Telset.id – Chromium, mesin browser yang menopang Chrome, Edge, dan Brave, masih bisa dikelabui oleh domain palsu yang meniru alamat situs resmi. Peneliti dari Have I Been Squatted (HIBS) mendemonstrasikan bagaimana domain “аррӏө.com” lolos dari lapisan perlindungan Chromium meski secara kasat mata nyaris identik dengan “apple.com”. Temuan ini menunjukkan bahwa deteksi serangan typosquatting berbasis karakter Unicode belum sepenuhnya tuntas, bahkan pada browser dengan aturan paling canggih sekalipun.
Kasus ini berakar pada keputusan IETF yang mengizinkan karakter Unicode dalam nama domain. Kebijakan tersebut membuka ruang bagi ratusan karakter berbeda yang tampak serupa atau identik lintas alfabet. Celah inilah yang dimanfaatkan pelaku untuk membuat situs fungsional dengan alamat yang sengaja salah ketik namun tampak identik dengan URL asli. Korban yang salah mengetik alamat atau mengikuti hasil pencarian bisa mendarat di situs palsu dan menjadi sasaran serangan.
Chromium sendiri dikenal memiliki aturan paling maju untuk mendeteksi dan mencegah domain menyesatkan yang menyamar sebagai situs sah. Namun, menurut penjelasan HIBS, kode terbaik pun tetap memiliki celah kasus pinggiran. Studi pada 2020 bahkan menunjukkan Chromium menangkap 64,1% upaya domain lookalike, sementara Firefox dan Safari tertinggal di belakangnya. Meski unggul, angka itu menegaskan bahwa proteksi belum sempurna.
Bagaimana Domain Palsu Apple Lolos
Kunci celah ini terletak pada perilaku alfabet Cyrillic yang memiliki banyak karakter kembar dengan huruf Latin. Contohnya, а menjadi a, е menjadi e, о menjadi o, р menjadi p, dan с menjadi c. Ketika satu homoglyph diselipkan di tengah huruf Latin standar, pengaman Chromium langsung aktif dan menampilkan nama domain dalam format Punycode. Misalnya, penggunaan karakter Cyrillic “а” bersama “pple.com” akan tampil sebagai “xn--pple-43d.com”.
Chromium juga menyimpan daftar 29 karakter Cyrillic yang rutin menyamar sebagai huruf Latin. Domain yang disusun sepenuhnya dari karakter dalam daftar tersebut akan ditolak. Karena itu, upaya memakai “аррӏе.com” dengan seluruh karakter lookalike Cyrillic pun gagal. Dengan pengecualian tertentu, nama domain berkarakter non-Latin yang berakhiran .com hanya lolos pemeriksaan jika seluruh karakternya berasal dari alfabet yang sama.
Lalu mengapa “аррӏө.com” bisa lolos? Jawabannya ada pada karakter Cyrillic di sisi kanan yang berbentuk oval dengan garis melintang. Karakter “ө” tersebut tidak termasuk dalam daftar 29 karakter khusus yang dipantau Chromium. Ketidakhadiran satu karakter itulah yang membuat kombinasi domain ini berhasil melewati beberapa lapisan perlindungan sekaligus.
Menurut HIBS, rilis Chromium yang lebih baru bisa dan kemungkinan akan menambahkan karakter “ө” ke dalam daftar pantauan. Namun, temuan ini sekaligus memperlihatkan sulitnya persoalan: karena tidak ada solusi tunggal yang cocok untuk semua kasus deteksi typo-squatting, aturan terbaik sekalipun pada akhirnya akan menemui kasus pinggiran yang belum tercover. Diperlukan banyak pengawasan untuk “menangkap” seluruh karakter Unicode, terlebih karena set karakter terus berkembang dan kini mencapai hampir 173.000 entri. Meski demikian, hanya sebagian dari entri tersebut yang layak dipakai sebagai nama domain atau TLD dalam praktiknya.
Peran Registry dan Rekomendasi HIBS
Selain aturan internal browser, registry domain juga berupaya mencegah typo-squatting melalui aturan ketat tentang karakter apa saja yang boleh masuk ke TLD tertentu. Namun, menurut HIBS, langkah tersebut belum cukup untuk menyelesaikan masalah secara menyeluruh. Chromium sendiri menjalankan berbagai aturan lain, termasuk verifikasi per alfabet, daftar lebih dari 8.000 domain populer yang rawan typo-squatting, serta pemeriksaan lebih ketat terhadap 836 domain di antaranya.
Sebagai langkah mitigasi, HIBS merekomendasikan agar perusahaan yang khawatir terhadap impersonasi mendaftarkan domain-domain lookalike dan mendorong penggunaan passkey oleh pengguna. Passkey selalu terikat pada domain tertentu, sehingga pengguna tidak akan bisa masuk ke situs penyusup dengan kredensial tersebut. Rekomendasi ini menjadi relevan di tengah maraknya modus penipuan digital yang mengandalkan kemiripan alamat. Bahkan di ranah yang lebih luas, persoalan edit pesan typo dan ketelitian terhadap detail alamat menjadi pengingat bahwa akurasi karakter punya dampak keamanan nyata.
Bagi pengguna awam, kasus ini menegaskan pentingnya memeriksa alamat situs sebelum memasukkan data sensitif. Bagi pelaku industri, temuan HIBS menjadi pengingat bahwa perlindungan terhadap domain palsu adalah perlombaan berkelanjutan antara aturan deteksi dan evolusi set karakter Unicode. Selama daftar pantauan masih bisa tertinggal dari karakter baru, celah seperti “ө” akan terus muncul dan menuntut pembaruan berkelanjutan dari sisi browser maupun registry.
Komentar
Belum ada komentar.