هجوم تشابه الأحرف

تحتوي معايير يونيكود على أحرف كثيرة تُعرض بشكل مطابق تمامًا للأحرف اللاتينية لكنها تحمل رموزًا مختلفة: الحرف السيريلي а مقابل اللاتيني a، واليوناني ο مقابل اللاتيني o. النطاق المبني على هذه الاستبدالات نطاق مختلف تقنيًا بكل المقاييس، لكنه النطاق نفسه في عين القارئ في شريط العنوان.

النسخة اللاتينية من الحيلة نفسها لا تحتاج يونيكود إطلاقًا. فالأحرف المتجاورة يحلّ بعضها محل بعض في الأحجام الصغيرة: rn تُقرأ m، والرقم 1 يُقرأ حرف l، والصفر يُقرأ O. وعلى شاشة الهاتف أو في معاينة إشعار، لا شيء من هذا يصمد أمام الفحص، لأن أحدًا لا يفحص.

تخفّف المتصفحات من حالة يونيكود بعرض صيغة punycode عند خلط الأبجديات، لكن هذا التخفيف غير موحَّد بين البرامج، ولا يفعل شيئًا حيال الصيغ اللاتينية الخالصة. كما لا يفعل شيئًا في البريد الإلكتروني وتطبيقات المراسلة وكل موضع يُعرض فيه الرابط خارج شريط عنوان المتصفح.

النتيجة العملية للمدافع أن أي قائمة نطاقات مبنية على الفحص البصري تكون ناقصة. يجب توليد الحصر من جداول تشابه الأحرف لا مما يبدو خاطئًا في جدول بيانات.