LogoTrust: um conjunto de dados validado de marcas, nomes de domínio e logótipos

Resumo

• Compilámos uma lista à escala global de nomes de domínio registados a partir de múltiplas fontes, incluindo ficheiros de zona do ICANN CZDS, DNS passivo, registos de Certificate Transparency e alista Tranco.
• Realizámos uma análise DNS à escala da Internet para localizar registos TXT BIMI predefinidos (default._bimi.<domain>).
• Seguimos as asserções BIMI para transferir tanto os logótipos SVG como os Mark Certificates (MCs) referenciados em cada registo.
• Validámos os Mark Certificates recolhidos e descartámos os logótipos com certificados inválidos para evitar tentativas de impersonação.

O que é o BIMI?

Brand Indicators for Message Identification (BIMI) é um mecanismo de segurança recente, introduzido em 2021. Amplia a norma de autenticação de email DMARC, dando às marcas uma forma de apresentar elementos visuais como um logótipo enquanto indicador de confiança diretamente na caixa de correio.

A Figura 1 abaixo mostra um exemplo de um email da PayPal. Na secção do remetente (no topo), e imediatamente junto ao email do remetente, é apresentado o logótipo da PayPal juntamente com um visto azul como indicador de autenticidade. Isto foi possível porque três condições se cumpriam: (i) o cliente de email (Gmail) suporta BIMI; (ii) o nome de domínio que aparece no cabeçalho "RFC5322.From" do email (paypal.fr) tem DMARC configurado e participa no BIMI; e (iii) o domínio fornece um par logótipo-certificado válido.

Em vez de depender apenas de pistas textuais de autenticação relacionadas com o DMARC, o BIMI permite que as organizações com uma aplicação forte do DMARC (especificamente, uma política de quarentena ou rejeição) apresentem o seu logótipo verificado junto das mensagens autenticadas em clientes de email suportados. Na prática, se (e como) o logótipo ou o visto é apresentado depende, em última análise, das políticas do fornecedor da caixa de correio recetora. Por exemplo, o Gmail só apresenta o visto azul para um tipo específico de Verified Mark Certificates ou VMCs (mais detalhes adiante).

Nos bastidores, o BIMI acrescenta duas camadas importantes de verificação. Primeiro, os proprietários dos domínios têm de submeter o seu logótipo a uma Autoridade de Certificação (designada Mark Verifying Authority ou MVA), que emite um tipo especial de certificados X.509 designados Mark Certificates (MCs)e que ligam criptograficamente um logótipo a um domínio, para evitar falsificação. Segundo, o domínio publica um registo TXT no DNS que aponta tanto para o logótipo como para o certificado. Os logótipos BIMI também estão sujeitos a restrições (nomeadamente, um perfil SVG específico e limites de tamanho), para que sejam apresentados de forma consistente nos vários clientes de email.

Por exemplo, a consulta do registo TXT DNS de default._bimi.amazon.com devolve:

Trata-se de um conjunto compacto de instruções que indica aos clientes de email exatamente onde encontrar o logótipo e o certificado que comprova o direito de utilizar o logótipo. Com estes componentes a funcionar em conjunto, o BIMI transforma a identidade de marca num sinal de segurança visual, tornando os emails não só mais reconhecíveis como mais fidedignos.

No exemplo anterior da amazon.com, o registo TXT BIMI tem três campos: a etiqueta v, que indica a versão do BIMI; a etiqueta l, que contém uma URL que aponta para a imagem do logótipo; e, por fim, a etiqueta a, que especifica uma URL onde o Mark Certificate pode ser obtido. A Figura 2 abaixo ilustra os principais passos de verificação que um cliente de email executa. Estes incluem autenticar um email com DMARC, descobrir qual o indicador visual que o proprietário do domínio pretende apresentar e garantir que está autorizado a apresentá-lo graças ao certificado.

Existem dois tipos de Mark Certificates: os Verified Mark Certificates (VMCs), emitidos para marcas registadas e marcas governamentais (entidades governamentais oficiais), e os Common Mark Certificates (CMCs). Ao contrário dos VMCs, os CMCs não exigem que o logótipo esteja registado como marca, o que os torna mais acessíveis a um leque mais amplo de organizações. Estes podem ser Prior Use Marks, que reconhecem logótipos com uso comercial estabelecido mas não formalmente registados, e Modified Registered Marks, que são versões adaptadas de marcas registadas existentes para uma utilização mais ampla.

Porquê utilizar o BIMI?

Os conjuntos de dados de logótipos existentes assentam sobretudo em web scraping ou rotulagem manual, o que os torna propensos a ruído e erros. Em contrapartida, a abordagem BIMI liga logótipos a nomes de domínio através de certificados criptográficos emitidos por Mark Verifying Authorities de confiança — criando uma ligação auditável entre a identidade da marca, os nomes de domínio e os logótipos. Isto torna o conjunto de dados resultante particularmente fidedigno para aplicações em que os falsos positivos são críticos, como a deteção de phishing baseada em logótipos e a verificação de nomes de domínio. Também torna o conjunto de dados mais difícil de envenenar, porque o atacante não pode simplesmente carregar ou editar um logótipo online e vê-lo “aceite” sem um certificado válido que o ligue ao domínio.

Metodologia

No nosso artigo, começámos por combinar nomes de domínio de várias fontes complementares à escala da Internet (ficheiros de zona CZDS, DNS passivo, registos CT e Tranco) para suportar uma análise à escala da Internet em busca de registos BIMI. Em seguida, consultámos cada domínio para default._bimi.<domain> para recolher registos de asserção BIMI e transferir o logótipo SVG e o Mark Certificate referenciados. Executámos estas consultas à escala com o zdns, alargando esforços anteriores de medição do BIMI a uma análise global da população de domínios, em vez de nos concentrarmos apenas em listas de topo ou em pequenas amostras. Validámos então os MCs para filtrar impersonação e má configuração, agregámos nomes de organizações a partir dos nomes comuns dos certificados para construir mapeamentos marca - domínio - logótipo, e desduplicámos os logótipos com hashes SHA-256 (preferindo-os ao pHash devido a falsos positivos).

Principais conclusões

A Figura 3 abaixo ilustra alguns casos de impersonação em que nomes de domínio anunciavam registos TXT DNS BIMI com campos de logótipo (ou seja, a etiqueta l) contendo URLs que conduziam a logótipos de marcas como Apple, Microsoft, Meta e PayPal.

Os Verified Mark Certificates constituíam a maioria dos Mark Certificates válidos, cerca de 95,4%, enquanto os restantes 4,6% eram Common Mark Certificates. A maioria dos VMCs eram Registered Marks (2 682) e apenas 9 eram Government Marks. Os CMCs eram 18 Prior Use Marks e 12 Modified Registered Marks.

O gráfico abaixo (Figura 4) mostra a distribuição de logótipos e nomes de domínio das 30 marcas principais, ordenadas por número decrescente de domínios. A grande maioria das marcas (94,22%) utiliza um único logótipo BIMI, mesmo quando opera em vários domínios. Por exemplo, a IKEA utiliza um único logótipo em mais de 50 domínios. No geral, os resultados sugerem que, apesar da adoção ainda inicial do BIMI, a nossa metodologia alcança uma cobertura significativa de marcas e capta simultaneamente a pegada de domínios verificados de cada marca (por exemplo, a PayPal e a Rakuten abrangem cada uma mais de 30 domínios).

Impacto prático na deteção de phishing

A deteção de phishing baseada em logótipos funciona tipicamente em dois passos: (i) detetar e reconhecer um logótipo de marca num email ou página web, e (ii) verificar se o nome de domínio corresponde ao que seria esperado para essa marca. O segundo passo é crucial porque os atacantes podem facilmente reutilizar logótipos legítimos em páginas web que controlam.

Quando comparado com outros conjuntos de dados de logótipos de marcas, o nosso oferece as seguintes vantagens. Primeiro, a autenticidade da ligação entre a marca, os logótipos e os nomes de domínio é verificada por uma Mark Verifying Authority de confiança, ao contrário de bases de dados modificáveis publicamente (por exemplo, a Wikidata) que não têm processos de verificação rigorosos. Segundo, além dos logótipos, o nosso conjunto de dados fornece um conjunto de nomes de domínio fidedignos por marca, exatamente como especificado pelos proprietários das marcas no momento da emissão do certificado. Isto é particularmente útil quando as marcas operam muitos domínios legítimos (por exemplo, vários domínios de topo — TLDs): o mapeamento ajuda a evitar sinalizá-los como phishing apenas porque o domínio parece pouco familiar.

Considerações finais

O LogoTrust apresenta uma nova direção na construção de conjuntos de dados: em vez de depender apenas da curadoria humana ou de web scraping não controlado, recorre a um protocolo de autenticação (BIMI) e a autoridades de certificação para fornecer mapeamentos logótipo-domínio verificáveis. Não substitui (ainda) os conjuntos de dados de logótipos grandes e diversificados, mas preenche um nicho importante onde a proveniência e a autenticidade auditável são relevantes, em particular para a investigação e para ferramentas anti-phishing. À medida que a adoção do BIMI cresce, esta técnica tornar-se-á valiosa para conjuntos de dados de logótipos mais fidedignos e continuamente atualizados.