Firefox 用户看过来！弱化 EV 证书后，出现的魔幻案例

dallaslu · 2019-11-27T12:29:49Z

李逵： https://paypal.com/ 李鬼： https://раураӏ.com/

Firefox

自打

李逵

李鬼

22 replies • 2019-11-29 10:39:54 +08:00

codehz

Nov 27, 2019 via Android

1

Chrome 显示为 https://xn--80aa0cbo65f.com

jadec0der

Nov 27, 2019

2

cool

ershiwo

Nov 27, 2019

1

3

network.IDN_show_punycode 设置为 true。

eason1874

Nov 27, 2019

4

之前不是有人注册了一个看起来跟苹果网站一样的域名来说明这个问题了么，后来 Chrome 域名显示就改成 punycode 了，Firefox 居然没改。

jadec0der

Nov 27, 2019

5

@eason1874 都改成 punycode 的话 .中国这种域名就更卖不出去了——虽然本来就没人用

MicrosoftAccount

Nov 27, 2019 via Android

6

手机上看着还是有区别
i.imgur.com/KkBW8BO.jpg

imkuang

Nov 27, 2019

7

chrome 一眼就看出区别了啊

eason1874

Nov 27, 2019

8

@jadec0der #5 这种跟英文字母明显不一样的 Chrome 倒是没有转换。感觉让客户端解决这个问题，不如注册局直接禁止这种字符的使用。

lhx2008

Nov 27, 2019

4

9

这个时候就亮出了我的装 B 域名
http://ડ.com/

d5

Nov 27, 2019 via iPhone

10

🎮binance 李鬼就是这么骗到不少人的

run2

Nov 27, 2019

11

@lhx2008 原来注册几个都没续费，留着吧，可能以后都不能新注册这种了

Osk

Nov 27, 2019

12

恕我直言，弱化 ev 证书真的是智障设计，ev 证书显示个绿锁要命吗？

flyhaozi

Nov 27, 2019

13

被 ESET 拦截了，不装安全软件可能真的注意不到😂

SharkIng

Nov 28, 2019

14

Paypal 会有地域的跳转，而且看小锁颜色也不一样不知道有什么区别

phy25

Nov 28, 2019 via Android

15

比较好的做法是一旦识别到这种带可疑字符格式的域名就自动打回原型。好像是其他浏览器在做的。

取消 EV 高亮的显示似乎是因为研究发现普通用户根本不看（虽然高级用户会看）： https://chromium.googlesource.com/chromium/src/+/HEAD/docs/security/ev-to-page-info.md#Further-Reading

nnnToTnnn

Nov 28, 2019

16

有趣，两个 URL 地址不一样

一个是 https://paypal.com/
另外一个是 https://раураӏ.com/

由于字体的原因导致看起来类似，但是其实 pal 的 l 是不一样的，利用特殊字符导致字体比较类似，似乎又提供了一种 https 的攻击思路。

https://dev.to/logan/homographs-attack--5a1p 介绍的攻击原理

dallaslu

OP

Nov 28, 2019

17

@nnnToTnnn
@codehz
@eason1874
@xiri

所以说，Firefox 蠢得要死，跟 Chrome 的风一起杠 EV。人家是要干赛门铁克，灭掉 EV，但是做得比 Safari 过分（ Safari 不显示公司信息但是有绿 bar ），怕面上不太好看，于是拉拢 Firefox，结果他们忘记自己家的 IDN 默认显示方式了，也跟着不显示绿锁……

dallaslu

OP

Nov 28, 2019

18

@SharkIng 这里的李鬼只是一个实验网站，如果要是钓鱼站，做成一模一样也不是难事

dallaslu

OP

Nov 28, 2019

19

@lhx2008
@nnnToTnnn

这类相似字符有非常之多，详细可看这里： http://www.unicode.org/Public/security/latest/confusables.txt

codehz

Nov 28, 2019

20

@dallaslu #17 其实 chrome 之前也有这个问题。。。后面针对相似字符处理了，但是 ff 没处理，就这么简单。。。

lhx2008

Nov 28, 2019 via Android

21

@dallaslu 我还整理过，有十几个，不过大部分 chrome 都会转，一半 firefox 会转，所以对 chrome 影响不大。我的那个是 chrome 也不转的。

ohoh

Nov 29, 2019

22

win10 默认字体 chrome 不转, 肉眼这两个看不出来