偽装ドメイン「аррӏө.com」、Chromiumの防御を回避
Have I Been Squattedのブログによると、キリル文字のөがChromiumの同形異義文字リストにないため、apple.comに似た偽装ドメインがPunycode変換を免れている。
セキュリティ研究組織のHave I Been Squattedが公開したブログ記事によると、キリル文字の似た文字を使ったドメイン「аррӏө.com」が、Chromiumのタイポスクワッティング対策を回避したままであることが分かった。このドメインはapple.comと非常によく似ている。
Chromiumはラテン文字に似た29のキリル文字のリストを保持しており、これらの文字だけで構成されたドメインは拒否される。しかしキリル文字のөはこの29文字のリストに含まれていないため、「аррӏө.com」はPunycode形式に変換されない。
一方、ラテン文字にキリル文字の同形異義文字を1つ混ぜたドメイン、たとえばキリル文字のаとpple.comを組み合わせたものは、「xn--pple-43d.com」というPunycode形式で表示される。Chromiumはタイポスクワッティングされやすい人気ドメインを8,000以上リスト化し、そのうち836件についてはより厳しいチェックを行っているとされる。
2020年の調査では、Chromiumは似た文字を使ったドメインの試行の64.1%を検出し、FirefoxやSafariを上回った。Unicode文字セットは現在、約173,000の項目を収録している。
Have I Been Squattedは、企業に対して似たドメインを登録することと、ユーザーにパスキーの利用を促すことを勧めている。ChromiumはChrome、Edge、Braveの各ブラウザの基盤となっている。
よくある質問
なぜ「аррӏө.com」はChromiumの対策を回避できるのですか？
キリル文字のөが、Chromiumが保持するラテン文字に似た29のキリル文字のリストに含まれていないためです。
Chromiumを使っているブラウザはどれですか？
Chrome、Edge、Braveです。
Have I Been Squattedは企業に何を勧めていますか？
似たドメインを登録することと、ユーザーにパスキーの利用を促すことです。