Panorama

xn--hnel-5qa.net - was ist mit der Adressleiste los?

In diesem Artikel möchte ich kurz erläutern, warum Firefox & Co. aus hönel.net die unpopuläre Version xn--hnel-5qa.net machen. Nun, seit einiger Zeit erlaubt die ICANN das Registrieren von Umlautdomains, oder besser gesagt „International Domain Names“, kurz IDN. Diese Domains dürfen Buchstaben enthalten, die nicht zum Latin Alphabet gehören. Also die bekannten deutschen Umlaute äöü zum Beispiel. Soweit sogut.

Das Problem an der ganzen Geschichte ist, dass man damit auch ziemliches Schindluder treiben kann. Es gibt nämlich Lettern in anderen Alphabeten, die den bisher erlaubten sehr ähnlich sehen und deren Auftauchen in der Adresszeile des Browsers für den Endnutzer keinen optischen Unterschied darstellen. Ich habe von einem Beispiel mit der bekannten Webseite paypal.com gelesen. Wenn man in kyrillischen Buchstaben „raural.com“ registrieren würde (ich habe leider keine kyrillischen Buchstaben auf meiner Tastatur), so würde der Browser dies in der Adressleiste tatsächlich als „paypal.com“ darstellen.

Damit kann man, wie Ihr euch vorstellen könnt, viele krumme Dinger abziehen. Angenommen Ihr befindet euch bereits unwissend auf einer Phishing Webseite oder bekommt eine authentisch wirkende Email, in der ein Link auf eben diese Seite „raural.com“ ist. Ihr fahrt mit der Maus über den Link und die Statuszeile eures Browsers oder E-Mailclienten zeigt „paypal.com“. Ihr glaubt, bei einem Klick auf der tatsächlichen Seite zu landen. Stattdessen landet Ihr auf einer Phishing-Site, wo prekäre Daten abgegraben werden.

Die Lösung: Die großen Second-level Registrare müssen sicherstellen, dass solche Domains nicht registriert werden können, was auch prima klappt. Also für .com, .de und viele andere TLD's ist das echt praktikabel. Nur leider konnte sich kein verantwortliches Land für .net finden. Deshalb ist .net nicht auf einer Whitelist in Mozilla Browsern. .net Umlautdomains werden in Punycode (↗ Wikipedia: Punycode) dargestellt. Punycode ist Schreibweise von Umlautdomains mit dem ASCII Alphabet. So kommt es, dass Mozilla bei .net Umlautdomains, speziell hier http://hönel.net euch den Namen in Punycode in die Adressleiste haut, damit auch wirklich jeder sieht, dass er auf einer potentiell gefährlichen Seite unterwegs ist.

Der Workaround: Wer .net IDN's manuel auf Mozilla's Whitelist packen will, der tut folgendes:

  • in die Adresszeile about:config eingeben und Warnungen bestätigen
  • einen Rechtsklick in das Fenster machen und neu → Boolean wählen
  • als Name der neuen Eigenschaft network.IDN.whitelist.net eingeben
  • der neuen Eigenschaft den Wert true zuweisen

Sofort schaltet Firefox um und zeigt euch von nun an Umlautdomains in ihrer Originalschreibweise an. Übrigens: Überraschenderweise haben der Internet Explorer, Opera, Chrome und Safari kein Problem damit, euch auf potenziell unsicheren Seiten surfen zu lassen. Diese Browser zeigen euch prinzipiell den originalen IDN an. Ich wollt's nur gesagt haben.

Ich möchte natürlich noch sagen, dass Ihr selbst dafür verantwortlich seit, wenn euch Schäden durch diese Änderung enstehen. Wer noch weiter lesen möchte, hier ist noch ein Artikel dazu (englisch): PayPal vs Fake PayPal: Can You Tell the Difference?

Comments for this article

Write a comment:
Your email address is not published. I will only use it to send notifications about new comments, if you wish to receive them. If you have an avatar on gravatar.com, it will be shown in your comment using the hash of your email address (main usage of your email address).

For this article there are no comments yet.

Article: Siblings
This article is available in the following languages:
Article: same category
Beside this article there a several others in this category:
Categories: navigation
You can view the directory of this category:
This category has the following direct children: