看起来一样，但又不一样 - IDN homograph attack

【不要被老千给骗了，“a”跟“α”是不一样的，👀要睁大大粒看清楚哦！
“α”这个符号叫alpha，绝对不是“a”咯】

☝️☝️☝️
想必大家都看过这个贴文吧？
但，这要如何防范呢？🤔

======== 分割线 ========

Contents hide

I ⛔️ 你看得出这两个字母的差别吗？ ⛔️

I.I 🔐 个人应该如何防范：

II 📌 以下是我去了解这个问题的过程 📌

III 所有参考资料:

⛔️ 你看得出这两个字母的差别吗？ ⛔️

а (Cyrillic “а”)并不是 a
这个 mаybank ，跟这个 maybank 是不同的！
但，有多少人能够看得出差别呢？

这个叫 “IDN homograph attack”
利用看起来很像的字母鱼目混珠。

🔐 个人应该如何防范：

(1.) 使用知名游览器(Eg: Chrome / Firefox 等等) 游览网站
虽然他们有做了一些防范机制，但并不是 100% 能够预防这个问题

(2.) 自己输入网址！

(3.) 不要随便点击任何链接！

(4.) 使用 Password Manager (Eg: 1Password)
若你进入不正确的网站，Password Manager 不会帮你进行 autofill，因此减少密码泄漏的风险

======== 分割线 ========

📌 以下是我去了解这个问题的过程 📌

（提醒：内容非常枯燥乏味 & 极度无聊）

首先，
我就尝试去各大知名平台购买有 “α” （Alpha）的域名（Domain）。
毕竟… 若无法购买的话，那这个问题将不存在。

一开始，我把“α” （Alpha）放在域名内，打算进行购买。
例如： Lαilearns.com

但很遗憾的，多数的域名注册商(Domain Name Registrar) 只允许（字母 + 数字 + “-”）的域名组合，所以无法购买拥有 α 的 TLD。
我也为了核实这个信息，向gxdxxxy 的客服询问，

这个是我得到的答复：
“Hello Lai, Any special characters aside from – is not supported”

这个时候，聪明的小伙伴可能会说，可以使用 “Punnycode” 啊！
的确，因为无法在输入栏位输入其他语言的文字。

因此：若想要注册的域名为 “γειάσου.com”
可以购买：“xn--hxangq5axp.com”

可是，难道就真的那么简单吗？
为了确认，
我去找了 nxxxxxxxp 的客服，
以下是他的讲解：

“Internationalized Domain Names (IDN) work by encoding the domain name using a system called Punycode. When you wish to register an IDN domain, our system automatically converts the domain name into Punycode for the encoded version of the domain name to be registered. When the user enters a URL containing an IDN domain into the web browser, it will convert the IDN domain into Punycode and resolve that domain.

The coding of IDN domains is based on Punycode, so for example, your domain name will be displayed as xn--hxangq5axp.com in your account and in our system, however browser will display it as γειάσου.com.“

为了避免有人仿冒其他人/企业，他们也制定了一些规则：

“α (alpha) belongs to the Greek alphabet, so the entire domain name should be in Greek.”

“If the domain is written entirely in Greek, it is considered to be an IDN ( Internationalized Domain Names ). Please note that there cannot be several languages within one domain name.”

To avoid confusion and prevent fraud, IDN domain names may only be composed of characters from a limited subset of a given language or script. This is to prevent “homograph” attacks and other security problems, as well as to resolve issues related to character variants within and between writing systems.

因此，citibαnk.com 属于（Greek + English），因此无法在这个Registrar购买该域名。

当我觉得这个问题不会存在的时候，
我随口问问了网上的其他 Domain Name Registrar。
但貌似，并非每个Domain Name Registrar 会那么严格。

虽然Chrome / Firefox 等等游览器，也为此做了一些防范机制，

https://chromium.googlesource.com/chromium/src/+/master/docs/idn.md

但，我认为还是小心为妙。

======== 分割线 ========