Хотя пользователи продукции Apple, как правило, устанавливают обновления своевременно, всегда есть группа людей, которые не делают этого по каким-то своим причинам. Именно таких пользователей предупреждает об опасности специалист Tencent Security, известный под псевдонимом xisigr.

Эксперт обнаружил, что продукты Apple в целом хорошо противостоят так называемым омографическим атакам, однако с некоторыми исключениями.

Напомню, что в корне данной проблемы лежит использование Punycode — стандартизированного метода преобразования последовательностей Unicode-символов в ACE-последовательности, которые состоят только из алфавитно-цифровых символов, как это разрешено в доменных именах. Punycode был разработан для однозначного преобразования доменных имен в последовательность ASCII-символов.

К сожалению, во многих алфавитах мира есть символы, которые выглядят в точности так же, как их латинский аналог (полный список можно увидеть здесь). И эту особенность злоумышленники уже давно эксплуатируют для реализации омографических атак. К примеру, в марте 2018 года неизвестные злоумышленники попытались ограбить таким образом пользователей известной криптовалютной биржи Binance.

Теперь xisigr пишет, что браузер Safari можно ввести в заблуждение используя букву dum (U+A771) для подмены обычной буквы «d». Эти буквы и так выглядят почти одинаково, а Safari попросту не отрисовывает их единственное различие – небольшую черточку в нижней части. В результате фишеры могут использовать эту уловку для подделки реальных доменных имен.

Специалисты Tencent Security уведомили Apple о проблеме еще минувшим летом, после чего баг был исправлен в Safari, iOS, macOS, tvOS и watchOS с релизом июльского обновления безопасности.

Дав пользователям как можно больше времени на установку обновлений, теперь xisigr опубликовал детали проблемы открыто и призвал всех, кто еще не установил июльский апдейт, сделать это как можно быстрее.

По данным специалиста, проблему не стоит игнорировать, так как около 25% доменов из 10 000 наиболее посещаемых сайтов по версии Alexa содержат букву «d» (включая LinkedIn, Baidu, Dropbox, Adobe, WordPress, Reddit, GoDaddy) и могут использоваться для омографических атак.