Abo
  • Services:
Anzeige

Entwarnung: Mozilla schaltet Umlaut-Domains nicht ab (Upd.)

Kommende Versionen von Mozilla und Firefox umgehen Phishing-Attacken

Das Mozilla-Team wird die Unterstützung der "International Domain Names" (IDN) entgegen ersten Plänen doch nicht in seinen Web-Browsern deaktivieren. Stattdessen hat man eine Möglichkeit gefunden, die durch Umlaut-Domains möglichen Phishing-Angriffe zu unterbinden. Dazu wird die IDN-Unterstützung in den kommenden Versionen von Firefox und Mozilla überarbeitet. Auch 8.0 Opera soll so erweitert werden, dass derartige Angriffe wirksam unterbunden werden.

Die bislang von den Phishing-Angriffen betroffenen Web-Browser haben die Unterstützung der "International Domain Names" (IDN) korrekt implementiert, allerdings gestattet dies Angreifern, eine URL zu fälschen und so Nutzer auf eine andere Domain zu locken, was in den meisten Fällen nicht auffällt. Die Mozilla-Entwickler haben sich nun entschieden, die IDN-Unterstützung zu beschneiden, um solche Angriffe unmöglich zu machen.

Anzeige

International Domain Names werden im so genannten Punycode angezeigt, um derartige Phishing-Angriffe auszuschließen. Das bedeutet, dass Domains mit Umlauten nicht mehr als solche im Browser, sondern eben in Punycode-Schreibung erscheinen. Statt der URL "bücher" wird dann die Adresse "xn--bcher-kva" angezeigt und auch der bekannte Phishing-Angriff mit einer gefälschten Paypal-URL ist dann nicht mehr möglich. Die gefälschte, mit einem kyrillischen "a" geschriebene URL paypal.com gleicht in vielen Fonts der URL, wenn sie nur mit lateinischen "a"s geschrieben wird. Der Punycode-Modus sorgt dann aber dafür, dass die tatsächliche URL "xn--pypal-4ve.com" hinter der gefälschten paypal-Adresse erscheint.

Die Umsetzung der International Domain Names (IDN) erlaubt einem Angreifer, Phishing-Attacken, URLs und auch Link-Angaben erfolgreich zu fälschen. Dadurch kann ein Opfer in den Glauben versetzt werden, Daten an eine vertrauenswürdige Instanz zu übermitteln und so etwa vertrauliche Daten in die Hände von Betrügern geben. Das Problem ist derzeit in allen Browsern enthalten, die IDN unterstützen, wozu Mozilla, Firefox, Camino, Safari, Opera, Omniweb und Konqueror gehören. Aber auch VeriSigns Umlaut-Domain-Erweiterung für den Internet Explorer weist das Problem auf. Der Internet Explorer selbst ist davon nicht betroffen, weil der Microsoft-Browser selbst bis heute keine IDN-Unterstützung besitzt.

Auch Opera überlegt nach Angaben von BetaNews.com derzeit, wie man die Phishing-Angriffe über IDN im Browser unmöglich machen kann. Entsprechende Verfahren sollen in einer kommenden Vorabversion von Opera 8.0 integriert werden. Nach wie vor sieht Opera vielmehr die Domain-Registrierungsstellen in der Pflicht. So müssten die Registrierungsstellen sicherstellen, dass entsprechende Domains überhaupt nicht registriert werden können. Das würde Phishing-Angriffe wirksam unterbinden, ohne dass die Browser-Nutzer Kompromisse eingehen müssen, wie etwa die Pläne der Mozilla-Entwickler zeigen.

Die überarbeitete IDN-Unterstützung soll in Firefox 1.0.1, Mozilla 1.7.6 und der nächsten Beta-Version von Mozilla 1.8 integriert werden. Nach den derzeitigen Plänen wird eine Einstellung im Browser gestatten, die Punycode-Ansicht wieder zu deaktivieren, um International Domain Names so zu erhalten, wie es bislang der Fall ist. Aber dies birgt weiterhin die Gefahr, Opfer eines Phishing-Angriffs zu werden.

Nachtrag vom 21. Februar 2005 um 12:25 Uhr:
Für den Mozilla-Browser Firefox arbeitet Mario Müller an einer Erweiterung, die einen anderen Weg geht, sich vor IDN-Phishing-Angriffen zu schützen. Sobald eine IDN in Firefox geöffnet wird, informiert ein Icon darüber und es erscheint ein Pop-up, das auf die dahinter steckende Gefahr hinweist und den Punycode zusätzlich zur IDN anzeigt. Derzeit befindet sich die Erweiterung "IDN Info" noch im Alpha-Stadium, so dass es beim Einsatz der Firefox-Erweiterung noch zu Fehlern kommen kann, warnt der Entwickler.


eye home zur Startseite
Mario Müller 23. Feb 2005

Genau das macht IDN Info. Mario

Calain80 21. Feb 2005

Genau. www.das-örtliche.de ist nicht sinnvoll. Vor allem, da die ja extra Werbung...

Calain 21. Feb 2005

Unter http://lingvo.org/idnd/ gibt es eine weitere Erweiterung. Diese stellt nur in der...

mthie 21. Feb 2005

Das von Golem empfohlene IDN-Plugin funktioniert trotz Alpha-Version schon recht gut...



Anzeige

Stellenmarkt
  1. point S Deutschland GmbH, Ober-Ramstadt
  2. Knauf Information Services GmbH, Iphofen (Raum Würzburg)
  3. SSI Schäfer Noell GmbH, Giebelstadt, Obertshausen
  4. Robert Bosch GmbH, Abstatt


Anzeige
Blu-ray-Angebote
  1. (u. a. The Hateful 8, James Bond Spectre, John Wick, Fifty Shades of Grey, London Has Fallen)
  2. 6,99€
  3. 2,99€ (ohne Prime bzw. unter 29€ Einkauf zzgl. 3€ Versand)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Hardlight VR Suit

    Vibrations-Weste soll VR-Erlebnis realistischer machen

  2. Autonomes Fahren

    Der Truck lernt beim Fahren

  3. Selektorenaffäre

    BND soll ausländische Journalisten ausspioniert haben

  4. Kursanstieg

    Bitcoin auf neuem Rekordhoch

  5. Google-Steuer

    Widerstand gegen Leistungsschutzrecht auf EU-Ebene

  6. Linux-Kernel

    Torvalds droht mit Nicht-Aufnahme von Treibercode

  7. Airbus A320

    In Flugzeugen wird der Platz selbst für kleine Laptops knapp

  8. Urheberrecht

    Marketplace-Händler wegen Bildern von Amazon bestraft

  9. V8 Turbofan

    Neuer Javascript-Compiler für Chrome kommt im März

  10. Motion Control

    Kamerafahrten für die perfekte Illusion



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Limux: Die tragische Geschichte eines Leuchtturm-Projekts
Limux
Die tragische Geschichte eines Leuchtturm-Projekts
  1. Limux München prüft Rückkehr zu Windows
  2. Limux-Projekt Windows könnte München mehr als sechs Millionen Euro kosten
  3. Limux Münchner Stadtrat ignoriert selbst beauftragte Studie

Wacoms Intuos Pro Paper im Test: Weg mit digital, her mit Stift und Papier!
Wacoms Intuos Pro Paper im Test
Weg mit digital, her mit Stift und Papier!
  1. Wacom Brainwave Ein Graph sagt mehr als tausend Worte
  2. Canvas Dells Stift-Tablet bedient sich bei Microsoft und Wacom
  3. Intuos Pro Wacom verbindet Zeichentablet mit echtem Papier

Bundesnetzagentur: Puppenverbot gefährdet das Smart Home und Bastler
Bundesnetzagentur
Puppenverbot gefährdet das Smart Home und Bastler
  1. My Friend Cayla Eltern müssen Puppen ihrer Kinder zerstören
  2. Matoi Imagno Wenn die Holzklötzchen zu dir sprechen
  3. Smart Gurlz Programmieren lernen mit Puppen

  1. Re: Ich vermisse die Meckerer...

    FZ00 | 04:42

  2. Das hätte meine erste Million sein können :)

    derJimmy | 04:35

  3. Re: Bei 70cm dürfte der Sitz nur max. 2cm verbrauchen

    tingelchen | 03:40

  4. Re: Klasse, wie "open" dieses Open Source doch ist.

    ilovekuchen | 03:27

  5. Re: Mal im Ernst

    tingelchen | 03:17


  1. 18:02

  2. 17:43

  3. 16:49

  4. 16:21

  5. 16:02

  6. 15:00

  7. 14:41

  8. 14:06


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel