Google déraille en commercialisant les noms de domaine en .zip
Depuis quelques années, les extensions de noms de domaine se sont largement diversifiées : on peut atterrir sur un site qui se termine en .app, .dev, .tech, .io ou bien encore en .xyz. Google commercialise depuis peu deux extensions supplémentaires qui font débat, le .zip et le .mov.
De nombreux spécialistes en sécurité relèvent que ces nouveaux domaines de premier niveau peuvent servir à mener des campagnes d'hameçonnage. Le .zip est l'extension habituellement associée aux dossiers compressés. Or, un malandrin qui prendrait possession du site photos.zip, par exemple, pourrait mener une arnaque efficace : puisque certaines applications, comme Twitter, convertissent automatiquement les URL en liens cliquables, l'escroc n'aurait même pas besoin d'envoyer le lien qui conduit au site malveillant.
D'autres stratagèmes plus ou moins élaborés pourraient être mis en œuvre pour utiliser l'extension .zip de manière pernicieuse. Le chercheur en sécurité Bobby Rauch souligne par exemple qu'il est possible de camoufler un lien malfaisant dans une URL en .zip a priori inoffensive. Prenez ces deux URL :
- https://github.com/kubernetes/kubernetes/archive/refs/tags/v1.27.1.zip
- https://github.com∕kubernetes∕kubernetes∕archive∕refs∕tags∕@v1271.zip
Alors que la première mène bien au téléchargement du dossier compressé attendu, la seconde mène en fait vers un site, https://v1271.zip, qui pourrait être utilisé à de mauvaises fins. Google se défend en répondant qu'il surveille l'utilisation qui est faite des noms de domaine qu'il vend et que son service Google Safe Browsing intégré à de nombreux navigateurs protège contre les sites web malintentionnés.
Le géant du web a véritablement intérêt à contrôler de très près les sites en .zip, car des détournements ont déjà eu lieu. Les adresses microsoft-office.zip et officeupdate.zip ont brièvement conduit vers des sites malveillants avant que Google ne les supprime. D'après une analyse du SANS Institute publiée hier, plus de 2 750 sites en .zip ont été enregistrés, parmi lesquels deux destinations potentiellement malveillantes (l'une d'entre elles a depuis été supprimée).
Google 🤦🏽♂️
Mouais, il vaut peut-être mieux que ce soit Google qu'une autre entreprise bien moins regardante sur la sécurité...
@bibi81
Disons que Google se prend un peu pour le maître du web.
Et proposer ces extensions cn est de la pure connerie.
Désolé, mais faut vraiment être idiot pour penser que commercialiser ce nom de domaine soit une bonne idée. Surtout pour profiter à qui ? WinZip qui pourront changer leur nom de domaine en win.zip, et 7.zip pour 7zip ? Sérieusement…
Google déraille oui mais en général c’est les meilleurs développeurs qui y travaille, il n’y à qu’a voir le nombre de faille trouvés par eux sur IOS ou MacOS notamment encore hier ! 👿
@R-APPLE-R
En effet, l'inverse n'étant d'ailleurs jamais vrai... Les devs d'Apple ne trouvent - ou du moins ne signalent - (ni cherchent je pense) jamais de faille chez la concurrence...
@mat16963
Oui surtout Clément Langlais ( je ne me rappelle plus bien du nom ) à chaque failles majeures il est nommé ! C’est lui qu’il faut embaucher à prix d’or 😈
@ R-APPLE-R
> il n’y à qu’a voir le nombre de faille trouvés par eux sur IOS ou MacOS notamment encore hier !
Pourriez-vous étayer vos allégations ?
@marc_os
39 faille dont 3 activement exploiter dans iOS 16.5 😏 : https://9to5mac.com/2023/05/18/ios-16-5-patches-39-security-flaws-3-actively-exploited/
https://support.apple.com/fr-fr/HT213757 : CVE-2023-32409: Clément Lecigne of Google's Threat Analysis Group and Donncha Ó Cearbhaill of Amnesty International’s Security Lab
À chaque fois une faille critique et activement exploitée et découverte par clément Lecigne de Google.
Regardez par vous même toutes les versions antérieures 😈
Quelle idée à la con… 😒🙄
Ici, je ne pense pas que ce soit Google le problème. Je suppose que d’autres entreprises pourraient vendre des noms de domaines avec ces extensions problématiques, donc autant qu’ils soient vendus par une entreprise qui a les moyens (et l’obligation pour protéger sa réputation) de faire des vérifications de sécurité (en plus d’empocher des sous-sous, ne nous voilons pas la face).
De mon point de vue, c’est plutôt l’ICANN qui a déconné en acceptant que de telles extensions voient le jour…
@dodomu
oui.
mais il y a pression que l'ICANN créé de nouvelles valorisations des domaines racines, même si ce n'est pas sa mission.
@dodomu
Ne seraient-ce pas les malandrins le vrai problème ?
😉
@scanmb
Certes, mais je ne parierai pas qu'il soit facile de s’attaquer à ce problème là...
Partant de là, actons que des acteurs mal intentionnés existent et exploiteront toutes failles existantes et à venir, tachons donc de ne pas leurs faciliter la vie en en créant de nouvelles consciemment... 😉
Bien ouej google.
On sait pourquoi ils commercialisent du .zip en fait?
@ Paquito06
> On sait pourquoi ils commercialisent du .zip
Comme pour le .mov j'imagine : Pour se faire encore plus de thunes.
Le mot clé c'est : "diversification". Comme les actionnaires ne sont jamais rassasiés, si le cœur de métier n'offre plus de croissance, alors il faut faire également autre chose. C'est ce qu'ils appellent "diversification" en général. Et c'est valable dans tous les domaines.
Ceci dit, à part ces généralités de l'économique capitaliste, les dirigeants de Google ont peut-être aussi des plans cachés, qui sait. Que peuvent-ils donc bien comploter dans leur coin ? 🤪
Quel intérêt (a part vénal) de commercialiser ces extensions? Sincèrement?
> Google se défend en répondant [...] que son service Google Safe Browsing intégré à de nombreux navigateurs protège contre les sites web malintentionnés
Donc pour être protégé des sites .zip vendus par Google, il faut utiliser... Google Safe Browsing.
Donc pas moyen d'échapper à Google... où alors il faudra éviter les sites en .zip et .mov comme la peste.
Il y a quelques C… chez Google 🙁
L’exemple avec les deux liens GitHub fonctionne avec n’importe quel lien … pas seulement les sites avec l’extension .zip. Derrière une balise HTML vous pouvez mettre n’importe quoi. Une personne qui tombe dans le piège du site v1271.zip tombera aussi dans le piège d’un v1271.com …
Le contrôle du web par Google n’est-il pas un problème? Ça leur donne des leviers par rapport à leurs concurrents, d’autant plus qu’ils ont leur propre navigateur et qu’ils peuvent décider de se réserver certains outils de sécurité. Pourquoi l’UE et autres ne s’y attaquent pas ?
Gogole.zip by Alphabet
Et pourquoi personne ne s’offusque des domaines .com qui sont aussi une extension standard de Windows ? Ou alors le .ai de l’Anguilla qui peut faire croire à un fichier Illustrator ?
Surtout que si je ne m’abuse les navigateurs alertent quand on un clique sur un lien avec un @.