फ़िशिंग URL एनालाइज़र — नक़ली डोमेन और टाइपो की पहचान करें

फ़िशिंग URL को असली जैसा कैसे बनाया जाता है?

फ़िशिंग URL इस तरह बनाया जाता है कि वह किसी भरोसेमंद एड्रेस जैसा लगे: किसी और के डोमेन में ब्रांड का नाम, सबडोमेन की तरह लिखा असली डोमेन (paypal.com.example.top), @ से पहले का टेक्स्ट जिसे ब्राउज़र अनदेखा करता है, क़रीबी स्पेलिंग, या homograph — दूसरी लिपि के लैटिन जैसे दिखने वाले अक्षर, जिन्हें Unicode का UTS #39 confusables कहता है। चाल कोई भी हो, लिंक का मालिक उसका रजिस्टर्ड डोमेन ही है, यानी public suffix से ठीक पहले वाला हिस्सा।

फ़िशिंग URL एनालाइज़र कैसे इस्तेमाल करें

लिंक को ठीक वैसे ही पेस्ट करें जैसे मिला था (लिंक एड्रेस कॉपी करें, दिखने वाला टेक्स्ट नहीं)।
चाहें तो वह डोमेन लिखें जिसका लिंक आपको लगता है, जैसे paypal.com या आपके बैंक का डोमेन।
"लिंक का विश्लेषण करें" दबाएँ और ओवरव्यू में "असल में खुलने वाला डोमेन" से शुरू करें।
ब्रांड जाँच और तुलना पढ़ें, फिर कोई फ़ैसला लेने से पहले "संकेतों की व्याख्या" और चेकलिस्ट देखें।

फ़िशिंग URL एनालाइज़र की खूबियाँ

एड्रेस की बनावट: ब्राउज़र असल में किस होस्ट से जुड़ता है, कौन-सा रजिस्टर्ड डोमेन उसका मालिक है, रजिस्टर करने वाले ने कौन-से हिस्से चुने, और @ से पहले का वह टेक्स्ट जिसे ब्राउज़र अनदेखा करता है
Homograph विश्लेषण: होस्ट में इस्तेमाल लिपियाँ, उसका यूनिकोड और xn-- नेटवर्क रूप, और मिलते-जुलते अक्षर मिलाने के बाद नाम स्क्रीन पर कैसा पढ़ा जाता है
ब्रांड जाँच: किसी और के डोमेन में ब्रांड का नाम, सबडोमेन की तरह इस्तेमाल हुआ ब्रांड का असली डोमेन, एक-अक्षर वाले टाइपो, और मिलते-जुलते अक्षरों के पीछे छिपे ब्रांड नाम (paypa1, rnicrosoft) — आख़िरी जाँच इस एनालाइज़र की अपनी है
अपेक्षित डोमेन से वैकल्पिक तुलना: मालिक एक है या नहीं, कितने अक्षर का फ़र्क, स्क्रीन पर एक जैसे दिखते हैं या नहीं, और क्या आपका डोमेन सिर्फ़ सबडोमेन या @ से पहले आता है
हर संकेत की व्याख्या: लिंक क्या दिखाता है, फ़िशर यह पैटर्न क्यों अपनाते हैं और आप ख़ुद कैसे जाँचें
पूरी तरह आपके ब्राउज़र में चलता है — लिंक कहीं नहीं भेजा जाता

इनपुट और आउटपुट

इनपुट

विश्लेषण वाला लिंक — जैसा मिला वैसा एड्रेस, scheme के साथ या बिना; अंतरराष्ट्रीय डोमेन, @ वाली चालें और लंबे ट्रैकिंग लिंक सब स्वीकार (8,192 अक्षर तक)।
अपेक्षित डोमेन (वैकल्पिक) — वह साइट जिसका लिंक आपको लगता है, डोमेन (paypal.com) या पूरे एड्रेस के रूप में; उसका सिर्फ़ होस्ट इस्तेमाल होता है।

आउटपुट

ओवरव्यू — नियमों का स्कोर और उसका अर्थ, संकेतों की गिनती, ब्रांड से जुड़े नतीजों की गिनती और असल में खुलने वाला डोमेन।
लिंक की बनावट — होस्ट, रजिस्टर्ड डोमेन, चुने हुए हिस्से, @ से पहले अनदेखा टेक्स्ट, यूनिकोड और नेटवर्क रूप, इस्तेमाल लिपियाँ और स्क्रीन पर पढ़ा जाना।
ब्रांड और मिलते-जुलते अक्षरों की जाँच — मिले ब्रांड नाम, मिलते-जुलते अक्षरों के पीछे छिपे ब्रांड, सबडोमेन बने ब्रांड डोमेन और क़रीबी स्पेलिंग।
अपेक्षित डोमेन से तुलना — जब आप डोमेन लिखें तब दिखती है।
संकेतों की व्याख्या — हर संकेत, लिंक क्या दिखाता है और क्यों मायने रखता है; साथ में क्लिक से पहले की छोटी चेकलिस्ट।

फ़िशिंग URL एनालाइज़र का उदाहरण

@ से पहले छिपा भरोसेमंद नाम

इनपुट:

Link: https://www.paypal.com@paypa1-secure.xyz/login/verify
Domain you expect: paypal.com

आउटपुट:

Heuristic score: 85/100 — Dangerous-looking (a hint, not a verdict)
Domain that really opens: paypa1-secure.xyz
Text the browser ignores (before the @): www.paypal.com
Brand hidden by look-alike characters: paypal (in "paypa1-secure")
Compared with paypal.com: a different registered domain · does not look the same on screen · paypal.com appears only in the ignored text before the @
Signs: High — Text before an @ sign · Medium — .xyz domain · Medium — Credential words: login, verify · Low — Credential words in the host: secure

फ़िशिंग URL एनालाइज़र के नतीजे कैसे पढ़ें

"असल में खुलने वाला डोमेन" निर्णायक लाइन है। अगर यह ऐसा डोमेन नहीं जिसे आप उस संस्था का जानते हैं, तो बाक़ी एड्रेस — चाहे कितना भी जाना-पहचाना लगे — किसी और ने लिखा है।

ब्रांड से जुड़ा नतीजा (किसी और के डोमेन में ब्रांड, सबडोमेन बना ब्रांड डोमेन, छिपा या क़रीबी ब्रांड नाम) एड्रेस में फ़िशिंग का सबसे मज़बूत पैटर्न है। login या verify जैसे शब्दों के साथ ऐसा एक नतीजा क्रेडेंशियल चुराने वाले लिंक की आम शक्ल है।

तुलना में "स्क्रीन पर एक जैसे" और "अलग रजिस्टर्ड डोमेन" साथ हों तो वह look-alike है: दोनों नाम नेटवर्क में अलग हैं, आँख के लिए नहीं।

स्कोर वही 0–100 वाला इशारा है जो URL सेफ़्टी चेकर में है: 20 से कम "सुरक्षित दिखता है", 20–54 "संदिग्ध", 55 और ऊपर "ख़तरनाक दिखता है"। इनमें से कोई भी पेज के बारे में फ़ैसला नहीं है।

फ़िशिंग URL एनालाइज़र कब इस्तेमाल करें

सहकर्मी को क़दम-दर-क़दम समझाना कि रिपोर्ट किया गया लिंक फ़िशिंग क्यों है।
जागरूकता ट्रेनिंग के लिए उधार लिए ब्रांड, homograph और @ वाली चाल के असली उदाहरण तैयार करना।
जाँचना कि जो डोमेन आप रजिस्टर करने वाले हैं, या किसी पार्टनर का डोमेन, किसी जाने-माने ब्रांड से गड़बड़ा तो नहीं सकता।
अपनी संस्था के डोमेन की नकल लगने वाले डोमेन की पड़ताल, अपना डोमेन अपेक्षित डोमेन में लिखकर।

समस्या निवारण

"अपेक्षित डोमेन से तुलना" के नीचे कुछ नहीं दिखता — यह फ़ील्ड वैकल्पिक है; तुलना देखने के लिए example.com जैसा डोमेन लिखें।
"अपेक्षित डोमेन पढ़ा नहीं जा सका" — सिर्फ़ डोमेन या https:// से शुरू होने वाला पूरा एड्रेस लिखें, बिना स्पेस।
अंतरराष्ट्रीय लिंक में xn-- हिस्से दिखते हैं — यही वह नेटवर्क रूप है जिससे ब्राउज़र असल में जुड़ता है; यूनिकोड रूप उसके साथ दिखाया गया है।
छोटा लिंक सिर्फ़ शॉर्टनर दिखाता है — पहले उसे अपने ब्राउज़र में खोले बिना redirect checker से expand करें, फिर मंज़िल का विश्लेषण करें।

फ़िशिंग URL एनालाइज़र के बारे में अक्सर पूछे जाने वाले सवाल

यह URL सेफ़्टी चेकर से कैसे अलग है?

URL सेफ़्टी चेकर जल्दी स्कोर देता है और सर्वर कॉन्फ़िगर हो तो reputation सूचियों से पूछता है। एनालाइज़र आपके ब्राउज़र से बाहर नहीं जाता और एक लिंक में गहराई तक उतरता है: एड्रेस की बनावट, ब्रांड और मिलते-जुलते अक्षरों की जाँच, अपेक्षित डोमेन से तुलना, और हर संकेत की व्याख्या जाँचने के तरीक़े के साथ।

Homograph (IDN) हमला क्या होता है?

ऐसा डोमेन जो किसी दूसरी लिपि के लैटिन जैसे दिखने वाले अक्षरों से लिखा हो — जैसे аpple.com में सिरिलिक "а" — असली नाम जैसा पढ़ा जाता है, पर अलग डोमेन होता है, यहाँ xn--pple-43d.com। एनालाइज़र होस्ट की लिपियाँ, उसका xn-- नेटवर्क रूप और स्क्रीन पर उसका पढ़ा जाना दिखाता है।

SBI या HDFC के नाम से आए लिंक में नकल कैसे पकड़ूँ?

ब्रांड सूची में SBI, HDFC, ICICI, Paytm और PhonePe जैसे नाम हैं; इनमें से कोई नाम किसी और के डोमेन में या मिलते-जुलते अक्षरों के पीछे दिखे तो एनालाइज़र बताता है। बहुत अलग स्पेलिंग वाली नकल छूट सकती है, इसलिए "अपेक्षित डोमेन" में बैंक का वह डोमेन लिखें जो आप उसके आधिकारिक ऐप से जानते हैं, और अक्षर-दर-अक्षर फ़र्क देखें।

मुझे अपेक्षित डोमेन क्यों लिखना चाहिए?

फ़िशिंग इसलिए कामयाब होती है कि लिंक किसी भरोसेमंद नाम के काफ़ी क़रीब दिखता है। जब आप वह डोमेन लिखते हैं जिसका लिंक आपको लगता है, तो एनालाइज़र बताता है कि लिंक सच में उसे खोलता है या नहीं, दोनों में कितने अक्षर का फ़र्क है, स्क्रीन पर वे एक जैसे दिखते हैं या नहीं, और क्या आपका डोमेन सिर्फ़ सबडोमेन या @ से पहले है।

क्या एनालाइज़र लिंक कहीं भेजता है?

नहीं। यह पूरी तरह आपके ब्राउज़र में चलता है: लिंक न Mutqan सर्वर को भेजा जाता है न किसी दूसरी सेवा को, इसलिए निजी टोकन वाला लिंक भी सुरक्षित रूप से जाँचा जा सकता है।

क्या बिना किसी नतीजे वाला लिंक भी फ़िशिंग हो सकता है?

हाँ। विश्लेषण सिर्फ़ एड्रेस पढ़ता है। नए रजिस्टर्ड साधारण नाम वाले डोमेन पर, या हैक हुई असली साइट पर बना फ़िशिंग पेज अपने एड्रेस में कोई पैटर्न नहीं दिखाता। संवेदनशील सेवाएँ उनका एड्रेस ख़ुद टाइप करके खोलें।

तकनीकी नोट्स

एड्रेस WHATWG URL Standard (ब्राउज़र वाला पार्सर) से RFC 3986 सिंटैक्स पर पार्स होता है: @ से पहले का userinfo होस्ट से अलग किया जाता है, अंतरराष्ट्रीय होस्ट उसके ASCII रूप में बदला जाता है (IDNA 2008, RFC 5891), और होस्ट को रजिस्टर्ड डोमेन और उससे पहले के हिस्सों में बाँटा जाता है।

मिलते-जुलते अक्षरों की पहचान Unicode Technical Standard #39 (UTS #39, Unicode Security Mechanisms) के confusable "skeleton" के विचार पर चलती है: लैटिन जैसे दिखने वाले सिरिलिक, ग्रीक और आर्मेनियाई अक्षर संबंधित लैटिन अक्षर में बदले जाते हैं, और rn → m, vv → w, 0 → o, 1 → l जैसी ASCII चालें भी; एक जैसे skeleton वाले दो नाम स्क्रीन पर एक जैसे दिखते हैं।

क़रीबी स्पेलिंग transposition सहित edit distance (Damerau–Levenshtein) से पकड़ी जाती है: आठ अक्षर से छोटे ब्रांड नाम के लिए एक बदलाव, लंबे के लिए दो, और छोटे नाम तभी जब लंबाई और पहला अक्षर मिलें। छिपे ब्रांड की जाँच रजिस्टर करने वाले के चुने हर हिस्से के skeleton में ब्रांड का नाम खोजती है।

स्कोर और संकेत उसी heuristics इंजन से आते हैं जो URL सेफ़्टी चेकर इस्तेमाल करता है (वज़न: उच्च 35, मध्यम 20, कम 10; "संदिग्ध" 20 से, "ख़तरनाक दिखता है" 55 से)। एनालाइज़र की अपनी अतिरिक्त जाँचें — छिपा ब्रांड और अपेक्षित डोमेन से तुलना — स्कोर के साथ दिखाई जाती हैं और उसे बदलती नहीं।

सीमाएँ और कार्यप्रणाली

सिर्फ़ एड्रेस का विश्लेषण होता है; पेज कभी नहीं खुलता, इसलिए साधारण दिखने वाले या हैक हुए डोमेन पर बना फ़िशिंग पेज यहाँ कुछ नहीं दिखाता।

ब्रांड जाँच सबसे ज़्यादा नकल किए जाने वाले वैश्विक ब्रांड और सऊदी व भारतीय बैंकों और पोर्टलों की सोची-समझी सूची तक है; किसी दूसरी संस्था के लिए अपेक्षित-डोमेन तुलना इस्तेमाल करें।

मिलते-जुलते अक्षरों का मिलान आम सिरिलिक, ग्रीक, आर्मेनियाई और लैटिन-वेरिएंट confusables और ASCII चालों को कवर करता है, UTS #39 की हर confusable जोड़ी को नहीं।

रजिस्टर्ड डोमेन का अनुमान बिल्ट-इन सफ़िक्स सूची से है, पूरी Public Suffix List से नहीं।

सुरक्षा और गोपनीयता

यह टूल पूरी तरह आपके ब्राउज़र में चलता है। लिंक और अपेक्षित डोमेन का विश्लेषण आपके डिवाइस पर होता है और वे न Mutqan सर्वर को भेजे जाते हैं न किसी दूसरी सेवा को; कुछ भी स्टोर नहीं होता।

संदर्भ

UTS #39: Unicode Security MechanismsUnicode Consortiumconfusable अक्षरों और उस "skeleton" को परिभाषित करता है जिससे पता चलता है कि दो स्ट्रिंग एक जैसी दिखती हैं, साथ ही homograph पहचान के पीछे की mixed-script जाँचें।
Internationalized Domain Names (IDN) in Google ChromeThe Chromium Projectsवे नियम जिनसे Chrome तय करता है कि अंतरराष्ट्रीय डोमेन यूनिकोड में दिखाए या नक़ली दिखने वाले नामों को रोकने के लिए xn-- रूप में।
RFC 5891: Internationalized Domain Names in Applications (IDNA): ProtocolIETF · 2010किसी भी लिपि में लिखे डोमेन को उसके ASCII (xn--) रूप में और वापस कैसे बदला जाता है — वही रूप जो DNS और ब्राउज़र असल में इस्तेमाल करते हैं।