Come è ormai noto, tra le sue svariate attività Mountain View annovera anche quella di Registrar. Google Domains permette infatti di registrare nomi a dominio fornendo anche alcuni servizi correlati come la gestione dei DNS e l'inoltro di domini ed e-mail. Fin qui tutto bene se non fosse che all'inizio di maggio la piattaforma ha deciso di introdurre il supporto per i TLD (Top-Level Domain) con estensione .zip e .mov.
I rischi per gli utenti
La loro introduzione è stata accolta infatti negativamente da diversi ricercatori di sicurezza. Ma perché dei domini di primo livello dovrebbero rappresentare un rischio? Per il semplice motivo che .zip e .mov sono anche delle estensioni per i file. Un utente potrebbe essere quindi indotto a sbagliare, portandolo ad aprire un file contenente codice malevolo nella convinzione di visitare un sito Web.
A tal proposito è possibile citare l'esempio riportato dal ricercatore bobbyr che ha ricordato come il browser Google Chrome permetta di definire un URL tramite un carattere Unicode che mostra uno slash (/). Quest'ultimo però non viene interpretato come tale da Chrome nel momento in cui deve recuperare l'URL. Ora il problema nasce quando viene aggiunto un @ nell'URL stesso. Si tratta infatti di un operatore utilizzato in genere per delimitare la parte che contiene le informazioni relative all'utente all'interno della stringa.
Come vengono trattati gli URL
A dimostrazione delle sue affermazioni bobbyr ha presentato un URL come il seguente:
https://github.com∕kubernetes∕kubernetes∕archive∕refs∕tags∕@v1271.zipAd oggi, per questioni di sicurezza, i browser non tengono conto dei dati presenti prima dello @. Questo perché tali informazioni non possono essere più utilizzate in fase di autenticazione. Vengono quindi ignorate, il risultato è che l'unica parte valida dell'URL risulta essere la seguente:
v1271.zipCon l'introduzione dei nuovi TLD v1271.zip sarebbe diventato però un dominio registrabile con la possibilità di veicolare malware. In che modo? Si pensi per esempio ad un qualsiasi client mail o Webmail che sia in grado di convertire un URL in un link cliccabile.
