הפניות פתוחות: כאשר קישור אמיתי ואמין מוביל לתוקף

מעבירים את הסמן מעל קישור, רואים את google.com או את שם האתר המוכר מופיע, ולוחצים ללא חשד. ובכל זאת, מגיעים לדף פישינג. זו אינה תקלת תצוגה ולא זיוף כתובת: הקישור אכן הוביל בהתחלה לאתר האמיתי. זהו המנגנון של הפניה פתוחה (open redirect).

מהי הפניה פתוחה?

אתרים רבים מציעים תכונה לגיטימית לחלוטין: הפניית מבקר לכתובת אחרת לאחר פעולה מסוימת, למשל לאחר התחברות, לחיצה על קישור ממומן, או דרך מקצר קישורים. האתר מקבל בכתובת ה-URL שלו את כתובת היעד, ולאחר מכן שולח את הדפדפן לאותה כתובת.

הפרצה נוצרת כאשר האתר מקבל כל כתובת יעד, מבלי לבדוק שהיא נמצאת ברשימה מורשית. המפתחים בנו שירות הפניה שימושי; הם פשוט שכחו לסגור את הדלת האחורית. כל אחד יכול אז ליצור קישור שמתחיל בשם האתר האמין, אך מסתיים במקום אחר, אצל התוקף.

אנטומיה של קישור מלכודת

ניקח דוגמה של מבנה שהופשט בכוונה:

https://www.google.com/url?q=https://site-pirate.example

הקישור הזה אכן נפתח בשרתי Google: שם הדומיין google.com אותנטי, ושום דבר בשורת הכתובת אינו משקר בעניין זה. אך הפרמטר ?q= נושא כתובת שנייה, ההופכת ליעד האמיתי ברגע שההפניה מופעלת. אותם מנגנונים נמצאים גם עם שמות פרמטרים נפוצים אחרים: ?dest=, ?redirect=, ?target=, ?next=, או גם ?url=. איתור אחת ממילות המפתח הללו מיד לאחר סימן שאלה, ואחריה כתובת אינטרנט שנייה, הוא האות הפשוט ביותר שיש לחפש.

למה תוקפים כה אוהבים את הטכניקה הזו

שיטה זו פותרת לתוקף שתי בעיות בבת אחת.

• עקיפת מסנני ספאם. שערי אבטחת דוא"ל (Secure Email Gateways) מעניקים ציון אמון לדומיינים המופיעים בהודעת דוא"ל. קישור שמתחיל בדומיין בעל מוניטין גבוה מאוד, כמו מנוע חיפוש או רשת חברתית גדולה, מקבל לרוב ציון מצוין, גם אם המסנן אינו בודק כלל את החלק המוסתר של הקישור.
• מניפולציה של הקריאה האנושית. אדם זהיר למד לבדוק את שם הדומיין לפני הלחיצה. מול קישור מסוג זה, בדיקה זו פועלת נגדו: הוא רואה בבירור את שם המותג הרשמי בתחילת הכתובת, ועוצר שם, מבלי לקרוא את ההמשך.

השיטה נהנית אפוא מאמון טכני (הציון של מסנן הספאם) ואמון אנושי (הרפלקס של הקריאה) כאחד, מבלי שיהיה צורך לחקות את הדומיין או את השרתים של האתר האמין.

מתחת למכסה המנוע: קודים 301, 302, והפניות בשרשרת

מבחינה טכנית, הפניה מתרחשת בתגובה קצרה מאוד מהשרת לדפדפן. השרת משיב בקוד מצב HTTP, מבלי להציג עמוד גלוי כלשהו: 302 להפניה זמנית, 301 להפניה קבועה. הדפדפן מציית מיד וטוען את הכתובת הבאה, מבלי שהמשתמש יראה דבר קורה.

שום דבר אינו מונע שרשור של מספר הפניות בזו אחר זו: דומיין A, בעל מוניטין גבוה מאוד, אל דומיין B, צנוע יותר ופגיע בעצמו, אל דף הפישינג הסופי. כל חוליה נוספת מטשטשת עוד קצת את העקבות ומקשה על מי שירצה לעלות בחזרה למקור הקישור רק על ידי הסתכלות עליו.

כיצד לזהות את המלכודת ולהגיב

השיטה הנכונה היא לקרוא את הכתובת המלאה, משמאל לימין, מבלי לעצור בשם הראשון שמזוהה. האות שיש לחפש פשוט: http:// או https:// שני, מוסתר מאוחר יותר באותה שורה, כמעט תמיד מבשר הפניה פתוחה, ממש כמו נוכחות פרמטר מסוג ?q= או ?url= ממש לפניו. ערנות זו מצטרפת לזו הנדרשת לקריאת שם דומיין מטעה באמצעים אחרים, כמו אותיות דומות: ראו את המדריך Punycode והומוגרפים.

כדי לבדוק יעד ללא כל סיכון, אפשר להדביק את הכתובת בפותר קישורים מקוון, או להריץ פקודת curl -I מהטרמינל: השרת משיב עם קוד ההפניה והיעד הסופי, מבלי לטעון את הדף בדפדפן ולו פעם אחת.

שני דיווחים מועילים, ונוגעים לשני גורמים שונים. תחילה מודיעים לחברה שהדומיין שלה משמש כנקודת מוצא (למשל דרך טופס האבטחה שלה או כתובתה הייעודית לפגיעויות), כדי שתתקן את הפרמטר הבלתי מאומת בקוד שלה. לאחר מכן מודיעים לספק האחסון של דף היעד, בדיוק כמו בכל דף פישינג אחר (ראו מציאת כתובת ה-abuse@ הנכונה אצל ספק אחסון), שכן הוא זה שיכול לגרום לו להיעלם.

דוא"ל המכיל קישור מסוג זה נשאר, מעבר לכך, דוא"ל שנשלח משרת אמיתי, עם עקבות משלו: ראו את המדריך ניתוח מקרה פישינג: מההודעה עד לתשתית. בהדבקת הדוא"ל המלא לתוך Baitback, הכלי עוקב בעצמו אחר כל שרשרת ההפניות עד לדף הסופי, מבלי שיהיה צורך ללחוץ או לפתוח טרמינל.