[[437434]]

本文轉(zhuǎn)載自微信公眾號(hào)「祺印說(shuō)信安」，作者何威風(fēng) 。轉(zhuǎn)載本文請(qǐng)聯(lián)系祺印說(shuō)信安公眾號(hào)。

 什么是國(guó)際化域名?

為了減少圍繞不同語(yǔ)言的混淆，網(wǎng)絡(luò)瀏覽器中有一個(gè)域名標(biāo)準(zhǔn)。域名包含在網(wǎng)站的 URL(或網(wǎng)址)中。該標(biāo)準(zhǔn)基于羅馬字母(英語(yǔ)使用的字母)，計(jì)算機(jī)將各種字母轉(zhuǎn)換為等價(jià)的數(shù)字。此代碼稱為 ASCII(美國(guó)信息交換標(biāo)準(zhǔn)代碼)。但是，其他語(yǔ)言包含無(wú)法轉(zhuǎn)換為此代碼的字符，這就是引入國(guó)際化域名的原因。

為了彌補(bǔ)包含特殊字符(如西班牙語(yǔ)、法語(yǔ)或德語(yǔ))或完全依賴字符表示(如亞洲或阿拉伯語(yǔ)言)的語(yǔ)言，必須開(kāi)發(fā)一個(gè)新系統(tǒng)。在這個(gè)新系統(tǒng)中，基本 URL(通常是主頁(yè)的地址)被解析并轉(zhuǎn)換為與 ASCII 兼容的格式。生成的 URL(包含字符串“xn--”以及字母和數(shù)字的組合)將出現(xiàn)在瀏覽器的狀態(tài)欄中。在許多瀏覽器的較新版本中，它也會(huì)出現(xiàn)在地址欄中。

有哪些安全問(wèn)題?

攻擊者可能能夠利用國(guó)際化域名發(fā)起網(wǎng)絡(luò)釣魚(yú)攻擊(有關(guān)更多信息，請(qǐng)參閱避免社會(huì)工程和網(wǎng)絡(luò)釣魚(yú)攻擊)。由于某些字符可能看起來(lái)相同但具有不同的 ASCII 代碼(例如，西里爾字母“a”和拉丁字母“a”)，因此攻擊者可能能夠“欺騙”網(wǎng)頁(yè) URL。我們可能會(huì)被定向到一個(gè)看起來(lái)與真實(shí)站點(diǎn)相同的惡意站點(diǎn)，而不是訪問(wèn)合法站點(diǎn)。如果我們?cè)趷阂庹军c(diǎn)上提交個(gè)人或財(cái)務(wù)信息，攻擊者可能會(huì)收集該信息，然后使用和/或出售這些信息。

如何保護(hù)自己?

• 鍵入 URL 而不是跟隨鏈接- 在瀏覽器中鍵入 URL 而不是單擊網(wǎng)頁(yè)或電子郵件消息中的鏈接將最大限度地降低我們的風(fēng)險(xiǎn)。通過(guò)這樣做，我們更有可能訪問(wèn)合法站點(diǎn)而不是替代外觀相似字符的惡意站點(diǎn)。
• 使我們的瀏覽器保持最新- 較舊版本的瀏覽器使攻擊者更容易欺騙 URL，但大多數(shù)較新的瀏覽器都包含某些保護(hù)措施。大多數(shù)瀏覽器現(xiàn)在都顯示帶有“xn--”字符串的轉(zhuǎn)換后的 URL，而不是顯示我們“認(rèn)為”正在訪問(wèn)的 URL。
• 檢查瀏覽器的狀態(tài)欄- 如果將鼠標(biāo)移到網(wǎng)頁(yè)上的鏈接上，瀏覽器的狀態(tài)欄通常會(huì)顯示該鏈接引用的 URL。如果我們看到具有意外域名的 URL(例如上面提到的帶有“xn--”字符串的 URL)，則我們很可能遇到了國(guó)際化域名。如果我們不希望有一個(gè)國(guó)際化的域名，或者知道合法站點(diǎn)不需要一個(gè)，我們可能需要重新考慮訪問(wèn)該站點(diǎn)。Mozilla 和 Firefox 等瀏覽器在其安全設(shè)置中包含一個(gè)關(guān)于是否允許修改狀態(tài)欄文本的選項(xiàng)。為防止攻擊者利用 JavaScript 使我們看起來(lái)是在合法站點(diǎn)上，我們可能需要確保未啟用此選項(xiàng)。

參考：CISA官網(wǎng)

作者：MindiMcDowell 和 Will Dormann 和 Jason McCormick