本文转载自微信公众号「祺印说信安」，作者何威风 。转载本文请联系齐印说信安微信官方账号。
国际域名是什么？
网络浏览器中有一个域名标准，以减少围绕不同语言的混淆。网站上包含的域名 URL(或网站)。该标准基于罗马字母(英文字母)，计算机将各种字母转换为等价数字。这个代码叫 ASCII(美国信息交换标准代码)。然而，其他语言包含不能转换为该代码的字符，这就是为什么引入国际域名。
为了弥补包含特殊字符（如西班牙语、法语或德语）或完全依赖字符表示（如亚洲或阿拉伯语）的语言，必须开发一个新的系统。在这个新系统中，基本的 URL(通常是主页的地址)被解析并转换为与 ASCII 兼容格式。生成 URL(包括字符串“xn--”以及字母和数字的组合)将出现在浏览器状态栏中。地址栏也会出现在许多浏览器的更新版本中。
有哪些安全问题？
攻击者可以使用国际域名发起在线钓鱼攻击（有关更多信息，请参考避免社会工程和在线钓鱼攻击）。因为有些字符可能看起来相同，但有不同的 ASCII 代码(例如，西里尔字母“a”和拉丁字母“a”)，因此，攻击者可能“欺骗”网页 URL。我们可能会被定位为与真实网站相同的恶意网站，而不是访问合法网站。如果我们在恶意网站上提交个人或财务信息，攻击者可能会收集信息，然后使用和/或出售信息。
如何保护自己？
- 键入 URL 而不是跟随链接- 在浏览器中键入 URL 而不大限度地降低我们的风险，而不是单击网页或电子邮件消息中的链接。通过这样做，我们更有可能访问合法的网站，而不是取代外观相似的恶意网站。
- 让我们的浏览器保持最新- 比旧版本的浏览器更容易欺骗攻击者 URL，但大多数更新的浏览器都包含了一些保护措施。现在大多数浏览器都显示了它们“xn--” 转换后的字符串URL，而不是展示我们“认为” 正在访问URL。
- 检查浏览器状态栏- 如果将鼠标移动到网页上的链接上，浏览器状态栏通常显示链接引用的 URL。如果我们看到有意外域名的 URL(例如上述带有“xn--” 字符串URL)，然后我们很可能会遇到国际域名。如果我们不想有一个国际域名，或者我们知道没有一个合法的网站，我们可能需要重新考虑访问网站。Mozilla 和 Firefox 等浏览器在其安全设置中包含一个关于是否允许修改状态栏文本的选项。防止攻击者使用 JavaScript 让我们看起来像是在合法的网站上，我们可能需要确保这个选项没有启用。
参考：CISA官网
作者：MindiMcDowell 和 Will Dormann 和 Jason McCormick