Наблюдение об интернационализованных доменных именах и букве K

[ValdikSS]

Чисто для справки: все остальные домены с сочетаниями разных алфавитов Firefox отображает как punycode.

[steff]

Вот банкам «повезло» :)

[steff]

http://onlinebankingreport.com/resources/100.html
и вперёд :)

P.S. «Сайт» Bank Of America уже занят.

[kafeman]

Что же вы в выходной день опубликовали, тут сейчас нет никого.

А тема очень интересная. Хотелось бы, чтобы о ней узнало больше людей.

Если ValdikSS выше прав, то неплохо бы написать об этом разработчикам FF.

[ValdikSS]

dartraiden

Привет. Касаемо бага с punicode (https://habrahabr.ru/post/279113/) я завёл тикет, если вдруг что (https://bugzilla.mozilla.org/show_bug.cgi?id=1256009)

В качестве защитной меры стоит включить опцию network.IDN_show_punycode, чтобы всегда показывать любые адреса с нелатиницей в punicode

На хабре комментировать не могу, увы :(

[dartraiden]

Спустя два года, баг исправлен. Так долго тянули, потому что хотели решить вопрос через технический комитет Unicode (добавить этот символ в категорию «исторических»), но те, при выпуске очередной редакции стандарта, об этом забыли, поэтому проблемный символ просто добавили в стоп-лист Firefox.

[lexore]

Интересно, через сколько часов зарегистрируют OΚ.ru...

[HeadFore]

В зоне .ru нет поддержки IDN.

[YoungSkipper]

https://en.wikipedia.org/wiki/IDN_homograph_attack

Таким образом, существует угроза использования доменных имен с подменой буквы “k” на “ĸ” и мне кажется что этот символ должен быть удален из таблицы латинских символов и не должен допускаться для регистрации доменных имен.

Почему только этот символ, а не множество других?

[kafeman]

Вероятно потому, что:

Для избежания таких колизий существуют таблицы национальных алфавитов, которые содержат допустимые для регистрации домена символы. Благодаря этим таблицам, если домен содержит кириллицу, то он уже не может содержать латиницу. Таким образом у вас не получится зарегистрировать еще один twittеr.

Для символа «ĸ» это не работает.

[kafeman]

No match for "FACEBOOĸ.COM".
>>> Last update of whois database: Sat, 12 Mar 2016 20:54:54 GMT <<<

[kafeman]

Проверял стандартной утилитой whois в OS X. Домен копировал из вашего комментария.

Сейчас попробовал через какой-то online-сервис, сработало.

[mva]

просто у вас whois без поддержки idn, поэтому нужно было перегонять перед использованием

[mittus]

Полезное наблюдение. Надеюсь, мошенники не догадаются об этом, так как по такой ссылке в скайпе я и сам кликнул бы.

[mittus]

Я осознаю, что комментарий оставлен совершенно не к месту и извиняюсь за это. Удалить или что-либо сделать с ним не могу и так, как этот комментарий аукается мне по сей день, огромная просьба последующим читателям не осуществлять каких-либо негативных действий в моем отношении.

Надеюсь на понимание и извиняюсь за данный пост. Спасибо!

[pansa]

Интересная заметка, которая рождает много вопросов =)
Например, зачем вообще была оставлена такая возможность (смешивать символы)? Каким образом происходят преобразования таких доменов в браузерах?
И проблема несколько шире. Оказывается, есть целый блок символов — https://en.wikipedia.org/wiki/Latin_Extended-A, которые, как я понимаю, можно смешивать с латинскими символами в DN.

[tyomitch]

Например, зачем вообще была оставлена такая возможность (смешивать символы)?

http://unicode.org/mail-arch/unicode-ml/y2005-m02/0110.html

[VaKonS]

В Firefox можно включить Юникод-имена только в доменных зонах из «белого списка», для остальных зон будет отображаться Punicode:

1) Зайти в настройки ФФ (по адресу «about:config»).
2) Установить «network.IDN.restriction_profile» = «strict» (на всякий случай, по умолчанию там «moderate»).
3) «network.IDN.use_whitelist» = «true».

4) Список доменных зон находится в ключах «network.IDN.whitelist.имя_зоны».
— Для зон, где нужен Юникод (например, ".РФ" = «network.IDN.whitelist.xn--p1ai»), поставить «true».
— Если нужно отсечь нелатинские символы (например, в зоне ".com" = «network.IDN.whitelist.com»), поставить «false» – там национальные символы будут выводиться в формате Punicode.

[alexanderzaytsev]

Имхо, но турецкие İ/ı выглядят привлекательней https://en.wikipedia.org/wiki/Dotted_and_dotless_I

http://xn--twitter-8he.com/ — в FF вообще не отлечить от реального twitter.com

[pansa]

Действительно, несмотря на то, что в исходной статье автор говорит о символе ĸ, разрешенных к смешиванию намного больше. Вот из интересного:

https://en.wikipedia.org/wiki/Latin_Extended-A
https://en.wikipedia.org/wiki/Latin_Extended-B
https://en.wikipedia.org/wiki/Latin_Extended-C
https://en.wikipedia.org/wiki/Latin_Extended_Additional

Из которых можно составить такие красивые вещи, как:

ɢoogle.com
yanďex.com
twſtter.com
tŵitter.com
ţwitter.com
twitťer.com
twįtter.com

yăhoo.com
ŷahoo.com
yąhoo.com
yaĥoo.com
yahŏo.com

fļickr.com
flįckr.com
flīckr.com

ďropbox.com
dŕopbox.com
dřopbox.com
drŏpbox.com

И тп. На всякий случай замечу, что ВСЕ вышеперечисленные компании были проинформированы о такой возможности с вот этим вот списком доменов, и все в лучшем случае заявили, что принимают эти риски, а в худшем — что я вообще ерунду какую-то им пишу, что ничего тут опасного и что им теперь — скупить все комбинации, типа twitter.xyz, чтоли?
Так что, смело разбирайте, кому интересно. На godaddy видел акцию скидок на домены на 1 год, там можно зарегать домены с такими символами =)

[Avega]

Привет из будущего.
Домен ɢoogle.com успешно забрали и теперь гугл с ним воюет: https://geektimes.ru/post/285398/

[pansa]

Очень подозреваю, что мой коммент и подтолкнул этого товарища к покупке. =)
whois:
Creation Date: 2016-03-23T10:41:46Z

Но и поделом ему.