Die jüngsten Warnungen vor Phishing-Attacken im Rahmen der Einführung internationalized Domain Names (IDNs) hat auch bei der Internet Corporation for Assigned Names and Numbers Spuren hinterlassen. In einer ersten Presseerklärung zeigte sich ICANN äusserst besorgt über die aktuellen Ereignisse. Konkrete Maßnahmen blieb man aber zunächst schuldig.
Und wenn ich nicht mehr weiter weiss, dann gründe ich einen Arbeitskreis – an dieses politische Bonmont fühlt man sich anlässlich der jüngsten ICANN-Aktivitäten erinnert, mit denen man dem Phishing-Problem bei Umlaut-Domains beikommen will. Mit dem globalen Anspruch von ICANN soll nun erst mal die viel beschworene Internet-Community ihre Meinung und Ansicht kund tun, wie das Phänomen der »homographischen Attacke« gelöst werden könnte. Dabei werden Zeichen wie die Zahl »0« und der Buchstabe »o«, die auf den ersten Blick identisch erscheinen, technisch jedoch zu völlig verschiedenen Internetangeboten verweisen können, jedenfalls theoretisch in Domains wie postbank.de zu Phishing-Zwecken missbraucht. Erhebliche Verwechslungsgefahr droht dabei durch Zeichensätze zahlreicher verschiedener Sprachen, wie dem lateinischen und dem griechischen Alphabet, aber auch asiatischen Sprachen wie Chinesisch, Japanisch und Koreanisch.
ICANN versäumt es in der Erklärung nicht, darauf hinzuweisen, dass man sich schon vor Einführung der Umlaut-Domains mit dem Phänomen der homographischen Attacke befasst hatte. Restlos erfolgreich scheinen diese Bemühungen jedenfalls nicht gewesen zu sein. Grund zur Panik besteht aber ohnehin nicht; wer sicherheitssensible Daten im Internet verwendet, sollte eben nicht per Link, sondern direkt per Eingabe der Domain oder selbst gesetztem Bookmark auf das Angebot zugreifen. Für Otto-Normal-Surfer, der keine Daten eingibt, sondern lediglich Informationen sucht, besteht dagegen wenig Risiko.
Die Browser-Entwickler von Firefox haben auf die aktuelle Entwicklung inzwischen reagiert: in der Version 1.0.1 werden IDNs wie angekündigt in der Punycode-Form angezeigt; allerdings soll diese Lösung nur vorübergehend verwendet werden. Auch die zweite Beta-Version von Opera 8 bietet neue Sicherheitsfunktionen innerhalb des URL-Eingabefelds, darunter die Beschränkung auf die Anzeige von IDNs von Top Level Domains, die strikte Vergaberegeln befolgen.