisövning.
Ett förväxlande skelett är inte ett DNS namn
Unicode TR39 beskriver förvirrbar detektering med hjälp av definierade transformationer och data. Det aktuella dokumentet innehåller riktningsmedveten skelettbearbetning och noterar att jämförelser kan vara alltför omfattande. Ett skelett är en jämförelseartefakt. Den ska inte användas som adress för att fråga, domänen till godkännandelista eller värdet som ska publiceras i DNS . Två strängar som matchar under en jämförelsemetod blir inte samma domän eller förvärvar samma ägare.
Registrera Unicode-dataversionen, algoritmen och relevanta riktningsantaganden när du använder en sådan metod. Förenkla inte den aktuella specifikationen till en odokumenterad instruktion att ge små bokstäver och ersätta visuellt liknande tecken. Det skulle vara en annan algoritm med okänt beteende. Om en produkt erbjuder ett likhetspoäng, behåll produktens metod och begränsningar separat från standarden. En poäng kan prioritera mänsklig granskning utan att fastställa skadliga avsikter eller en mottagares faktiska visningsbeteende.
Presentationen beror på den konsumerande applikationen
Samma underliggande domän kan presenteras på olika sätt av olika applikationer och sammanhang. Lova inte att varje e-postklient visar Unicode, alltid avslöjar ett ASCII-formulär eller konsekvent varnar för blandade skript. Ett aktuellt mottagarresultat kräver en faktisk observation av den relevanta klienten, versionen, plattformen och meddelandekontexten. Den här artikeln har inte utfört dessa observationer och gör därför inga anspråk på att en viss leverantör skulle visa eller blockera ett specifikt testnamn.
När du samlar in auktoriserat bevis senare, bevara både den råa identiteten och vad användaren såg. Ange om adressen utökades eller komprimerades, om visningsnamnet visades separat och vilket gränssnitt som gav någon varning. Undvik att generalisera från en skärmdump till alla mottagare. Tillgänglighetsgranskning spelar också roll: en visuell likhet och en talad återgivning kan skapa olika förståelseproblem, men ingen av dem bör hävdas utan ett lämpligt observerat exempel.
Autentisering följer domäner, inte upplevd likhet
RFC 9989, avsnitt 2.2, framgår att DMARC adresserar inte visuellt liknande domännamn eller missbruk av visningsnamn. En separat domän kan autentisera e-post för sig själv även när en mottagare missar att den är en betrodd organisation. Det är ingen anledning att sluta kolla inriktning. Det är ett skäl att bevara distinktionen mellan den faktiska domänen och den identitet som mottagaren härledde från dess utseende.
Använd betrodda mottagarautentiseringsbevis, följ oro för förtroendegränsen i RFC 8601. Registrera vilken domän som har autentiserats och vilken synlig Från-domän som utvärderades. Ersätt inte dessa domäner med ett förväxlande skelett innan du bedömer deras förhållande. Normalisering av en visning för jämförelse får inte tyst ändra protokollidentiteten som undersöks. Behåll autentiseringsresultatet och problemet med mänsklig igenkänning som länkade men distinkta observationer.
Ett arbetsblad för identitetsrepresentation
Bygg ett kalkylblad med det ursprungliga meddelandefältet, råextraherad domän, kodpunktsrepresentation vid behov, validerade A-etikett- och U-etikettformulär, parserversion, valideringsresultat och visat klientformulär. Lägg till jämförelsemålet från ett pålitligt företagsregister, metod och version som kan förväxlas med identifiering, jämförelseresultat, ursprung för mottagareautentisering och begärd åtgärd. Inkludera separata kolumner för observerade fakta och analytikertolkningar.
För sekretess, redigera icke-relaterat meddelandeinnehåll och personliga identifierare samtidigt som du behåller de exakta domänskillnader som behövs för ärendet. Publicera inte en verklig misstänkt domän som en klickbar länk bara för att illustrera arbetsbladet. Använd en godkänd icke-interaktiv bevispresentation. Om fiktiva strängar används för undervisning, märk dem som illustrativa och gör inte anspråk på att de var registrerade, accepterade av en leverantör eller visades av en mottagare. Ett påhittat mottagarresultat skulle motverka syftet med beviskravet.
Fiktiv diagnos: ett namn som ser bekant ut
En fiktiv inköpsanalytiker märker att ett leverantörsmeddelande verkar ha ett bekant namn, men en utökad adressvy avslöjar en annan underliggande domän. Säkerhetsteamet föreslår att bevara den råa adressen och jämföra validerade representationer med hjälp av ett dokumenterat verktyg. I detta skede har teamet en oro över förväxlingsbarhet, inte bevis på uppsåt eller ägande. Den begärda ändringen av leverantörsregister förblir pausad under den normala affärsprocessen.
Teamet skulle verifiera anknytningen genom en leverantörskontakt som redan registrerats oberoende. Den skulle också behålla faktiska mottagarbevis om en auktoriserad utredning fortsätter. Det hypotetiska fallet inkluderar medvetet ingen påhittad Unicode-konvertering, skelettutdata eller påstående om att en namngiven e-postklient visade en viss sträng. Det är iakttagelser som måste samlas in, inte detaljer att fylla i för att göra det lättare att berätta. Ingen domän frågades efter, registrerades eller användes för att skicka e-post under detta arbete.
Släpp endast med de exemplen som krävs
En försvarbar slutsats särskiljer giltig representation, likhet, tillhörighet, autentisering och observerad skada. Den kan konstatera att en jämförelsemetod fann förväxling utan att hävda brott. Den kan ange att en annan domän har autentiserats utan att intyga affärsförfrågan. Den kan dokumentera en mottagares presentation utan att hävda att alla mottagare beter sig på samma sätt. Dessa distinktioner gör den resulterande vägledningen användbar för legitima internationaliserade namngivningar såväl som undersökningar av identitetsstöld.
Katalogen kräver råa och visade identitetsexempel med normaliserade DNS formulär och mottagarresultat. Dessa ursprungliga observationer förblir öppna. Det här manuskriptet innehåller ett kalkylblad och en fiktiv diagnostisk process, inte det beviset. Granskning av mänskliga specialister, källans tillämplighet, produktionsvägar, visuell tillgänglighet och ägarfrigivning förblir också öppna. Publicering kräver bibehållna, auktoriserade exempel med exakta verktygsversioner och observerade utfall, granskade utan att avslöja onödiga personuppgifter eller göra påståenden om en domänoperatör som inte stöds.