Punycode est un système utilisé par nos navigateurs pour utiliser des noms de domaines internationalisés (IDN):
https://fr.wikipedia.org/wiki/Punycode

Et ce afin d'utiliser et d'afficher des URLs avec charactères non ASCII: cyrillique, grec, chinois, etc, ou encore lettres accentuées.
Les noms de domaine internationalisés sont convertis dans un nom de domaine ASCII commençant par xn--.

Seulement voilà, des petits malins ont compris qu'ils pouvaient détourner cet avantage à leur profit en vous faisant croire que vous êtes sur un site légitime et de confiance alors que vous êtes sur un autre. C'est la technique du hameçonnage ou phishing en anglais.

Car la plupart des navigateurs afficheront par défaut l'URL "reconstituée" à partir du punycode, ce qui peut être détourné, par exemple:
https://www.xn--e1awd7f.com vous fera croire que vous êtes sur https://www.epic.com
https://www.xn--80ak6aa92e.com vous fera croire que vous êtes sur https://www.apple.com

Parade pour afficher l'URL réelle, mais "moche", dans Firefox et ses clones:
Taper dans about:config dans la barre d'adresse
Oui, oui, je vais faire attention
Taper "puny", sans les guillemets, dans la barre Rechercher
Faire un double click sur network.IDN_show_punycode afin de modifier sa valeur en "true"
C'est fait, fermer la fenêtre about:config

Pour Chrome et ses clones il semble qu'il n'existe pas de parade manuelle pour l'instant. Solutions possibles:
Utiliser l'extension Punycode Alert: https://chrome.google.com/webstore/det ... fghekidjibckjmhbhhjeomlda
Utiliser la version de développement 58.0.3029.81
Faire très attention aux URLs en attendant la release de la version 58


Sources (en anglais):
https://www.xudongz.com/blog/2017/idn-phishing/
https://en.wikipedia.org/wiki/IDN_homograph_attack
https://www.wordfence.com/blog/2017/04 ... firefox-unicode-phishing/
https://www.ghacks.net/2017/04/17/puny ... e-hard-internet-veterans/

Citation :
Intéressant.
A noter que la manip n'est pas à faire dans Cyberfox car déjà mise en "true" (enfin à vérifier quand même ... )

À noter que Vivaldi et même Edge n'ont pas ce "problème"

Je mets des guillemets car, en général, les pêcheurs de couillons ne s'embêtent même pas à falsifier aussi finement une url de site Web...

@+
--
Pierre

Citation :
Pour toi tous ceux qui se font avoir sont des couillons, c'est pas sympa comme qualification.

À part ça on ne sait pas ce qu'il advient d'Internet Explorer face à ce problème ?

Tout porte à croire qu'il n'est pas concerné

Citation :
C'est ambigu, car selon l'article originel de Xudong Zheng, IE serait impacté, captures d'écran à l'appui:
https://www.xudongz.com/cache/271546c9 ... e435406779ef9e4210daa.png
https://www.xudongz.com/cache/95b7f81c ... 99abf7ce72455eabd442b.png

Mais l'article de ghacks.net affirme que IE, Edge, Safari et Vivaldi ne seraient pas concernés:
Citation :

A chacun de tester ses navigateurs donc.
Si vous cliquez sur https://www.xn--80ak6aa92e.com et que votre navigateur affiche https://www.apple.com c'est qu'il s'est fait avoir, et vous aussi peut-être par la même occasion.

Wullfk a écrit:

Citation :
Ou des tanches, si on veut rester dans le domaine de la pêche à la ligne

Citation :
L'IE11 gentiment fourni avec mon Win7 semble au niveau de Vivaldi, sur ce point