Mis proyectos: аррӏе.com y xn--80ak6aa92e.com lucen igual, diversos navegadores web fallan en detectar el ataque homográfico

Soy informático y visito con regularidad el sitio web genbeta.com para estar al tanto de las novedades en informática. El día de hoy vi una noticia curiosa, diversos navegadores web pueden mostrar erróneamente ciertos caracteres en la barra de direcciones, haciendo que una dirección web se muestre como otra y con ello engañar al navegante.
Este artículo que redacto está basado en el artículo de Genbeta, pero me di a la tarea de probar en que navegadores (de los que tengo instalados) se presenta el problema y como solucionarlo (por lo menos en Firefox), espero les sea de utilidad.

Cuando en la barra de direcciones de nuestro navegador web favorito ingresamos una dirección web en formato de dirección IP, el navegador traduce dicha dirección a una dirección alfanumérica (números y letras) y entonces se muestra en nuestra barra de direcciones, si por ejemplo teclearamos 216.58.193.46 entonces veríamos que el navegador nos direcciona y muestra en la barra la dirección google.com, pero si tecleamos una dirección que comience con la secuencia xn-- entonces el navegador convierte la dirección en código Puny y muestra dicha dirección en la barra de navegación, pero la web a mostrar no es la que vemos en la barra de direcciones, sinó la de la secuencia xn--.

He ahí un problema, de acuerdo con el artículo de Genbeta, un usuario podría ser engañado con una dirección de este tipo, por ejemplo si se le envía un enlace a su correo con una dirección web, ejemplo https://www.xn--80ak6aa92e.com , al hacer clic el navegador nos mostrará en la barra de navegación la dirección https://www.apple.com , pero en realidad lo que estamos mirando no es la web de apple.com, sinó la dirección de 80ak6aa92e.com.

Peor aún, al pasar el puntero del mouse sobre el enlace, el navegador tampoco muestra la dirección correcta en la barra de estado, por lo que detectar el engaño es muy difícil. A continuación muestro algunas capturas de pantalla de varios navegadores donde se presenta el problema y en los que no.

Chrome 57 (el problema existe)

Firefox 52 (el problema existe, pero es posible corregir)

Ahora muestro que este problema no existe en navegadores un tanto anticuados, pero los tengo por cuestiones de compatibilidad, irónicamente en ellos no se presenta el error que estamos tratando.

Internet Explorer 11

Opera 11

Safari 5 (la web y la dirección en la barra de navegación se muestran correctamente)

Vivaldi 1.4 (la web y la dirección en la barra de navegación se muestran correctamente)

Ahora que estamos al tanto de que navegadores web tienen el problema y cuales no, es justo preguntarse, ¿qué podemos hacer?, bueno, una opción lógica es actualizar nuestro navegador web si presenta este problema. Lamentablemente no hay una solución todavía para el caso de Chrome, es posible que se corrija para la versión 58, así que tendremos que esperar, mientras tanto no abramos ninguna dirección web que nos envíe un desconocido por correo electrónico ni por otro medio.

Por otro lado, en Firefox si es posible remediar el problema (probado en Firefox 52). Para ello escribamos en la barra de direcciones about:config y presionemos la tecla ENTER, debemos ver una pantalla como la siguiente:

Presionemos el botón ¡Acepto el riesgo! y en el área de búsqueda de la nueva pantalla escribamos network.IDN_show_punycode y presionamos ENTER nuevamente. Si el valor de la clave contiene el valor false, daremos un doble clic sobre ella para alternar su estado, ahora debe decir true, reiniciaremos nuestro navegador web.

Ahora ingresaremos nuevamente la dirección https://www.xn--80ak6aa92e.com en la barra de direcciones, y esta vez Firefox muestra todo correctamente.