La question, c'est quelle est le caractère non ASCII dans epic.com, autrement dit xn--e1awd7f.com.
Tous.
Ce genre d'attaque est veille comme le monde, enfin comme au moins le début des années 2000, et les navigateurs s'en protège en affichant l'URL en punycode lorsqu'ils détectent une URL qui correspond au mixed script confusable c'est à dire qu'un caractère d'un autre script a été utilisé (exemple: tu remplaces le a latin de paypal par un a cyrillique).
La seule nouveauté ici, c'est qu'ici quelqu'un a pensé a remplacer tous les caractères du domaine par leur équivalent d'un autre script. Forcément les navigateurs ne gueulent pas par ce que c'est valide et souhaité par certains utilisateurs utilisant autre chose que les caractères latins.
Pour ceux que ca intéresse la notion de confusable, mixed script confusables ou whole script confusables est très bien expliquée et documentée là: http://unicode.org/reports/tr39/
Unicode est un outil formidable qui te permet de prendre en pleine face tous les problèmes issus de quelques milliers d'évolution humaine et quelques dizaines d'années d'évolution informatique. Les normalisations NFC / NFD, le dépassement des 16 bits du BMP, le bi-di, les algos de collation, de localisation et les dizaines d'autres subtilités sont des sources de joies permanentes :)
[^] # Re: Commentaire ci-dessous
Posté par ckyl . En réponse au journal Campagne d'hameçonnage, Firefox et Chrome vulnérables.. Évalué à 10.
Tous.
Ce genre d'attaque est veille comme le monde, enfin comme au moins le début des années 2000, et les navigateurs s'en protège en affichant l'URL en punycode lorsqu'ils détectent une URL qui correspond au mixed script confusable c'est à dire qu'un caractère d'un autre script a été utilisé (exemple: tu remplaces le a latin de paypal par un a cyrillique).
La seule nouveauté ici, c'est qu'ici quelqu'un a pensé a remplacer tous les caractères du domaine par leur équivalent d'un autre script. Forcément les navigateurs ne gueulent pas par ce que c'est valide et souhaité par certains utilisateurs utilisant autre chose que les caractères latins.
Pour ceux que ca intéresse la notion de confusable, mixed script confusables ou whole script confusables est très bien expliquée et documentée là: http://unicode.org/reports/tr39/
Unicode est un outil formidable qui te permet de prendre en pleine face tous les problèmes issus de quelques milliers d'évolution humaine et quelques dizaines d'années d'évolution informatique. Les normalisations NFC / NFD, le dépassement des 16 bits du BMP, le bi-di, les algos de collation, de localisation et les dizaines d'autres subtilités sont des sources de joies permanentes :)