ホモグラフドメインを検出してみた/detect homograph domain

https://gmo.connpass.com/event/304045/
コードとカクテル：GMOペパボのAIナイト - LT大忘年会 -
https://developers.gmo.jp/41833/

1. ホモグラフドメインを検出してみた 久米拓馬 / GMO PEPABO inc. 2023.12.14 コードとカクテル（LT）
2. 2 自己紹介 ホスティング事業部　SREチーム　シニアエンジニア 久米拓馬 @takumakume • 福岡在住 • 釣り • Kubernetes / Cloudnative
3. ＃今年買ってよかったもの
 ダイニチコーヒー豆焙煎機 MR-F60A 

4. はじめに ムームードメインというドメイン取得サービスを提供している
5. はじめに ホスティングサービスにて独自ドメインでWebサイトを公開
6. はじめに • ホモグリフ（homoglyph） ◦ 同一または非常によく似た形をした文字 ◦ 例えば「O（オー）」と「０（ゼロ）」 • ホモグラフドメイン（homograph domain） ◦ ホモグリフを利用して特定の組織等になりすましたドメイン ◦ 例えば「AMAZON.COM」と「AMAZ0N.COM」 ホモグラフドメイン
7. はじめに • ホモフラフドメインを使ってフィッシングサイトが作られてしまう • 人の経験と目で怪しさを検知して調査している • 不正なサイトを放置しているホスティング業者となり信用が落ちる 不正を目的としたドメインによる課題
8. はじめに • ホモグラフドメインを取得すること単体で善悪を判断するものではない • 自社のプロダクトのホモグラフドメインを悪用される前に取ることがあるだろう • 人の目でホモグラフドメインをフィルタリングするのは大変であるという課題に対するアプ ローチにフォーカス ホモグラフドメインに対する考え方について
9. 実装
10. 実装 • レーベンシュタイン距離 • ハミング距離 要素技術
11. 実装 • Aの文字列をBに変形するのに必要な手順の最小回数 レーベンシュタイン距離 A B 距離 micr0s0ft.com microsoft.com 2 amason.com amazon.com 1
12. 実装 レーベンシュタイン距離 A B 距離 割合 micr0s0ft.com microsoft.com 2 84.62% amason.com amazon.com 1 90.00% • 距離だとどのくらい似ているか分かりにくいので、最大文字数で割る
13. • 前者は大文字にすると見た目が似ている • 後者は似ているが、別物であると分かる • しかし、割合としてはほぼ同じ 実装 レーベンシュタイン距離 A B 距離 割合 M1CR0Z0FT MICROSOFT 4 55.56% melon-soft microsoft 5 50.00%
14. • 例えば日本語ドメインを考えてみる • 文字列自体には全く関連はないが、見た目が似ている 実装 レーベンシュタイン距離 A B 距離 割合 曰木ー 日本一 3 0%
15. • 同じ文字数の二つの文字列を比較したとき、同じ位置にある異なる文字の個数 • ドメインを比較するために直接用いるのは難しい • 画像のハッシュを比較するときに用いられることがある 実装 ハミング距離 A B 距離 1001001 1011101 2
16. • ドメイン文字列全体を１枚の画像に変換 • 画像のハッシュを生成してハミング距離で比較してみる • ハッシュ関数にはPerceptual Hash（パーセプチュアル ハッシュ）を使用 実装 ハミング距離 曰木ー 日本一 bec1986b63b21c3c bec1906b69b31c3c
17. • ドメイン文字列を画像にして比較してみる 実装 ハミング距離 A B ハミング距離 レーベンシュタイン 6（とても近い） 3 (0%) 32 （遠い） 4 (0%) 8（近い） 4 (55.56%) bec1986b63b21c3c bec1906b69b31c3c af93c0691f869b62 f887877868d02f87 bfc1c0372f386ac1 bfc2c03d2f3a38c1 ハミング距離が10以下だと似ていると判断できそう
18. • レーベンシュタイン距離 ◦ mattn/go-lsd • 画像ハッシュ生成、ハミング距離 ◦ corona10/goimagehash • 文字列の画像生成 ◦ fogleman/gg • 文字のフォント ◦ 日本語：IPAゴシック (https://moji.or.jp/ipafont/ipa00303/) ◦ その他：Monaco 実装 Golangによる実装
19. 実装 Golangによる実装 https://github.com/takumakume/homein
20. • レーベンシュタイン距離を用いてドメインの類似度を出すことができ る。 • ドメインの文字列を一度画像に変換してハッシュを生成し、ハミング 距離を用いてレーベンシュタイン距離では検知できないパターンに 対応できる。 • Golangの既存ライブラリを組み合わせて簡単に実装できる。 まとめ 実用化に向けて試行錯誤していきます！
21. • Microsoft takes on homograph domains ◦ https://globalbydesign.com/2021/08/18/microsoft-takes-on-homograph-domains/ • ホモグラフドメインの 検知に関する研究 ◦ https://meetings.jpaawg.org/wp-content/uploads/2022/11/B2-5_kojima.pdf 参照資料
22. 22 Thank You! Thank You! GMOペパボに興味がある方は @takumakume までご連絡ください！ カジュアル面談でもお待ちしております。