Abo
  • Services:

Domain: Erneut Angriff über Punycode-Domains demonstriert

Domains, die dem Original zum Verwechseln ähnlich sehen, werden immer wieder für Phishing-Angriffe missbraucht. In einem Proof-of-Concept zeigt die Domain xn--80ak6aa92e.com, dass Apple seine Hausaufgaben nicht gemacht hat. Browserhersteller wollen reagieren.

Artikel veröffentlicht am ,
Das ist nicht Apple.com.
Das ist nicht Apple.com. (Bild: Hauke Gierow/Golem.de)

Googles Entwicklerteam hat angekündigt, in der Chrome-Version 58 einen Schutz gegen Unicode-Phishing einführen zu wollen. Hintergrund ist ein erneuter Proof-of-Concept, der die Schwächen auch moderner Browser aufzeigt. Auch bei Mozilla wird aktuell diskutiert, wie ein solcher Schutz aussehen könnte. Bei dieser Art von Angriff werden Domains statt durch ASCII-Zeichen durch Zeichen aus einem anderen Zeichensatz repräsentiert, wie die Wordfence-Macher demonstriert haben.

Stellenmarkt
  1. EUROIMMUN AG, Dassow
  2. Kulturveranstaltungen des Bundes in Berlin GmbH (KBB), Berlin

Tatsächlich gibt es bereits Schutzmechanismen gegen sogenannte Homograph-Angriffe. Diese greifen aber nicht, wenn alle Buchstaben der URL mit Zeichen aus einem anderen Alphabet, etwa kyrillisch, ersetzt werden. Aus Apple.com wird so zum Beispiel "xn--80ak6aa92e.com", für den Nutzer ist der Unterschied in der Ansicht in der Adresszeile aber tatsächlich kaum wahrnehmbar. Sind die Domains nicht komplett in einem anderen Zeichensatz registriert, wird die Domain in Punycode angezeigt. Diesen Unterschied machen sich Phishing-Kampagnen zunutze.

Täuschung mit echtem Zertifikat

Moderne Phishing-Kampagnen registrieren zudem noch gültige Zertifikate, etwa über Let's Encrypt, so dass Nutzer von einer legitimen Webseite ausgehen. Der einzige, sichtbare Unterschied zur Original-Seite von Apple wäre in dem Fall, dass die gefälschte Seite nicht über ein Zertifikat mit erweiterter Identifikationsprüfung (EV-Zertifikat) verfügt und somit keine grün eingefärbte Adresszeile bekommt.

Chrome wird in der kommenden Version 58 einen entsprechenden Fix einbauen, bei Mozilla wird derzeit diskutiert, wie mit dem Problem umgegangen werden soll. Die Entwickler waren bisher der Ansicht, dass die Pflicht bei den Webseitenbetreibern läge, selbst entsprechende Unicode-Domains zu kaufen, damit diese nicht für betrügerische Zwecke genutzt werden können. Der Versuch einer "Whitelist" sei nicht skalierbar gewesen.

Wer sich selbst vor entsprechenden Angriffen schützen will, kann im Firefox unter about:config die Einstellung für "network.IDN_show_punycode" auf "true" setzen.



Anzeige
Hardware-Angebote
  1. ab 225€
  2. (reduzierte Überstände, Restposten & Co.)
  3. 34,99€
  4. 103,90€

My1 20. Apr 2017

in dem fall mag es noch funktionieren, aber wenn das zeichen auch so aussehen würde wie...

My1 20. Apr 2017

naja was ist einfacher? wenn ein paar browser das richtig machen oder wenn ein...

My1 19. Apr 2017

so lange gibts die IDNs schon? lol. und es ist 12 Jahre später. nicht nur 10.

My1 19. Apr 2017

die browserhersteller und die registries der TLDs die sollten sowas eig. mMn gar nicht...

My1 19. Apr 2017

Genauso wie bei der Edge seite nutzt auch diese apple seite Kyrillische zeichen in einer...


Folgen Sie uns
       


LG G8 Thinq - Hands on (MWC 2019)

LG hat auf dem Mobile World Congress 2019 in Barcelona das G8 Thinq vorgestellt. Das Smartphone kann mit Luftgesten gesteuert werden. Wir haben viele Muster in die Luft gemalt, aber nicht immer werden die Gesten korrekt erkannt.

LG G8 Thinq - Hands on (MWC 2019) Video aufrufen
Security: Vernetzte Autos sicher machen
Security
Vernetzte Autos sicher machen

Moderne Autos sind rollende Computer mit drahtloser Internetverbindung. Je mehr davon auf der Straße herumfahren, desto interessanter werden sie für Hacker. Was tun Hersteller, um Daten der Insassen und Fahrfunktionen zu schützen?
Ein Bericht von Dirk Kunde

  1. Alarmsysteme Sicherheitslücke ermöglicht Übernahme von Autos
  2. Netzwerkanalyse Wireshark 3.0 nutzt Paketsniffer von Nmap
  3. Sicherheit Wie sich "Passwort zurücksetzen" missbrauchen lässt

Mobile Bezahldienste: Wie sicher sind Apple Pay und Google Pay?
Mobile Bezahldienste
Wie sicher sind Apple Pay und Google Pay?

Die Zahlungsdienste Apple Pay und Google Pay sind nach Ansicht von Experten sicherer als klassische Kreditkarten. In der täglichen Praxis schneidet ein Dienst etwas besser ab. Einige Haftungsfragen sind aber noch juristisch ungeklärt.
Von Andreas Maisch

  1. Anzeige Was Drittanbieter beim Open Banking beachten müssen
  2. Finanzdienstleister Wirecard sieht kein Fehlverhalten
  3. Fintech Wirecard wird zur Smartphone-Bank

Pauschallizenzen: CDU will ihre eigenen Uploadfilter verhindern
Pauschallizenzen
CDU will ihre eigenen Uploadfilter verhindern

Absurder Vorschlag aus der CDU: Anstatt die Urheberrechtsreform auf EU-Ebene zu verändern oder zu stoppen, soll nun der "Mist" von Axel Voss in Deutschland völlig umgekrempelt werden. Nur "pures Wahlkampfgetöse" vor den Europawahlen, wie die Opposition meint?
Eine Analyse von Friedhelm Greis

  1. Europawahlen Facebook will mit dpa Falschnachrichten bekämpfen
  2. Urheberrecht Europas IT-Firmen und Bibliotheken gegen Uploadfilter
  3. Uploadfilter Fast 5 Millionen Unterschriften gegen Urheberrechtsreform

    •  /