Fonctionnement
Du signal de certificat à la preuve.
Grâce à la transparence publique des certificats, un faux site laisse généralement une trace avant que quiconque ne le visite. Octopus Shield lit cette trace, l'explique et la garde vérifiable.
Pourquoi les certificats d'abord.
Presque toute page de hameçonnage est servie en HTTPS, et presque tout certificat HTTPS est publié dans des journaux Certificate Transparency publics. Cette publication précède souvent tout trafic sur la page. Lire ces journaux constitue le signal honnête le plus précoce disponible sans toucher au réseau de qui que ce soit.
Découvrir
Les journaux Certificate Transparency, crt.sh et Censys sont lus en continu. L'ensemble des journaux se rafraîchit de lui-même : un journal figé ou retiré n'interrompt pas silencieusement la collecte.
Normaliser
Les noms sont ramenés à une forme comparable : homographes, substitutions leetspeak, punycode et noms de domaine internationalisés sont résolus avant toute comparaison.
Scorer
Chaque candidat reçoit un pré-score issu de la distance textuelle, des motifs de substitution, de la position des mots-clés et de la nouveauté du certificat. Les signaux contributifs restent attachés à l'enregistrement.
Observer
Optionnel, désactivé par défaut. S'il est activé, une page copiée peut remonter une observation anonyme et non vérifiée — y compris si le visiteur semblait automatisé ou humain. Aucune identité n'intervient.
Prouver
Source, horodatage, référence du certificat et signaux derrière le score restent groupés : un constat peut être examiné, contesté ou transmis à un registraire.
Où cette approche s'arrête.
Un exposé de méthode honnête indique aussi ce que la méthode ne peut pas voir.
- Un faux site servi sans HTTPS ne laisse aucune trace de certificat.
- Un certificat émis pour un nom qui ne ressemble pas à la marque ne sera pas signalé par similarité.
- La couverture de l'ensemble des émetteurs et journaux n'a pas été mesurée : aucun chiffre de couverture n'est publié.
- Le délai moyen de détection n'est pas mesuré actuellement : aucune valeur de latence n'est publiée.