安全なサイトを偽装するホモグラフ攻撃--ブラウザ別の対策は？

　ホモグラフ攻撃は、ドメイン名を偽装する目的で通常のASCII文字をUnicodeで代用しており、2000年代の初め頃から出回っている。今時のウェブブラウザはホモグラフ攻撃を検出できる作りなのだが、ソフトウェア技術者のXudong Zheng氏は、ウェブブラウザの攻撃検出フィルタを出し抜ける方法を編み出した。

　これは深刻な事態であるものの、幸い「Chrome」「Firefox」「Opera」に限られる問題だ。自分の環境に隙があるかどうか知りたいなら、Zheng氏のブログにアクセスし、Appleのドメインを偽装している概念実証リンクで確かめてみよう。

　ホモグラフ攻撃から守られていれば、正しいドメイン名「https://www.xn—80ak6aa92e.com」が表示されるはずだ。守られていないと、「a」「p」「l」「e」に相当する字形のUnicode文字で作られたこのドメイン名は、完全に正しいドメイン名「apple」として表示されてしまう。この現象は、HTTPSで保護された環境でも起きる。

　Zheng氏は、ドメイン名が1言語（概してロシア語）のUnicode文字で作られている場合、Chrome、Firefox、Operaのホモグラフ攻撃検出フィルタをすり抜けてることに気付いた。