Abo
  • IT-Karriere:

Domain: Erneut Angriff über Punycode-Domains demonstriert

Domains, die dem Original zum Verwechseln ähnlich sehen, werden immer wieder für Phishing-Angriffe missbraucht. In einem Proof-of-Concept zeigt die Domain xn--80ak6aa92e.com, dass Apple seine Hausaufgaben nicht gemacht hat. Browserhersteller wollen reagieren.

Artikel veröffentlicht am ,
Das ist nicht Apple.com.
Das ist nicht Apple.com. (Bild: Hauke Gierow/Golem.de)

Googles Entwicklerteam hat angekündigt, in der Chrome-Version 58 einen Schutz gegen Unicode-Phishing einführen zu wollen. Hintergrund ist ein erneuter Proof-of-Concept, der die Schwächen auch moderner Browser aufzeigt. Auch bei Mozilla wird aktuell diskutiert, wie ein solcher Schutz aussehen könnte. Bei dieser Art von Angriff werden Domains statt durch ASCII-Zeichen durch Zeichen aus einem anderen Zeichensatz repräsentiert, wie die Wordfence-Macher demonstriert haben.

Stellenmarkt
  1. Lufthansa Group, Norderstedt, Raunheim
  2. Kassenärztliche Vereinigung Berlin, Berlin

Tatsächlich gibt es bereits Schutzmechanismen gegen sogenannte Homograph-Angriffe. Diese greifen aber nicht, wenn alle Buchstaben der URL mit Zeichen aus einem anderen Alphabet, etwa kyrillisch, ersetzt werden. Aus Apple.com wird so zum Beispiel "xn--80ak6aa92e.com", für den Nutzer ist der Unterschied in der Ansicht in der Adresszeile aber tatsächlich kaum wahrnehmbar. Sind die Domains nicht komplett in einem anderen Zeichensatz registriert, wird die Domain in Punycode angezeigt. Diesen Unterschied machen sich Phishing-Kampagnen zunutze.

Täuschung mit echtem Zertifikat

Moderne Phishing-Kampagnen registrieren zudem noch gültige Zertifikate, etwa über Let's Encrypt, so dass Nutzer von einer legitimen Webseite ausgehen. Der einzige, sichtbare Unterschied zur Original-Seite von Apple wäre in dem Fall, dass die gefälschte Seite nicht über ein Zertifikat mit erweiterter Identifikationsprüfung (EV-Zertifikat) verfügt und somit keine grün eingefärbte Adresszeile bekommt.

Chrome wird in der kommenden Version 58 einen entsprechenden Fix einbauen, bei Mozilla wird derzeit diskutiert, wie mit dem Problem umgegangen werden soll. Die Entwickler waren bisher der Ansicht, dass die Pflicht bei den Webseitenbetreibern läge, selbst entsprechende Unicode-Domains zu kaufen, damit diese nicht für betrügerische Zwecke genutzt werden können. Der Versuch einer "Whitelist" sei nicht skalierbar gewesen.

Wer sich selbst vor entsprechenden Angriffen schützen will, kann im Firefox unter about:config die Einstellung für "network.IDN_show_punycode" auf "true" setzen.



Anzeige
Top-Angebote
  1. 78,90€
  2. (aktuell u. a. HP 14-Zoll-Notebook für 389,00€, Asus ROG 27-Zoll-Monitor für 689,00€, Corsair...
  3. 26,99€ (Release am 26. Juli)
  4. 339,00€

My1 20. Apr 2017

in dem fall mag es noch funktionieren, aber wenn das zeichen auch so aussehen würde wie...

My1 20. Apr 2017

naja was ist einfacher? wenn ein paar browser das richtig machen oder wenn ein...

My1 19. Apr 2017

so lange gibts die IDNs schon? lol. und es ist 12 Jahre später. nicht nur 10.

My1 19. Apr 2017

die browserhersteller und die registries der TLDs die sollten sowas eig. mMn gar nicht...

My1 19. Apr 2017

Genauso wie bei der Edge seite nutzt auch diese apple seite Kyrillische zeichen in einer...


Folgen Sie uns
       


Geforce RTX 2070 Super und Geforce RTX 2060 Super - Test

Die Geforce RTX 2070 Super und die Geforce RTX 2060 Super sind Nvidias neue Grafikkarten für 530 Euro sowie 420 Euro. Beide haben 8 GByte Videospeicher und unterstützen Raytracing in Spielen.

Geforce RTX 2070 Super und Geforce RTX 2060 Super - Test Video aufrufen
Energie: Wo die Wasserstoffqualität getestet wird
Energie
Wo die Wasserstoffqualität getestet wird

Damit eine Brennstoffzelle einwandfrei arbeitet, braucht sie sauberen Wasserstoff. Wie aber lassen sich Verunreinigungen bis auf ein milliardstel Teil erfassen? Am Testfeld Wasserstoff in Duisburg wird das erprobt - und andere Technik für die Wasserstoffwirtschaft.
Ein Bericht von Werner Pluta

  1. Autos Elektro, Brennstoffzelle oder Diesel?
  2. Energiespeicher Heiße Steine sind effizienter als Brennstoffzellen
  3. Klimaschutz Großbritannien probt für den Kohleausstieg

In eigener Sache: Neue Workshops zu agilem Arbeiten und Selbstmanagement
In eigener Sache
Neue Workshops zu agilem Arbeiten und Selbstmanagement

Wir haben in unserer Leserumfrage nach Wünschen für Weiterbildungsangebote gefragt. Hier ist das Ergebnis: Zwei neue Workshops widmen sich der Selbstorganisation und gängigen Fehlern beim agilen Arbeiten - natürlich extra für IT-Profis.

  1. Golem Akademie Golem.de startet Angebote zur beruflichen Weiterbildung
  2. In eigener Sache Zweiter Termin für Kubernetes-Seminar
  3. Leserumfrage Wie können wir dich unterstützen?

Super Mario Maker 2 & Co.: Vom Spieler zum Gamedesigner
Super Mario Maker 2 & Co.
Vom Spieler zum Gamedesigner

Dreams, Overwatch Workshop und Super Mario Maker 2: Editoren für Computerspiele werden immer mächtiger, inzwischen können auch Einsteiger komplexe Welten bauen. Ein Überblick.
Von Achim Fehrenbach

  1. Nintendo Switch Wenn die Analogsticks wandern
  2. Nintendo Akku von überarbeiteter Switch schafft bis zu 9 Stunden
  3. Hybridkonsole Nintendo überarbeitet offenbar Komponenten der Switch

    •  /