Homograph Attack

Définition

L'attaque homographe (ou homoglyph attack) exploite la similarité visuelle entre des caractères de différents systèmes d'écriture (Unicode) pour créer des domaines, URLs, ou noms de fichiers qui semblent identiques à des cibles légitimes mais sont en réalité différents. Cette technique est utilisée pour le phishing, l'usurpation d'identité, et les attaques de supply chain. L'encodage IDN (Internationalized Domain Names) permet d'enregistrer des noms de domaine avec des caractères non-ASCII via l'encodage Punycode. Des caractères cyrilliques (а = U+0430), grecs (ο = U+03BF), ou d'autres scripts ressemblent visuellement à des lettres latines standard mais sont encodés différemment. Un domaine comme pаypal.com utilisant le 'а' cyrillique (U+0430) au lieu du 'a' ASCII (U+0041) s'affiche identiquement à paypal.com dans de nombreux contextes mais pointe vers un serveur différent. Des exemples documentés incluent : un chercheur qui a enregistré xn--80ak6aa92e.com (qui s'affichait comme apple.com dans Chrome et Firefox avant correction), et des registrations homographes de grandes banques et services de paiement utilisées dans des campagnes de phishing. Les navigateurs modernes ont ajouté des protections : Chrome et Firefox affichent la version Punycode (xn--) pour les domaines avec des mélanges de scripts (latin+cyrillique) ou des caractères qui ressemblent trop à des caractères ASCII courants. Cependant, ces protections ne couvrent pas tous les cas (domaines en script unique non-latin sont affichés en Unicode) et les clients email sont souvent moins protégés. Des variantes modernes ciblent des contextes autres que les URLs : des noms de packages npm (comme ua-parser-js avec des variantes homographes pour des attaques supply chain), des noms de fichiers dans des systèmes de fichiers Unicode, et des usernames sur des plateformes sociales.