Ouais, enfin, avec l'arrivée de l'unicode dans les URI, ça laisse place à une usurpation style phishing.
Imaginons que tu ne sois pas sur Mastodon, et que tu aies un site tisaac dot com
Je suis un méchant pirate qui veux te créer des ennuis : je crée un site tisàac dot com qui reproduit exactement le tien, ou tout au moins sa page index.html. Puis je crée le compte tisaac sur masto, et je le relie au site web tisàac. Voici, j'ai la pastille valda sur le compte à ton nom, et je peux me faire passer pour toi. Qui clique sur l'URL indiquée sur ton profil retrouve bien ton site, du moins en apparence.
Évidemment, ça ne résiste pas à une vérification plus poussée si on subodore une arnaque, mais ça peut faire illusion assez longtemps, surtout si les deux sites (le vrai et le faux) sont vraiment similaires et surtout que certains caractères unicodes sont bien ressemblants à des lettres de l'alphabet européen1.
Ou alors il y a quelque chose qui m'échappe ? (je ne suis usager ni de masto, ni de twitter, et suis donc peu au courant des usurpations de compte et de leur finalité, à part de vouloir « faire dire » quelque chose à une personnalité publique).
Ce qui ramène le débat sur le trou de sécurité énorme que représente l'acceptation de l'unicode dans les URI. Même si on voulait plus d'inclusion des langues non-européennes dans les standards web, il suffisait de choisir un set non équivoque de caractères dont l'un ne pouvait pas être confondu avec un autre du set. Quant aux langues européennes, franchement, était-ce nécessaire d'étendre le set ANSII ? www.cine.com est tout aussi lisible que ciné.com (ce dernier est un site à vendre, ainsi que cinéma.com, avis aux amateurs ;-)) ! Sans parler de la difficulté de taper un caractère chinois ou indien avec un clavier européen, alors que le contraire n'est pas vrai vu la standardisation déjà existante et qui s'est axée sur l'anglais. On me répondra qu'aujourd'hui, plus personne ne tape d'url, à l'heure où on fait une recherche gogol de yahoo pour aller sur yahoo.com (à part les vieux clous comme nous), enfin, je m'égare... ↩
# Quid d'un faux site ?
Posté par sebas . En réponse au journal Trois étapes faciles pour obtenir une coche verte sur Mastodon. Évalué à 3. Dernière modification le 20 novembre 2022 à 10:14.
Ouais, enfin, avec l'arrivée de l'unicode dans les URI, ça laisse place à une usurpation style phishing.
Imaginons que tu ne sois pas sur Mastodon, et que tu aies un site tisaac dot com
Je suis un méchant pirate qui veux te créer des ennuis : je crée un site tisàac dot com qui reproduit exactement le tien, ou tout au moins sa page index.html. Puis je crée le compte tisaac sur masto, et je le relie au site web tisàac. Voici, j'ai la pastille valda sur le compte à ton nom, et je peux me faire passer pour toi. Qui clique sur l'URL indiquée sur ton profil retrouve bien ton site, du moins en apparence.
Évidemment, ça ne résiste pas à une vérification plus poussée si on subodore une arnaque, mais ça peut faire illusion assez longtemps, surtout si les deux sites (le vrai et le faux) sont vraiment similaires et surtout que certains caractères unicodes sont bien ressemblants à des lettres de l'alphabet européen1 .
Ou alors il y a quelque chose qui m'échappe ? (je ne suis usager ni de masto, ni de twitter, et suis donc peu au courant des usurpations de compte et de leur finalité, à part de vouloir « faire dire » quelque chose à une personnalité publique).
Ce qui ramène le débat sur le trou de sécurité énorme que représente l'acceptation de l'unicode dans les URI. Même si on voulait plus d'inclusion des langues non-européennes dans les standards web, il suffisait de choisir un set non équivoque de caractères dont l'un ne pouvait pas être confondu avec un autre du set. Quant aux langues européennes, franchement, était-ce nécessaire d'étendre le set ANSII ? www.cine.com est tout aussi lisible que ciné.com (ce dernier est un site à vendre, ainsi que cinéma.com, avis aux amateurs ;-)) ! Sans parler de la difficulté de taper un caractère chinois ou indien avec un clavier européen, alors que le contraire n'est pas vrai vu la standardisation déjà existante et qui s'est axée sur l'anglais. On me répondra qu'aujourd'hui, plus personne ne tape d'url, à l'heure où on fait une recherche gogol de yahoo pour aller sur yahoo.com (à part les vieux clous comme nous), enfin, je m'égare... ↩