Новости инфобеза

[beldmit]

Поскольку я сейчас не пишу платных материалов по инфобезу, то выложу здесь несколько ссылок, чтобы не пропадали.

Это отчёт компании Qrator о состоянии с DDoS-атаками по итогам 2016 года. Написано хорошо и понятно даже неспециалисту. Лучшая фраза оттуда, пожалуй, такова:

В 2017 году самым опасным человеком для сферы информационных технологий может оказаться подросток лет 18—19 с улыбкой на лице и парой биткоинов на электронном кошельке, проживающий где угодно на земном шаре. Не сыграет роли внутренняя или внешняя политика могучих держав.

Вторая новость из доменно-браузерной области, так что затрагивает примерно всех.
Несколько дней назад появилась публикация, из которой следовало, что браузеры, стремясь изобразить IDN-домены в человекочитаемом виде, способствуют фишингу. В качестве примеров был взят домен аррӏе.com (все символы в имени из кириллицы, смешивать их с латиницей нельзя, чётвёртая буква - уникодный символ PALOCHKA из кавказских языков). А если учесть, что TLS-сертификат теперь можно получить бесплатно, возможности для фишинга открываются довольно богатые. В качестве рекомендаций предлагают выключить в Mozilla изображение в человекочитаемом виде, а Google Chrome уже вроде бы выключил такое отображение в версии 58 (должна обновиться сегодня).

Хорошего решения тут не найти. Довольно давно запрещено смешение символов из разных кодовых страниц уникода в доменном имени, именно чтобы избежать фишинга. С другой стороны, отображение имён в человекочитаемом виде - благо. В том ПО, которое пишем мы с коллегами, отображение для IDN-доменов мы выводим в двух вариантах.

В выбранном решении утрачивается человекочитаемость (то есть то, ради чего все IDN-домены и выводились на рынок), но вероятность фишинга уменьшается. Но не до нуля: кириллицу от латиницы так отличить можно, а какую-нибудь условную одну крокозябрицу, которая имеет внутреннее представление xn--foo.com от другой с представлением xn--bar.com - уже не очень.

Ссылка на обсуждение в Chrome Bugzilla.
Позиция Mozilla на тему отображения IDN-символов.

Comments

[somejournal]

"Хорошего решения тут не найти" - похерить IDN. разве ж не говорили, что такие ситуации возникнут?

[dzz]

IDN-домены вводились не для человекочитаемости, а для сегментирования рынка и возможности ещё N раз продать доменное пространство с национальным акцентом :)

IMHO, IDN - это зло, разделяющее интернет на много маленьких языковых квартирок. Ну и риски фишинга, действительно, сильно ненулевые.

[beldmit]

Ну, я немного ближе к этой кухне. Человекочитаемость в успехе IDN-имён сыграла большую роль в России.

[dzz]

Насколько я помню, Андрей Колесников продвигал идею домена .рф именно с целью срубить немного денег :)

Я, конечно, давно уже не в теме, но было бы интересно сравнить посещаемость "человекочитаемых" и "нечеловекочитаемых" доменов российских сервисов, это хорошо показало бы реальную пользу человекочитаемости.

[beldmit]

Вы говорите о срубить немного денег так, как будто в этом есть что-то плохое :)

Зона добралась до 900 тысяч, продлевается неплохо, используется в наружной рекламе - неплохая ниша. Часть адресов да, редиректы на RU (5,5 миллионов). Информацией о посещаемости не располагаю.

[vitus_wagner]

Это латиноалфавитный шовинизм!

[dzz]

"Даёшь ASCII, долой крокозябры!" :)

Мне всегда хотелось посмотреть на процесс ввода арабского IDN на русской клавиатуре без IME/IBUS...

[beldmit]

А зачем? Если ЦА есть не только на арабском, то владелец домена себе синоним заведёт. На Windows/Linux есть character map, про Mac не в курсе.

[dzz]

Дык, допустим, я читаю по-арабски, но нахожусь в интернет-кафе в Луизиане. Я даже доменное имя ввести не смогу. А посмотреть сам сайт - легко, ибо юникод животворящий.

[beldmit]

Сможете. Charmap.

[dzz]

Ну, это какой-то паллиатив, неудобно же. Хотя, on-screen keyboards несколько подкрашивают пилюлю.

[netch]

А ещё есть ввод явным кодом (Windows: Alt+цифровая клава, десятичный; Unix: gtk-based: Ctrl+Shift+U+код; шестнадцатеричный). Хотя это ещё "аварийнее", конечно.

[vitus_wagner]

Арабского не разумею, а вот так - могу: Ελλιтικα
Это я честно набрал на клавиатуре, правда в vim-е, а потом скопировал в браузер.

[dzz]

Возвращаясь к теме фейсбука и религии, поднятой тобой вчера, английский - это "интернет-латынь" нашего времени. А введение IDN напоминает протестантизм с его стремлением перевести священные тексты на местные языки :)

[vitus_wagner]

Как мы знаем, протестантизм способствовал прогрессу и привел в конце концов к возникновению машинной цивилизации.

Хотя Сервета, конечно, жалко.

[qkowlew]

Даже в рамках ASCII есть прекрасные mai1.ru...

IDN просто расширило лужайку для кормления заек.

[beldmit]

И yanclex!

[vitus_wagner]

Что-то вспомнилась мне скачанная не помню откуда отсканнированая книга Маккеффри в оригиналие. Там во всей книгe clear и dear путались.

[netch]

Ну, сканы с OCR это отдельная тема. Сложно найти такой, где бы не путались "с" и "е". Даже в авторах: книгу Арсака "Программирование игр и головоломок" видел выложенной с "Ареак" в названии файла, хотя в статье двумя строчками выше было сказано "Арсак". "Энциклопудия", однако.

В фэнтези типично также там, где всякие эльфийские имена и подражающие им, видеть ’ (U+2019) там, где положено быть ʼ (U+02BC). Но это ещё и проблема раскладок Windows.

[p_govorun]

https://www.anekdot.ru/an/an9903/o990327.html#29

В дополнение к истории про шампунь Орех-Опекс. :)
Кто обращал внимание на детский крем ТИК-ТАК, знает, что название
на тюбике написано как бы письменными буквами, а выглядит именно так:
muk mak. Глядя на это название моя тетя и прочитала:
- МУК МАК...
На что дядя резонно заметил, с учетом правил чтения в английском:
- Не МУК МАК, а МАК МЭК!

Кто же мог догадаться что это ТИК ТАК... :))

[qkowlew]

Марка молока "Авида" моею супругой совершено искренне прочитывалась как "Абуга" :)

[dzz]

Зато в названии печенья "Kambly" с учётом особенностей шрифта уверенно читается кириллически-тюркское "Катыч" :)

[netch]

Я как-то в детстве "Родопи" на болгарских сигаретах прочитал как "Pogonu". Ну тут ещё болгары своими специфическими формами букв помогли.