[ImoLUG] [Fwd: Nuova tecnica di furto password: tabnabbing]

[Fabio Fabbri]

Il 31/05/2010 14:54, Riccardo Govoni ☢ ha scritto:
> Occhio che con l'apertura all'utilizzo di caratteri unicode negli url
> non e' sempre cosi facile. Tipo potrei registrare un gmail.com
> <http://gmail.com> dove la i é in realtà un carattere unicode diverso ma
> molto simile.

La maggior parte dei browser dovrebbe aver risolto questo problema: se 
in un dominio sono stati mescolati caratteri latini e caratteri di altre 
tabelle unicode, viene mostrato il formato "grezzo", e incollando l'url 
gmaіl dot com (io ho veramente usato la і cirillica) dovrebbe mostrare 
xn--gmal-n9d dot com

(stando ai whois è intestato a Google, e io non riesco a vederlo per 
chissà quale filtro, comunque visitatelo a vostro rischio...)

> In questi casi e' il
> certificato https a salvare le braghe, ma iniziamo ad andare sul
> complicato per l'utente comune.

Per esempio la password dell'account gmail la metterei solo nell'url 
https://www.google.com/accounts/Login recuperandolo dai segnalibri, e 
nel mio browser il suo favicon è su uno sfondo blu e sulla destra c'è la 
stellina che indica che è nei segnalibri. Non credo che cascherei nel 
tranello segnalato...

Fabio