什么是国际化域名？

为了消除不同语言带来的误解，网络浏览器采纳了一套域名规范。域名嵌入在网站的URL中。该规范以罗马字母（即英语所用的字母）为基础，计算机将各类字母转换为对应的数字编码。这一编码被称为ASCII（美国信息交换标准代码）。但许多其他语言包含无法转换为此编码的字符，于是国际化域名应运而生。

为了支持那些包含特殊字符（例如西班牙语、法语、德语）或完全依赖字符表意（比如亚洲或阿拉伯语言）的语言，需要开发一套新系统。在新型系统中，基础URL（通常是首页地址）经过解析并转换为与ASCII兼容的格式。生成的URL（包含“xn--”字符串以及字母和数字的组合）会出现在浏览器的状态栏中。在众多浏览器的升级版本中，它也会出现在地址栏里。

河南等级保护测评传播网络安全知识，分享网络安全政策。115篇原创内容

公众号

存在哪些安全威胁？

攻击者可能利用国际化域名发起网络钓鱼攻击（详情可参阅避免社会工程和网络钓鱼攻击的相关文章）。鉴于部分字符看似相同却有着不同的ASCII编码（例如西里尔字母“a”与拉丁字母“a”），攻击者能够“仿造”网页URL。我们本应访问正规站点，但却可能被引导至一个看上去与真实网站一致的恶意站点。若在该恶意站点上提交个人或财务信息，攻击者便可获取并利用或出售这些数据。

防范措施有哪些？

• 手动输入URL而非点击链接——在浏览器地址栏中输入网址，而不是点击网页或邮件中的链接，能有效降低风险。这样做更有可能抵达正规站点，而非使用相似字符冒充的恶意站点。
• 保持浏览器为最新版本——旧版浏览器让攻击者更易伪造URL，但多数新版浏览器已内置防护机制。如今多数浏览器会显示经过转换的URL（包含“xn--”字符串），而非显示我们“以为”正在访问的URL。
• 观察浏览器状态栏——将鼠标悬停在网页链接上时，状态栏通常会显示该链接的实际URL。如果发现URL包含异常域名（如上述“xn--”开头的字符串），则很可能遇到了国际化域名。若我们本意不是访问国际化域名，或知晓合法站点不需要此类域名，那么应重新考虑是否访问该网站。像Mozilla和Firefox等浏览器在安全设置中提供了是否允许修改状态栏文本的选项。为防止攻击者利用JavaScript篡改状态栏内容以误导用户，建议确保该选项处于禁用状态。