Domini .zip, .mov e rischi per la sicurezza

Come è ormai noto, tra le sue svariate attività Mountain View annovera anche quella di Registrar. Google Domains permette infatti di registrare nomi a dominio fornendo anche alcuni servizi correlati come la gestione dei DNS e l'inoltro di domini ed e-mail. Fin qui tutto bene se non fosse che all'inizio di maggio la piattaforma ha deciso di introdurre il supporto per i TLD (Top-Level Domain) con estensione .zip e .mov.

I rischi per gli utenti

La loro introduzione è stata accolta infatti negativamente da diversi ricercatori di sicurezza. Ma perché dei domini di primo livello dovrebbero rappresentare un rischio? Per il semplice motivo che .zip e .mov sono anche delle estensioni per i file. Un utente potrebbe essere quindi indotto a sbagliare, portandolo ad aprire un file contenente codice malevolo nella convinzione di visitare un sito Web.

A tal proposito è possibile citare l'esempio riportato dal ricercatore bobbyr che ha ricordato come il browser Google Chrome permetta di definire un URL tramite un carattere Unicode che mostra uno slash (/). Quest'ultimo però non viene interpretato come tale da Chrome nel momento in cui deve recuperare l'URL. Ora il problema nasce quando viene aggiunto un @ nell'URL stesso. Si tratta infatti di un operatore utilizzato in genere per delimitare la parte che contiene le informazioni relative all'utente all'interno della stringa.

Come vengono trattati gli URL

A dimostrazione delle sue affermazioni bobbyr ha presentato un URL come il seguente:

https://github.com∕kubernetes∕kubernetes∕archive∕refs∕tags∕@v1271.zip

Ad oggi, per questioni di sicurezza, i browser non tengono conto dei dati presenti prima dello @. Questo perché tali informazioni non possono essere più utilizzate in fase di autenticazione. Vengono quindi ignorate, il risultato è che l'unica parte valida dell'URL risulta essere la seguente:

v1271.zip

Con l'introduzione dei nuovi TLD v1271.zip sarebbe diventato però un dominio registrabile con la possibilità di veicolare malware. In che modo? Si pensi per esempio ad un qualsiasi client mail o Webmail che sia in grado di convertire un URL in un link cliccabile.