Portada
mis comunidades
otras secciones
#6:
Los registradores y las autoridades de certificación, esos que se suponen que controlan a quien y como se dan los dominios y los certificados para esos dominios deberían ser responsables de cosas así, pero bueno, todos sabemos que pasan olímpicamente de las comprobaciones y están solo por cobrar cifras desorbitadas por un proceso automático ridículo que no les comporta ningún tipo de responsabilidad equiparable al nivel de daño que puede hacer la falta de control, todo ganancias.
#1:
Más información y como prevenirlo en Firefox https://www.wordfence.com/blog/2017/04/chrome-firefox-unicode-phishing/
#8:
#7 Efectivamente, esto no es un problema que se haya detectado de la noche a la mañana. Esto se ha implementado en los navegadores con la certeza de que se usaría en ataques de phising.
Para desactivarlo en Firefox hay que entrar en about:config y cambiar el valor de network.IDN_show_punycode a true.
Para desactivarlo en Firefox hay que entrar en about:config y cambiar el valor de network.IDN_show_punycode a true.
#7:
¿Y por qué era necesario meter todo el unicode en las URLs? Parece que pedían a gritos que pasara esto
Comentarios
Más información y como prevenirlo en Firefox https://www.wordfence.com/blog/2017/04/chrome-firefox-unicode-phishing/
#1 Instalando Internet Explorer
#2 seguro que no lo tenias ya por ahí?
#20 Tengo 3 pc's, 2 W7 y un Lubuntu, así que tengo de tó
#2 Instala Edge. Es la polla con cebolla.
Bueno, yo lo tengo y lo uso de higo a brevas. Pero es rápido y cero proble,as
#22 Lo he probado, pero los plug-ins de Chrome me tienen cautivo
#22 Pues no está afectado por este bug, yo suelo usarlo para ponerme video, ya sea via netflix u "otros Sitios" y me va bastante bien. ^_^
#2 Acabo de probar en IE con las recomendaciones de:
https://www.wordfence.com/blog/2017/04/chrome-firefox-unicode-phishing/
Y me sale el mismo error, o mejor dicho, en la barra leo epic.com y no https://www.xn--e1awd7f.com/
#2 Fuera coñas, IE no está afectado ni tampoco Edge: Other browsers, such as Edge, Internet Explorer, Safari, Vivaldi, and Brave, did not render the page using Unicode characters and displayed the Punycode URL
#1 Cuando retuiteaste esto me dejaste acojonado porque no hay quien diferencie el bueno del malo
#1 Gracias mezvan el cambio en Firefox es instantáneo al cambiar la opción. Bastante curioso pasas de ver www.epic.com (falsa) a la verdadera web.
Por cierto muy peligroso el ataque se visualizan de manera idéntica las webs hasta que no modificas la opción.
Salu2
Los registradores y las autoridades de certificación, esos que se suponen que controlan a quien y como se dan los dominios y los certificados para esos dominios deberían ser responsables de cosas así, pero bueno, todos sabemos que pasan olímpicamente de las comprobaciones y están solo por cobrar cifras desorbitadas por un proceso automático ridículo que no les comporta ningún tipo de responsabilidad equiparable al nivel de daño que puede hacer la falta de control, todo ganancias.
#6 Dichas entidades sirven para certificar que tu dominio es el que dice ser. De hecho, con Letsencrypt el proceso para conseguir el certificado es automatizable y gratuito. Ellos están certificando que tu dominio es xxxx.com aunque esas xxxx no sean equis y resulten ser el caracter unicode de vete tú a saber qué idioma.
#6: Ya de dijo en su momento, que aceptar caracteres Unicode en las URLs sería un gran peligro.
A veces me pregunto si los que toman ciertas decisiones son parte de quienes se aprovechan de las consecuencias.
#11 El problema no es Unicode, el problema es permitir combinar caracteres de sistemas de escrituras diferentes. ¿Qué sentido tiene combinar caracteres latinos y cirílicos en un mismo nombre? Ninguno.
#19 No necesariamente, yo puedo en este comentario hacer referencia a alguna expresión china o de otro idioma. De hecho creo que el fallo de los navegadores es que normalmente detectan que se mezclan caracteres de este tipo pero en este caso no hay "mezcla" todos excepto en "www" y el ".com" son de ese tipo.
Eso sí, en este contexto quizás más que combinarlos es que no tiene sentido para mi. No me aporta nada tener unicode en la URL por lo que abogaría por tener una opción que se muestre su codificación. Si alguien tiene una página web con caracteres chinos... me da igual, no voy a entenderlos, mejor tener su codificación y no mostrar los caracteres.
PS: por lo visto la hay #8. Sinceramente creo que es una opción que debería venir por defecto.
#40 Tú en un documento puedes combinar todos los idiomas y caracteres que quieras, yo lo que digo es combinarlos en un dominio.
Y yo le veo todo el sentido del mundo a tener Unicode en un dominio. Creo que el único idioma que se puede escribir completamente en ASCII es el inglés. ¿Por qué el resto de idiomas del planeta, entre los cuales está el nuestro, no pueden usar sus caracteres en un dominio?
#44 Interpreté otra cosa, eso era lo que ya detectaban los navegadores que se mezclaran, aún así no puedo hablar por otros idiomas que quizás quieran requieran mezclarlos al menos en nuestro caso me parece totalmente innecesario y estoy de acuerdo. Ya hice lo que decía otro comentario y lo desactivé, a mi no me aporta nada. Además, entiendo que eso no evita que tu puedas "escribirlo" pero al llegar a esa página sale sin interpretar.
#6 Aunque estoy de acuerdo, eso se puede prestar para que haya una "policía" privada que determine que a lo mejor tu blog se parece demasiado a otro. Quizás aquí es muy claro, pero en cuanto empiezas a abordar ese tema hay otros casos en el que no es tan claro.
¿Y por qué era necesario meter todo el unicode en las URLs? Parece que pedían a gritos que pasara esto
#7 Efectivamente, esto no es un problema que se haya detectado de la noche a la mañana. Esto se ha implementado en los navegadores con la certeza de que se usaría en ataques de phising.
Para desactivarlo en Firefox hay que entrar en about:config y cambiar el valor de network.IDN_show_punycode a true.
#8: Más que "punycode" es "pwnycode", o PwnieCode, porque merecen ese premio.
#8 Probablemente mañana o en unos días Firefox lanzará una actualización sólo para activar eso. Y Chrome y los demás.
Y los que compraron dominios unicode (legitimamente) se fastidiarán.
Sabía de esto con caracteres "similares" pero no que fueran idénticos. Puedo entender que sea un problema para quienes usan esos caracteres pero quizás en otros idiomas directamente deberían estar desabilitado y no ser interpretado como unicode o ser resaltado de alguna manera.
#5 "Unicode es un estándar de codificación de caracteres diseñado para facilitar el tratamiento informático, transmisión y visualización de textos de múltiples lenguajes y disciplinas técnicas, además de textos clásicos de lenguas muertas. El término Unicode proviene de los tres objetivos perseguidos: universalidad, uniformidad y unicidad.1"
https://es.wikipedia.org/wiki/Unicode
Eso rompería la filosofía de unicode
#34 Yo no hablo de cambiar nada de eso, hablo de se resalten de alguna forma o de que directamente se muestre su código. A mi no me parece que sea mucho más universal mostrarme un kanji que no entiendo que un conjunto de caracteres del tipo uCA0CA0, al final solo cambia como se muestra, no su "unicidad". Al menos podría ser una opción, y diría que la solución que proponen es algo similar que, si mal no recuerdo, era detectar los caracteres que pueden suplantar a otras letras y avisarlo.
#35 El resaltarlo no es problema de unicode, sino del software que lo utiliza. Facilmente se puede implementar una solución que cuando se usen caracteres que no corresponden al idioma los muestre de otra manera. Tiene la misma complejidad que lo que hace firefox de poder verlo correctamente. Pero eso ha de hacerse en la implementacion. Unicode tiene unos objetivos que cumple a la perfección. Vamos que la opción, al menos en firefox, vale. Quizás lo que haya que hacer es que venga activada por defecto.
#36 Me da la impresión de que ha habido un mal entendido, eso no lo discuto, obviamente hablo de cómo se presente en el contexto de una URL. No hablaba de cambiar esos caracteres en unicode para que se distingan, por lo que estoy de acuerdo con que cumple su objetivo.
#37 me retracto entonces, perdona.
La putada son los dominios con ñ
#9 yo tengo un dominio con ñ de 2 letras, a mi me ha venido de pm para conectarme a mis maquinas
#12 y yo tengo otro. Y es una putada el correo.
Lo mejor para evitar esto es no pulsar en las urls que vienen en los correos. Si se nos notifica de algo es mucho mejor introducir nosotros la URL del banco en el navegador
#16 si es una url larga basta con copiarla y luego reescribir a mano antes del .com .es etc
Así te certificas que estas yendo al dominio que quieres ir.
Pues con mi firefox no conseguí auto-atacarme:
#14 Tienes que poner dos guiones seguidos tras xn, la URL correcta es
xn--80ak6aa92e.com
#25 perfecto, gracias
#25 #14 Es que en el artículo sale solo con un guión ("-").
Y si es indetectable, ¿cómo lo han detectado?
Jo-der! Este tío acaba de inventar la rueda! Pero es que nos hemos vuelto imbéciles? Esto viene siendo así desde que aparecieron los TLD internacionales y con ellos el soporte de utf-8 en los nombres de dominio (también llamado punycode)....
#31 De 2001 que es el primer "paper" relativo a este tipo de "ataques": https://en.wikipedia.org/wiki/IDN_homograph_attack
https://www.аррӏе.com/ (es el ejemplo que ponen en el artículo)
#24 Con Edge se muestra la URL real https://www.xn--80ak6aa92e.com/
Con Firefox si se cae en el engaño
#30 Las dos son reales, son tan reales como tu quieras que lo sean, Neo.
Existen formas de detectar dominios de phising parecidos al tuyo. Por ejemplo la gente de opendns tiene este api https://investigate-api.readme.io/