Punycode e nomi di dominio internazionalizzati spiegati

Punycode è una codifica che rappresenta i caratteri Unicode in una forma compatibile con ASCII, usata per i nomi di dominio internazionalizzati. Un dominio scritto con caratteri nazionali può quindi comparire nei dati tecnici come un'etichetta che inizia con xn--. La codifica cambia la rappresentazione, ma non dimostra che un sito web sia autentico.

Etichette Unicode ed etichette DNS

Le persone possono vedere un'etichetta Unicode, spesso chiamata U-label. La sua controparte compatibile con ASCII è l'A-label, che inizia con xn-- quando entra in gioco Punycode. Ogni etichetta idonea compresa tra i punti viene elaborata separatamente. La conversione non codifica l'intero URL: schema, percorso e query seguono altre regole.

Ad esempio, l'etichetta IDN di prova bücher ha come A-label xn--bcher-kva. Entrambe le forme si riferiscono alla stessa etichetta di dominio quando vengono elaborate secondo le regole IDNA applicabili. I registri possono imporre ulteriori restrizioni sulle etichette effettivamente registrabili.

Perché la visualizzazione può cambiare

In base alle proprie regole di sicurezza e di lingua, un browser può mostrare la forma Unicode per un dominio e l'A-label per un altro. Copiando un URL in uno strumento diagnostico può quindi comparire una stringa xn-- poco familiare. Per molti nomi internazionalizzati è normale e non costituisce di per sé la prova di un attacco.

Caratteri di alfabeti diversi, però, possono somigliarsi. Un dominio ingannevole può ricordare un marchio noto pur avendo code point diversi. Punycode codifica fedelmente quei caratteri: non rileva le imitazioni, non verifica la titolarità e non controlla il contenuto di un sito.

Verificare un indirizzo sospetto

Prima di inserire le credenziali, leggi il nome host completo, compresa la parte finale del dominio. Confrontalo con un segnalibro affidabile o con l'indirizzo pubblicato dall'organizzazione. Fai attenzione ai link contenuti nei messaggi che mettono fretta e, se il browser mostra un avviso, controlla il nome riportato nel certificato.

Gli strumenti di conversione possono mostrare le forme Unicode e ASCII, ma la conversione da sola non è un giudizio sulla sicurezza. I dati di registrazione possono offrire un contesto, ma record privati o limitati non possono dimostrare l'identità di un mittente. Nel dubbio, raggiungi il servizio in modo indipendente invece di seguire il link sospetto.

Quando documenti un nome sospetto, conserva sia la forma Unicode sia l'A-label. Così una differenza di carattere tipografico o un copia e incolla non nasconderanno il dominio esatto che è stato visitato.

Per conservare la prova di un link sospetto, copia sia la grafia Unicode visibile sia l'A-label corrispondente. Una differenza di font o l'anteprima automatica del link possono nascondere quali caratteri siano stati effettivamente usati. Annota inoltre l'URL completo separatamente dal dominio: un percorso fuorviante può comparire anche sotto un host legittimo.

Gli IDN usano comunque i normali meccanismi DNS

Dopo la conversione, un'A-label partecipa al DNS come qualsiasi altra etichetta valida: delega, cache, DNSSEC e tipi di record continuano a valere. Se un nome Unicode non funziona, confronta la forma ASCII esatta e le risposte DNS invece di basarti solo su ciò che mostra il browser.