Доигрались с интернационализированными доменами..

[dil]

Теперь можно зарегистрировать домен, выглядящий точно так же, как чужой, только с буковками из другого алфавита. И даже приделать к нему честно подписанный SSLный сертификат: https://www.аррӏе.com/ …
Выглядит почти как настоящий, но на самом деле это xn--80ak6aa92e.com, с буквами из кириллицы: “а”, “р”, “е”, и “ӏ” (так называемая, “палочка” , которая используется в некоторых кавказских языках).

Подробности тут.

Как обычно, про эту дырку в безопасности сообщил Брюс Шнайер.

Оригинал этой записи в личном блоге.

Comments

[dmarck]

собственно, в частности, поэтому в домене .рф запрещены не-кириллические буквы. в GTLD всё сложнее, конешно.

[an54444]

охренеть.

[leo_sosnine]

Шнайер ещё и тормоз, плюс ко всему.

[leo_sosnine]

файрфокс я себе исправил и даже начал подготовку к изменению этого всем, у кого он стоит

фан факт в том, что ИЕ таким макаром не проведёшь, хехе

для хрома как раз сёдни должны были заплатку зарелизить

[dil]

Попробовал в хроме (он у меня свежий, 58.0.3029.81) оно превратилось в www.xn--80ak6aa92e.com

IE у меня под рукой нету, завтра на работе попробую. Но вот показывают, что оно таки там вполне работает: https://www.xudongz.com/cache/95b7f81c1b156f99c3ba37d0e8f875ef358bfa9856c99abf7ce72455eabd442b.png

[pan_2]

IE9 не понимает ссылку вообще (что странно, пуни он умеет)
IE10+ показывают знак мультилокального адреса в адресбаре (иероглиф+а), при нажатии всё рассказывает.

[dil]

IE8 (в седьмой винде) тоже не понимает, просит ввести правильный адрес..
А в 10 винде IE его открыл, поменяв на www.xn--80ak6aa92e.com, как в свежем хроме.

[leo_sosnine]

не знаю в чём дело, на работе в нашем ИЕ это не работает

[dil]

А что говорит?

[leo_sosnine]

Просто не считает её ссылкой. Если кликать ничего не происходит. В статус баре она не отображается при ховере. Если её вставлять прямо в адрес бар то он выдаёт диалог бокс что он не смог пройти по ссылке. Версия 11.0.9600.18617, апдейт 11.0.40.

Такие ссылки может отключены где-то в конфиге, только где.

[dil]

"Такие ссылки" - это какие? Вот асса.com - реальный домен из таких же русских букв, не подделка. Должен работать.

[dil]

P.S. А вот хром в андроидном смартфоне прошёл по ссылке, ничего не поменяв. 57.0.2987.132

[dil]

Чего вдруг тормоз?

[beldmit]

Не, ну проблему омографов ASCII vs non-ASCII они так решат. А вот если два nonASCII будут, то отличать придётся xn--foo от xn--bar, что добавит веселья.