Punycode – Cuidado com os endereços no Chrome e Firefox

Apesar de toda a inovação, os "velhinhos" ataques de phishing continuam a fazer muitas vítimas e a servir de inspiração para novos ataques. Normalmente este tipo de ataque chega por e-mail apresentando um link que aparentemente é fidedigno e até conhecido. Mas na verdade não o é!

Para quem usa o Chrome ou o Firefox esteja atento pois aquilo que pode parecer, não é!

Os browsers são hoje ferramentas fundamentais em qualquer sistema. A segurança do utilizador é um ponto chave, mas sabia que os browser mais populares podem enganá-lo? É verdade, imagine por exemplo que na barra de endereços tem o URL do seu banco e o link até tem https. Aparentemente está tudo certo e supostamente até estamos perante um site seguro, no entanto, no Chrome e Firefox pode não ser bem assim.

Punycode - Mas afinal qual o problema?

O problema está no próprio URL que apesar de parecer legítimo não o é, isto por causa dos caracteres unicode que permitem URLs com caracteres existentes em outros idiomas que são muito parecidos com os que conhecemos. Tanto o Chrome como o Firefox apresentam os links com os caracteres Unicode e não no formato punycode.

Vamos a um exemplo

No site wordfence está disponível um exemplo que permite perceber melhor esta "falha" nos browsers. Para tal foi criado o domínio "epic.com" que aponta para um site falso (mas o endereço parece o original ). Se carregarmos nesse site percebemos que na verdade não estamos a aceder a epic.com mas sim ao domínio https://www.xn--e1awd7f.com. Veja, por exemplo, com o Internet Explorer. O endereço original é este: epic.com.

Tal acontece apenas no Chrome e Firefox pois estes dois browsers não apresentam o endereço no formato punycode.

Esta falha afeta as versões atuais do Chrome (57.0.2987) e também do Firefox (52.0.2). No Internet Explorer e Safari não existe qualquer problema. Como pode ser resolvido o problema no Firefox:

• Na vossa barra de endereços escrevam ‘about:config’ sem as pelicas.
• Procurem por ‘punycode’ sem as pelicas.
• Devem encontrar um parâmetro intitulado: network.IDN_show_punycode
• Mudem o valor de false para true.

Agora, se forem experimentar depois de colocar o true, ao visitar o site de demostração deverá ver assim:

Para o Google Chrome ainda não há método de reparar mas, logo que seja disponibilizado, daremos conta das novidades. Leia também: