주요 도메인을 이용한 오타 스쿼팅 공격은 여전히 유효하며, 키릴 문자 케이스의 엣지 케이스는 여전히 최적의 검사를 우회한다

IETF가 도메인 이름에 Unicode 문자를 허용하기로 결정했을 때, 많은 기술 전문가들은 이 움직임을 칭찬할 만하다고 보았지만, 동시에 수백 개의 고유한 문자가 여러 알파벳에 걸쳐 비슷하거나 동일하게 보일 수 있다는 점에서 위험이 가득하다고 여겼습니다. 이는 오타 스쿼팅(typosquatting) 공격에 사용될 수 있는데, 악의적인 행위자들이 의도적으로 철자를 잘못 표기하여 실제 URL과 똑같이 보이는 작동하는 웹사이트를 만들어, 사용자가 주소를 잘못 입력했을 때 검색 결과로 해당 사이트에 접속하게 만드는 무방비한 방문자들을 대상으로 공격을 감행합니다. Chromium 브라우저는 합법적인 것처럼 위장하는 악의적인 도메인을 찾고 방지하기 위한 가장 진보된 규칙 세트를 가지고 있지만, 아무리 좋은 코드라도 이상한 엣지 케이스(edge cases)가 존재합니다. 실제로 Have I Been Squatted (HIBS)의 블로그 게시물은 여기에서 이를 상세히 설명하고 있습니다.

실제로는

그렇긴 하지만, 모든 키릴 문자 유사 문자를 사용해 "аррӏе.com"을 시도하는 것도 실패할 것입니다. Chromium은 라틴어 대응 문자로 위장하는 29개의 키릴 문자 목록을 유지하고 있으며, 이 목록의 문자만을 사용하여 도메인 이름을 구성하는 것은 불가능합니다.

그렇다면 "аррӏө.com"은 어떻게 통과할까요? 아래 더 큰 글씨로 설명해 드리겠습니다. 오른쪽의 키릴 문자가 실제로는 가로줄이 그어진 타원형이라는 점에 주목하세요.

[e] ≠ [ө]

지금쯤 짐작하셨겠지만, "ө" 문자는 그 특별한 29개 목록에 포함되어 있지 않습니다. Chromium의 더 최근 버전에서 추가될 수도 있고 아마도 될 것이지만, 이는 문제의 어려움을 보여줍니다: 오타 스쿼팅을 감지하는 만능 해결책이 없기 때문에, 아무리 좋은 규칙 세트라도 결국에는 어떤 예외 케이스(corner case)에 걸려 잘못된 쪽으로 기울게 됩니다.

유니코드 포켓몬(Unicode Pokémon)을 플레이하고 모든 것을 잡으려면 많은 주의 깊은 눈이 필요합니다. 특히 문자 집합이 지속적으로 진화하고 현재 거의 173,000개의 항목을 가지고 있다는 점을 고려하면 더욱 그렇습니다 — 비록 그중 일부만이 실제로 도메인 이름이나 TLD로 사용될 자격이 있는 것일지라도.

Chromium은 도메인 유사성 감지에 가장 뛰어난 브라우저로 알려져 있습니다. 2020년 연구에 따르면 Chromium이 시도 중인 경우의 64.1%를 포착했으며, Firefox와 Safari가 뒤처졌습니다. 상기하자면, Chromium은 Chrome, Edge, Brave 브라우저의 기반 기술입니다.

많은 다른 규칙과 알파벳별 검증 외에도, Chromium은 오타 스쿼팅될 가능성이 있는 8,000개 이상의 인기 도메인 목록을 유지하고 있으며, 그중 836개에 대해서는 더 강력한 검사를 수행합니다. 마찬가지로 도메인 레지스트리도 어떤 문자가 어떤 TLD에 들어갈 수 있는지에 대한 엄격한 규칙을 두는 등 오타 스쿼팅을 방지하기 위해 합리적인 노력을 기울이지만, 그것만으로는 문제를 완전히 해결하기에는 턱없이 부족합니다.

모든 것을 고려할 때, HIBS는 사칭(impersonation)을 두려워하는 기업들이 유사 도메인(lookalike domains)을 등록하려고 노력하고 사용자들에게 패스키(passkey) 사용을 장려할 것을 권장합니다. 패스키는 항상 특정 도메인에 연결되어 있으므로, 사용자가 이를 이용해 교묘한 웹사이트에 로그인할 수 없습니다.