Nuevos Punycode abren oportunidades de typosquatting en los navegadores Chromium

Ma­ni­pu­lar un nom­bre de do­mi­nio para que se ase­me­je mucho al de un sitio web po­pu­lar no es nada nuevo. Ya nos hemos en­con­tra­do an­te­rior­men­te con si­tios de phishing como ma­cro­soft[.]com y applle[.]com en nues­tra lucha dia­ria con­tra el spam.

Los in­ves­ti­ga­do­res se­ña­lan que exis­ten cier­tos ca­rac­te­res, ac­ce­si­bles para quie­nes prac­ti­can el ty­pos­quat­ting y el phishing, ca­pa­ces de en­ga­ñar a los na­ve­ga­do­res ba­sa­dos ​​en Chro­mium para que mues­tren URL de apa­rien­cia en­ga­ño­sa como si fue­ran di­rec­cio­nes web le­gí­ti­mas.

Sin em­bar­go, a me­di­da que los na­ve­ga­do­res evo­lu­cio­nan, cons­tan­te­men­te se ha­bi­li­tan nue­vos ca­rac­te­res para su uso. Esto abre nue­vas opor­tu­ni­da­des para quie­nes ha­blan idio­mas con ca­rac­te­res u ho­mó­gli­fos no com­pa­ti­bles con ASCII, pero tam­bién fa­ci­li­ta nue­vas for­mas en que los ata­can­tes pue­den ex­plo­tar pe­cu­lia­ri­da­des en la ló­gi­ca de vi­sua­li­za­ción de pro­gra­mas como Chro­me y Edge.

Según Ian Mus­cat y Lean­ne Brif­fa, de Have I Been Squat­ted, los ata­can­tes aún dis­po­nen de ca­rac­te­res ca­pa­ces de en­ga­ñar efi­caz­men­te a los usua­rios, lle­ván­do­les a con­fiar en URL en las que, sin duda, no de­be­rían ha­cer­lo.

Los gli­fos más re­cien­tes que lo­gran elu­dir las me­di­das de se­gu­ri­dad de los na­ve­ga­do­res per­mi­ten a los ata­can­tes ope­rar si­tios web desde un nom­bre de do­mi­nio cla­ra­men­te falso (cuan­do se mues­tra en for­ma­to Puny­co­de  con for­ma­to xn-- ), aun­que en Uni­co­de apa­ren­tan ser to­tal­men­te le­gí­ti­mos…