Anzeige

Entwarnung: Mozilla schaltet Umlaut-Domains nicht ab (Upd.)

Kommende Versionen von Mozilla und Firefox umgehen Phishing-Attacken

Das Mozilla-Team wird die Unterstützung der "International Domain Names" (IDN) entgegen ersten Plänen doch nicht in seinen Web-Browsern deaktivieren. Stattdessen hat man eine Möglichkeit gefunden, die durch Umlaut-Domains möglichen Phishing-Angriffe zu unterbinden. Dazu wird die IDN-Unterstützung in den kommenden Versionen von Firefox und Mozilla überarbeitet. Auch 8.0 Opera soll so erweitert werden, dass derartige Angriffe wirksam unterbunden werden.

Die bislang von den Phishing-Angriffen betroffenen Web-Browser haben die Unterstützung der "International Domain Names" (IDN) korrekt implementiert, allerdings gestattet dies Angreifern, eine URL zu fälschen und so Nutzer auf eine andere Domain zu locken, was in den meisten Fällen nicht auffällt. Die Mozilla-Entwickler haben sich nun entschieden, die IDN-Unterstützung zu beschneiden, um solche Angriffe unmöglich zu machen.

Anzeige

International Domain Names werden im so genannten Punycode angezeigt, um derartige Phishing-Angriffe auszuschließen. Das bedeutet, dass Domains mit Umlauten nicht mehr als solche im Browser, sondern eben in Punycode-Schreibung erscheinen. Statt der URL "bücher" wird dann die Adresse "xn--bcher-kva" angezeigt und auch der bekannte Phishing-Angriff mit einer gefälschten Paypal-URL ist dann nicht mehr möglich. Die gefälschte, mit einem kyrillischen "a" geschriebene URL paypal.com gleicht in vielen Fonts der URL, wenn sie nur mit lateinischen "a"s geschrieben wird. Der Punycode-Modus sorgt dann aber dafür, dass die tatsächliche URL "xn--pypal-4ve.com" hinter der gefälschten paypal-Adresse erscheint.

Die Umsetzung der International Domain Names (IDN) erlaubt einem Angreifer, Phishing-Attacken, URLs und auch Link-Angaben erfolgreich zu fälschen. Dadurch kann ein Opfer in den Glauben versetzt werden, Daten an eine vertrauenswürdige Instanz zu übermitteln und so etwa vertrauliche Daten in die Hände von Betrügern geben. Das Problem ist derzeit in allen Browsern enthalten, die IDN unterstützen, wozu Mozilla, Firefox, Camino, Safari, Opera, Omniweb und Konqueror gehören. Aber auch VeriSigns Umlaut-Domain-Erweiterung für den Internet Explorer weist das Problem auf. Der Internet Explorer selbst ist davon nicht betroffen, weil der Microsoft-Browser selbst bis heute keine IDN-Unterstützung besitzt.

Auch Opera überlegt nach Angaben von BetaNews.com derzeit, wie man die Phishing-Angriffe über IDN im Browser unmöglich machen kann. Entsprechende Verfahren sollen in einer kommenden Vorabversion von Opera 8.0 integriert werden. Nach wie vor sieht Opera vielmehr die Domain-Registrierungsstellen in der Pflicht. So müssten die Registrierungsstellen sicherstellen, dass entsprechende Domains überhaupt nicht registriert werden können. Das würde Phishing-Angriffe wirksam unterbinden, ohne dass die Browser-Nutzer Kompromisse eingehen müssen, wie etwa die Pläne der Mozilla-Entwickler zeigen.

Die überarbeitete IDN-Unterstützung soll in Firefox 1.0.1, Mozilla 1.7.6 und der nächsten Beta-Version von Mozilla 1.8 integriert werden. Nach den derzeitigen Plänen wird eine Einstellung im Browser gestatten, die Punycode-Ansicht wieder zu deaktivieren, um International Domain Names so zu erhalten, wie es bislang der Fall ist. Aber dies birgt weiterhin die Gefahr, Opfer eines Phishing-Angriffs zu werden.

Nachtrag vom 21. Februar 2005 um 12:25 Uhr:
Für den Mozilla-Browser Firefox arbeitet Mario Müller an einer Erweiterung, die einen anderen Weg geht, sich vor IDN-Phishing-Angriffen zu schützen. Sobald eine IDN in Firefox geöffnet wird, informiert ein Icon darüber und es erscheint ein Pop-up, das auf die dahinter steckende Gefahr hinweist und den Punycode zusätzlich zur IDN anzeigt. Derzeit befindet sich die Erweiterung "IDN Info" noch im Alpha-Stadium, so dass es beim Einsatz der Firefox-Erweiterung noch zu Fehlern kommen kann, warnt der Entwickler.


eye home zur Startseite
Mario Müller 23. Feb 2005

Genau das macht IDN Info. Mario

panzi 23. Feb 2005

das ist auch eine gute idee. würde das zusätzlich zu meiner ( http://forum.golem.de/read...

panzi 23. Feb 2005

Es wäre schon geholfen wenn bei jeder punny code ulr rechts in der url bar ein...

Calain80 21. Feb 2005

Genau. www.das-örtliche.de ist nicht sinnvoll. Vor allem, da die ja extra Werbung...

Ozzy - alt 21. Feb 2005

Wo ist denen denn diese Lösung eingefallen? Auf dem Klo? Anstatt den Schwachsinn Umlaut...



Anzeige

Stellenmarkt
  1. Deutsche Telekom AG, Leinfelden-Echterdingen
  2. Deutsche Bundesbank, Frankfurt am Main
  3. über RAU | FOOD RECRUITMENT GmbH, Sachsen-Anhalt
  4. DATAGROUP Köln GmbH, Köln


Anzeige
Hardware-Angebote
  1. (täglich neue Deals)

Folgen Sie uns
       


  1. Social Media

    Facebook-Nutzer müssen vorerst weiter Klarnamen angeben

  2. Xiaomi Mi Qicycle

    Elektrisches Klappfahrrad mit Smartphone-Anschluss

  3. The Mill Blackbird

    "Transformer"-artiges Fahrzeug für Filmaufnahmen

  4. United Internet

    Festnetzbetreiber heißt jetzt 1&1 Versatel

  5. Kabelnetz

    Störung bei Vodafone dauert an

  6. Android 7.0

    Die nächste Android-Version heißt Nougat

  7. Pleurobot

    Bewegungen verstehen mit einem Robo-Salamander

  8. Überwachung

    Google sammelt Telefonprotokolle von Android-Geräten

  9. Fritzbox

    AVM veröffentlicht FAQ zur Routerfreiheit

  10. Wertschöpfungslücke

    Musiker beschweren sich bei EU-Kommission über Youtube



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Telefonabzocke: Dirty Harry erklärt mein Windows für kaputt
Telefonabzocke
Dirty Harry erklärt mein Windows für kaputt
  1. Security Ransomware-Bosse verdienen 90.000 US-Dollar pro Jahr
  2. Security-Studie Mit Schokolade zum Passwort
  3. Festnahme und Razzien Koordinierte Aktion gegen Cybercrime

Oneplus Three im Test: Ein Alptraum für die Android-Konkurrenz
Oneplus Three im Test
Ein Alptraum für die Android-Konkurrenz
  1. Android-Smartphone Diskussionen um Speichermanagement beim Oneplus Three
  2. Smartphones Oneplus soll keine günstigeren Modellreihen mehr planen
  3. Ohne Einladung Oneplus Three kommt mit 6 GByte RAM für 400 Euro

Mobbing auf Wikipedia: Content-Vandalismus, Drohungen und Beschimpfung
Mobbing auf Wikipedia
Content-Vandalismus, Drohungen und Beschimpfung
  1. Freies Wissen Katherine Maher wird dauerhafte Wikimedia-Chefin

  1. Re: Don't use the N-word - Android...

    ichbinsmalwieder | 10:00

  2. Re: *Das* hier ist lustig.

    lear | 10:00

  3. Re: Wie prüft Facebook den Namen?

    picaschaf | 09:59

  4. Re: Fernsehsignal nicht betroffen

    M.P. | 09:59

  5. Mike Hunt

    TC | 09:59


  1. 09:44

  2. 07:58

  3. 07:37

  4. 06:00

  5. 22:47

  6. 19:06

  7. 18:38

  8. 17:19


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel