Hi all

Sicherlich sind Sie über die Ankündigung der ICANN informiert, dass internationale Domain-Namen (IDNs) zukünftig nicht-lateinische Zeichen unterstützen werden. Im folgenden finden Sie einen Kommentar von Peter Wood, Mitglied des Veranstaltungskomitees der ISACA und Gründer der First Base Technologies, zu den resultierenden Risiken für die Websicherheit und zum Phishing-Risiko:

Derzeit setzen sich Web-Adressen aus westlichen Schriften zusammen, deren Zeichen aus dem lateinischen Zeichensatz entnommen sind. Die ICANN hat angekündigt, dass internationale Domain-Namen nun auch nicht-lateinische Zeichensätze unterstützen, darunter Mandarin, Arabisch, Hindi und kyrillische Schrift. ICANN erwägt ferner die Erweiterung der generischen Top-Level-Domains (wie .com und .org) von derzeit 21 definierten Endungen auf eine nahezu unbegrenzte Menge von Endungen in fast allen Sprachen und Zeichensätzen.

ISACA teilt das Interesse an einer erweiterten Verfügbarkeit fremdsprachiger Zeichensätze, zeigt sich aber gleichzeitig besorgt darüber, dass eine Erweiterung der verwendbaren Zeichen in Web-Adressen zu verstärkten Phishing-Angriffen führen wird. Eine signifikante Zunahme ergibt sich unter anderem aus dem Versuch, Anwender mittels Ersetzung konventioneller Web-Adressen durch optisch ähnliche nicht-lateinische Adressen zu täuschen. Unterschiedliche Glyphen können je nach Zeichensatz ähnlich oder gleich aussehen: beispielsweise ist das kyrillische kleine A („a“) nicht vom lateinischen kleinen A („a“) unterscheidbar, es handelt sich aber um verschiedene Zeichen. Daraus ergibt sich, dass zum Beispiel „example.com“ im Original nicht von „example.com“ mit einem kyrillischen „a“ in einer geänderten Version zu unterscheiden ist. Eine Webseite könnte diese visuelle Mehrdeutigkeit nutzen, um sich per Spoofing-Angriff als eine andere Webseite zu tarnen.

Gerade jetzt, wo den Anwendern bewusst geworden ist, wie gefährlich Phishing und der gedankenlose Klick auf Links in E-Mails sein können, werden solche Angriffe wieder bedeutsamer. Mehr denn je sollten Anwender die Adresse einer Ziel-Webseite händisch eingeben oder gleich die IP-Adresse verwenden. Wenn eine Webseite besucht werden soll, deren Link oder Inhalt unbekannt ist, sollte man sich zuerst fragen: „was will ich da?“.

Rolf von Roessing, International Vice president of ISACA rät Unternehmen und Personen, ihre Websicherheit und die zugehörige Technologie daraufhin zu überprüfen, ob erweiterte Zeichensätze erkannt werden und somit Spoofing-Angriffe vermieden werden können.