Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

[fr] Shmoo exploit explained in French.

Je n’ai pas le temps de lire tous les détails, donc je vais laisser quelqu’un d’autre (avec peut-être des connaissances techniques un peu plus solides que les miennes) expliquer exactement de quoi il en retourne.

En gros, il semblerait que cet exploit fasse le bonheur des adeptes du phishing.

Si vous utilisez FireFox, voici les instructions données par BoingBoing:

  1. Tapez about:config dans votre barre d’adresses.
  2. Utilisez le filtre pour trouver network.enableIDN
  3. Double-cliquez sur la ligne qui apparaît pour que la valeur devienne false

Edit 09.02.2005: mise à  jour FireFox qui doit régler ce problème.

Comme je l’ai dit, je n’ai pas investigué cette histoire à  fond, mais les sources me semblent fiables. Revenez par ici pour voir s’il y a du nouveau. Gardez aussi un oeil sur le cosmos Technorati de l’article sur BoingBoing.

Au risque de se répéter: Ne jamais cliquer un lien dans un e-mail. Toujours copier-coller. Ne jamais cliquer un lien dans un e-mail. Taper l’adresse à  la main dans le navigateur.

Similar Posts:

This entry was posted in Stuff that doesn't fit and tagged browser, exploit, firefox, idn, security, shmoo, Software and Tools. Bookmark the permalink.

18 Responses to Problème de sécurité dans navigateurs non-IE (Firefox, Safari…)

  1. Steph says:

    En anglais, une explication plus explicite de comment ça fonctionne:

    http://www.livejournal.com/users/rjl20/446919.html

    En gros, IDN permet l’utilisation de caractères utf-8 dans les URL. Cet exploit utilise la ressemblance graphique de certains caractères pour envoyer l’utilisateur sur un autre site que celui qu’il imagine. Dans le “proof of concept” publié par le groupe Shmoo, le premier “a” de “paypal” est remplacé dans l’URL par un caractère dont la forme graphique ressemble à  s’y méprendre à  un “a” normal, mais qui est en fait un autre caractère.

  2. Steph says:

    Une explication un peu plus technique en français (merci Corsac):

    http://www.k-otik.com/bugtraq/bulletins/908

  3. Pingback: Bertrand's weblog

  4. Pingback: serendipity

  5. Steph says:

    Qui s’est endormi, Chris?

  6. chris waigl says:

    C’est ta faute, avec notre discussion sur les allophones !! Bleah. J’ai changé le titre du billet, bien sur, mais pas le permalien.

  7. Steph says:

    Qui s'est endormi, Chris?

  8. chris waigl says:

    C'est ta faute, avec notre discussion sur les allophones !! Bleah. J'ai changé le titre du billet, bien sur, mais pas le permalien.

  9. dr Dave says:

    This potential exploit was mentioned, discussed, waved around and overall beaten to death when the idea of allowing unicode characters in domain names first came up, I’d say, about a full year ago. I do remember, among other thing, the usual 500+ thread on Slashdot at the time…

    Whoever at Apple and Mozilla (and most of all the people who came with the RFC) didn’t see that one coming is not only ridiculously stupid (unicode collisions and their dangers usually stand somewhere in the second paragraph in any text talking about encodings) but also very, very deaf.

  10. Timtom says:

    Si jamais, le plugin Saft pour Safari permet d’afficher un message d’alerte s’il identifie une URL IDN et en affiche le contenu réel.

Leave a Reply

Your email address will not be published. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>