研究：西里尔形近域名绕过Chromium反抢注保护

据 Have I Been Squatted 的一篇博客文章，一个使用西里尔形近字符的域名 аррӏө.com 绕过了 Chromium 的反误植域名保护，尽管它与 apple.com 极为相似。该研究由 Bruno Ferreira 撰写。

Chromium 维护了一份包含 29 个与拉丁字母相似的西里尔字符的列表，完全由这些字符组成的域名会被拒绝。然而，西里尔字符 ө 不在该列表中，因此 аррӏө.com 未被转换为 Punycode 形式。

相比之下，将单个西里尔形近字符（如西里尔字母 а）混入拉丁字母的域名（例如 аpple.com）会以 Punycode 形式显示为 xn--pple-43d.com。

据称，Chromium 还维护了一份超过 8,000 个可能被误植域名的热门域名列表，并对其中 836 个执行更严格的检查。Chromium 是 Chrome、Edge 和 Brave 浏览器的底层引擎。

背景

当 IETF 允许域名中使用 Unicode 字符时，安全专家曾警告形近字符可能被用于误植域名攻击。2020 年的一项研究发现，Chromium 检测到 64.1% 的形近域名尝试，高于火狐狸和 Safari。

Have I Been Squatted 建议公司注册形近域名，并鼓励用户使用通行密钥。