Cómo funciona
De la señal del certificado a la evidencia.
La transparencia pública de certificados hace que un sitio falso suela dejar rastro antes de que alguien lo visite. Octopus Shield lee ese rastro, lo explica y lo mantiene revisable.
Por qué los certificados van primero.
Casi toda página de phishing se sirve por HTTPS, y casi todo certificado HTTPS se publica en registros públicos de Certificate Transparency. Esa publicación ocurre a menudo antes de que la página tenga tráfico alguno. Leer esos registros es la señal honesta más temprana disponible sin tocar la red de nadie.
Descubrir
Los registros de Certificate Transparency, crt.sh y Censys se leen de forma continua. El conjunto de registros se refresca solo, de modo que un registro congelado o retirado no detiene la recogida en silencio.
Normalizar
Los nombres se reducen a una forma comparable: homógrafos, sustituciones leetspeak, punycode y dominios internacionalizados se resuelven antes de comparar nada.
Puntuar
Cada candidato recibe una puntuación previa a partir de la distancia textual, los patrones de sustitución, la posición de palabras clave y la novedad del certificado. Las señales que contribuyen quedan unidas al registro.
Observar
Opcional y desactivado por defecto. Si se activa, una página copiada puede informar una observación anónima y no verificada, incluido si el visitante parecía automatizado o humano. No interviene ninguna identidad.
Evidenciar
Fuente, marca de tiempo, referencia del certificado y las señales detrás de la puntuación se mantienen juntas, para que un hallazgo pueda revisarse, rebatirse o entregarse a un registrador.
Dónde termina este enfoque.
Una descripción honesta del método incluye lo que el método no puede ver.
- Un sitio falso servido sin HTTPS no deja rastro de certificado.
- Un certificado emitido para un nombre que no se parece a la marca no se marcará por similitud.
- La cobertura entre todos los emisores y registros no se ha medido, por lo que no se publica ninguna cifra de cobertura.
- El tiempo medio de detección no se mide actualmente, por lo que no se publica ninguna cifra de latencia.