L'occhio allenato può individuare senza troppe difficoltà un sito che cerca di spacciarsi per un altro, ma il phishing funziona ancora molto bene nel furto di credenziali, e l'ultima cosa di cui ha bisogno è un camuffamento migliore. Purtroppo, è ciò che ottiene attraverso il supporto Punycode in Firefox e Chrome, che può essere utilizzato per nascondere un indirizzo dannoso e presentarlo all'utente come un dominio valido e protetto.
Un paio di mesi fa abbiamo parlato di le sottili differenze tra i caratteri normali e quelli disponibili tramite Unicode che possono confondere gli utenti. È un trucco semplice da qualsiasi punto di vista, ma nonostante i nuovi sforzi in materia di sicurezza, il phishing non ha perso efficacia. Tutto inizia con un po' di educazione: la stragrande maggioranza delle aziende sul Web non contatta l'utente a meno che non lo abbia autorizzato esplicitamente, o sia necessario comunicare qualcosa di estremamente urgente, ad esempio la crisi di sicurezza che ha colpito Yahoo!. Molti esperti di sicurezza affermano che la raccomandazione di «non fare clic sui link» non è appropriata, poiché il Web stesso è una rete di link, ma ciò non impedisce che debbano essere presi con un pizzico di «caveat emptor». Il link può non essere ciò che sembra, e l'ultima prova arriva grazie al ricercatore Xudong Zheng
Quest'ultimo attacco omografo sfrutta il sistema Punycode che consente la codifica di caratteri speciali Unicode nei domini web. Come riferimento, «nеotеo.com» non è lo stesso di «neoteo.com», per quanto i nostri occhi dicano il contrario. Ma il vero problema qui è che le ultime versioni di Firefox e Chrome (incluse le loro varianti) stanno presentando il dominio «travestito» nella barra degli indirizzi, invece di mostrare l'indirizzo non codificato. L'esempio pubblicato dalla gente di Wordfence è eclatante: ciò che sembra «https://www.epic.com» è in realtà «https://www.xn--e1awd7f.com». Il certificato di sicurezza è stato ottenuto con l'aiuto del portale Let's Encrypt, e l'intero processo ha richiesto circa cinque minuti. Questo è sufficiente affinché Firefox e Chrome annuncino il sito falso come «sicuro».
Per fortuna, la correzione in Chrome sta progredendo. Il build Canary include l'hotfix necessario e arriverà alle versioni stabili entro pochi giorni. Notizie migliori per gli utenti di Firefox, che devono solo accedere a about:config, cercare il parametro network.IDN_show_punycode e cambiare il suo valore da «false» a «true».
Wordfence
