Punycode nedir?

Punycode, Latin alfabesi dışındaki karakterleri alan adı sisteminin anlayabileceği ASCII biçimine dönüştüren standart bir kodlamadır. Uluslararasılaştırılmış alan adlarının farklı dillerde kullanılmasını sağlar ve tek başına zararlı değildir. Risk, farklı alfabelerde görünüşü birbirine çok benzeyen harflerin kötü niyetle bir araya getirilmesiyle doğar. Kullanıcı ekranda tanıdığı markaya benzeyen bir adres görürken tarayıcı aslında başka bir alan adına bağlanabilir. Bu yöntem “homograf saldırısı” olarak da anılır ve sahte giriş sayfalarında kimlik bilgisi toplamak için kullanılabilir.

xn-- ifadesi ne anlama gelir?

Punycode ile kodlanan bir alan adı teknik gösterimde çoğunlukla “xn--” öneki taşır. Tarayıcılar güvenli buldukları dil ve karakter kombinasyonlarını kullanıcıya yerel harflerle gösterebilir; şüpheli kombinasyonlarda ise kodlanmış biçimi sergileyebilir. Adres çubuğunda xn-- görmek otomatik olarak dolandırıcılık kanıtı değildir, çünkü meşru çok dilli alan adları da aynı sistemi kullanır. Yine de beklenmeyen bir önek, giriş yapmadan önce alan adını ayrıca doğrulamak için güçlü bir uyarıdır. İncelenen bölüm yalnız sayfa metni değil, adres çubuğundaki gerçek host olmalıdır.

Benzer harf saldırısı nasıl işler?

Latin “a” harfi ile Kiril alfabesindeki benzer görünümlü karakter farklı Unicode kodlarına sahiptir. Aynı durum o, e, c ve p gibi birçok karakterde görülebilir. Saldırgan, markanın alan adındaki bir harfi görsel olarak benzer başka bir karakterle değiştirerek yeni bir alan kaydedebilir. Ardından gerçek siteyi taklit eden giriş formu, logo ve renkler hazırlanır. Kullanıcı SMS, e-posta, reklam veya sosyal medya mesajındaki bağlantıya tıkladığında farkı gözle seçemeyebilir. Şifre ve doğrulama kodu forma girildiğinde bilgiler saldırgana aktarılabilir.

URL kontrolü adım adım

Önce bağlantıya tıklamak yerine resmî adresi yer iminden veya daha önce doğrulanmış kaynaktan açın. Adres çubuğunda alan adının tamamını, özellikle noktalardan hemen önceki bölümü okuyun. Harf sayısı, kısa çizgi, alt alan adı ve üst seviye alan adı birlikte kontrol edilmelidir. Kilit simgesine güvenmek yeterli değildir; sahte site de TLS sertifikası alabilir. Sertifika, bağlantının şifreli olduğunu gösterir fakat sitenin doğru marka olduğunu garanti etmez. Şüphede kalırsanız URL’yi kopyalamadan manuel yazmak ve bağımsız bir kanaldan doğrulamak daha güvenlidir.

Punycode ile typosquatting farkı

Typosquatting genellikle eksik, fazla veya yer değiştirmiş Latin harfleri kullanır; Punycode homograf saldırısı ise farklı alfabelerdeki benzer karakterlerden yararlanır. Bir alan adı her iki tekniği birlikte de kullanabilir. Kullanıcı açısından savunma yaklaşımı benzerdir: mesajdaki acil çağrıya kapılmamak, gerçek alanı karakter karakter kontrol etmek ve giriş sayfasını yer iminden açmak. typosquatting rehberi, yazım hatası temelli örnekleri ayrıntılı açıklar. İki yöntemi ayırt etmek, şüpheli adresi raporlarken daha doğru bilgi vermeyi sağlar.

Yönlendirmeler ve kısa bağlantılar

Kısa URL hizmetleri gerçek hedefi ilk bakışta gizleyebilir. Bir bağlantı birkaç kez yönlendirildiğinde kullanıcı son alan adını kontrol etmeden giriş formuna ulaşabilir. Tarayıcıdaki aşırı yönlendirme hataları her zaman saldırı değildir; yanlış yapılandırma da aynı sonucu yaratır. Teknik belirtileri anlamak için çok fazla yönlendirme hatası rehberi yararlı olabilir. Güvenlik açısından önemli olan, her yönlendirme sonrasında adres çubuğunda görünen nihai alanı doğrulamak ve beklenmeyen dosya indirme ya da bildirim izni taleplerini reddetmektir.

Parola yöneticisi ve iki faktörlü doğrulama

Parola yöneticileri kayıtlı şifreyi yalnız eşleşen alan adında otomatik doldurduğu için ek bir uyarı katmanı sağlar. Daha önce çalışan otomatik doldurma beklenmedik biçimde devre dışıysa adres tekrar incelenmelidir. İki faktörlü doğrulama hesap güvenliğini artırır; ancak sahte sayfaya girilen anlık kod gerçek zamanlı aktarılabilir. Bu nedenle ikinci faktör, URL kontrolünün yerine geçmez. Mümkünse fiziksel güvenlik anahtarı veya alan adına bağlı passkey gibi oltalamaya dayanıklı yöntemler tercih edilebilir. Kurtarma kodları çevrimdışı ve güvenli bir yerde saklanmalıdır.

Mobil cihazlarda nelere bakılmalı?

Mobil tarayıcılar dar ekran nedeniyle alan adının bir bölümünü gizleyebilir. Adres çubuğuna dokunarak hostun tamamı görüntülenmeli, uygulama içi tarayıcı yerine güvenilir ana tarayıcıda açma seçeneği kullanılmalıdır. Klavye ve yazı tipi benzer karakter farkını daha da belirsizleştirebilir. Uygulama yükleme talebi çıkarsa geliştirici adı, mağaza adresi, indirme geçmişi ve izinler kontrol edilmelidir. Mesajla gönderilen APK veya yapılandırma profili kurulmamandır. Güvenlik uyarısını kapatıp devam etmek yerine sayfa kapatılmalı ve adres bağımsız bir kanaldan doğrulanmalıdır.

Şüpheli sayfada bilgi girildiyse

Öncelikle gerçek site, güvenilir bir cihaz ve doğrulanmış adres üzerinden açılmalıdır. Parola hemen değiştirilmeli, aynı parola başka hesaplarda kullanılıyorsa onlar da yenilenmelidir. Açık oturumlar kapatılmalı, iki faktörlü doğrulama kontrol edilmeli ve hesap hareketleri incelenmelidir. Kart veya ödeme bilgisi girildiyse banka ile gecikmeden iletişime geçilmelidir. Şüpheli URL ekran görüntüsüyle birlikte markaya, tarayıcının güvenli gezinme hizmetine ve uygun ulusal birimlere bildirilebilir. Sahte bağlantı başkalarına “bakmaları için” iletilmemeli; rapor metninde tıklanamaz biçimde paylaşılmalıdır.

Doğru kaynağı doğrulama

Alan adını markanın doğrulanmış sosyal hesabı, uygulama mağazasındaki geliştirici bilgisi veya önceden bilinen destek kanalıyla karşılaştırın. Arama reklamındaki ilk sonuca körü körüne güvenmeyin. Alan adı seçimi ve marka güvenliği açısından doğru alan adı seçimi rehberi işletmelerin benzer adres riskini nasıl ele alabileceğini gösterir. Güncel erişim bilgisini görmek isteyenler doğrulanmış teklif bağlantısını kullanabilir; hedef açıldıktan sonra alan adı yine bağımsız biçimde kontrol edilmelidir.

Sonuç

Punycode, çok dilli internet için gerekli ve meşru bir teknolojidir; tehlike benzer karakterlerin kullanıcıyı yanıltmak amacıyla kullanılmasıdır. Adres çubuğunu karakter karakter okumak, xn-- gösterimini fark etmek, yer imi ve parola yöneticisinden yararlanmak riski azaltır. Kilit simgesi tek başına kimlik doğrulaması değildir. Beklenmeyen bağlantıda şifre, ödeme bilgisi veya tek kullanımlık kod girilmemelidir. Bir şüphe oluştuğunda hızlı parola değişikliği, oturum kapatma ve ilgili kurumlara bildirim, olası zararın sınırlandırılmasında en önemli adımlardır.