Climb to the Stars - Latest Comments in Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

Re: Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

Timtom — Wed, 09 Feb 2005 10:38:24 -0000

Si jamais, le plugin Saft pour Safari permet d'afficher un message d'alerte s'il identifie une URL IDN et en affiche le contenu réel.

Re: Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

dr Dave — Wed, 09 Feb 2005 05:48:42 -0000

This potential exploit was mentioned, discussed, waved around and overall beaten to death when the idea of allowing unicode characters in domain names first came up, I'd say, about a full year ago. I do remember, among other thing, the usual 500+ thread on Slashdot at the time...

Whoever at Apple and Mozilla (and most of all the people who came with the RFC) didn't see that one coming is not only ridiculously stupid (unicode collisions and their dangers usually stand somewhere in the second paragraph in any text talking about encodings) but also very, very deaf.

Re: Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

chris waigl — Tue, 08 Feb 2005 16:31:38 -0000

C'est ta faute, avec notre discussion sur les allophones !! Bleah. J'ai changé le titre du billet, bien sur, mais pas le permalien.

Re: Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

Steph — Tue, 08 Feb 2005 15:52:55 -0000

Qui s'est endormi, Chris?

Re: Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

Steph — Mon, 07 Feb 2005 12:53:38 -0000

Une explication un peu plus technique en français (merci Corsac):

http://www.k-otik.com/bugtraq/bulletins/908

Re: Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

Steph — Mon, 07 Feb 2005 12:32:24 -0000

En anglais, une explication plus explicite de comment ça fonctionne:

http://www.livejournal.com/users/rjl20/446919.html

En gros, IDN permet l'utilisation de caractères utf-8 dans les URL. Cet exploit utilise la ressemblance graphique de certains caractères pour envoyer l'utilisateur sur un autre site que celui qu'il imagine. Dans le "proof of concept" publié par le groupe Shmoo, le premier "a" de "paypal" est remplacé dans l'URL par un caractère dont la forme graphique ressemble à s'y méprendre à un "a" normal, mais qui est en fait un autre caractère.