ISC commenta l'apertura ai caratteri non latini nei ccTLD

Due giorni fa l’ICANN, ente no-profit che – tra i numerosi incarichi correlati alla rete Internet – provvede ad assegnare indirizzi IP ed a svolgere un’attività di gestione dei nomi a dominio di primo livello (TLD), ha autorizzato l’introduzione di codici internazionali di dominio (ccTLD) contenenti set di caratteri diversi dall’alfabeto latino (a-z).
Tali domini di primo livello (TLD), sono riservati agli stati od ai territori indipendenti e sono formati da due lettere: si tratta della sigla posta alla destra di qualunque nome a dominio (esempio: .it). L’ICANN permette l’impiego di caratteri non latini all’interno dei domini di primo livello nazionali (esempio: .it, .fr, .de, .cz, .fi, etc…; i domini di primo livello generici sono invece, ad esempio, i ben noti .com, .net, .org ma anche .gov, .mil, .biz,…).

Come si osserva anche dall’Internet Storm Center (SANS) non si tratta di un cambiamento davvero epocale. Per diversi anni abbiamo infatti utilizzato nomi di dominio internazionalizzati (IDN) contenenti caratteri dell’alfabeco greco, cirillico, cinese e così via. L’unica novità sta solamente nel fatto che anche i domini di primo livello potranno essere scritti ricorrendo a caratteri diversi da a-z.

Da un punto di vista della sicurezza, tuttavia, ci potrebbe essere qualche “scuotimento”. L’Internet Storm Center torna infatti con la memoria a quando furono lanciati i nomi di dominio internazionalizzati (IDN): nomi a dominio ed addirittura connessioni SSL potevano essere falsificate in modo molto credibile. I produttori di server web, firewall, e sistemi di “intrusion detection” ebbero un gran da fare per estendere i controlli all’intero “parco” dei caratteri Unicode (sino ad allora ci si era concentrati solo sui caratteri ASCII).
Viene ad esempio ricordato il cosiddetto “homograph attack”: a titolo esemplificativo, in questa pagina veniva illustrato un esempio di attacco nei confronti di Paypal. Un “truffatore” poteva allestire una pagina web “maligna” inserendo un falso link verso Paypal (o qualunque altro sito Internet): tutti i principali browser visualizzavano l’URL nella forma www.paypal.com sebbene il link posse espresso nella forma http://www.pаypal.com/. Cliccando sul link, in realtà, si veniva reindirizzati verso xn--pypal-4ve.com.
Per gli aggressori si trattava di una vera e propria manna dal cielo: la possibilità di porre in essere, facilmente, attacchi phishing su scala mondiale.

Con l’introduzione dei TLD con caratteri non latini – scrive l’Internet Storm Center – la storia potrebbe in qualche modo ripetersi sebbene le soluzioni per sanare il problema siano ormai ben note.