IDNの偽装
IE7でもIDN（国際化ドメイン名*1）が導入され、普及が進むことが予測されている。確かに、今まで普及していなかったのは、IEが対応していなかったからもしれない。
しかし、JPRSにより、IDNのJPドメインにIDN非対応のブラウザでアクセスした場合は、i-Navなどのプラグインを導入するように促すページに飛ぶようになっている*2し、日本では多くのPCにプリインストールされているというJWordではすでにIDN対応されていることを考えると、IEが非対応であっても、実は使う気になればユーザーはすぐにでも使える状況になっていたはずだ。はたしてIDN対応のIE7がリリースされることで状況はどのように変わるか興味を持って見守りたい。
ところで、以前、話題になったように、IDNには類似した字形を利用したスプーフィング/フィッシングの可能性がある。たとえば、example.comの"a"の部分をキリル文字にしたドメイン名があった場合、ユーザーはexample.com（すべてASCII）にアクセスしているつもりで、意図したのとは別のドメインに誘導されてしまうことがありうる。
これに対し、JPRSは
JPドメイン名では、日本語JPドメイン名として使用できる文字を漢字・仮名・英数字に限定しています。そのため、キリル文字など英数字に非常によく似た文字が混在したドメイン名は登録できません。したがって、今回指摘された例にある不正サイトは、JPドメイン名には存在していません。
また、全角英数字や半角カタカナが使用された場合でも、JPドメイン名の登録時に、技術標準に則った正規化と呼ばれる処理によりASCII英数字や全角カタカナに統一し、同一の文字として扱いますので、異なるドメイン名として登録されることはありません。IDNに対応したブラウザも同じ正規化を行いますので、全角・半角の違いによって異なるサイトにアクセスすることはありません。
としている（国際化ドメイン名(IDN)のフィッシング詐欺脆弱性について - 既に対策は存在し、.JPはサービス開始当初より対策済み - より）。
だが、実際には、マイクロソフト.jpならぬマイク口ソフト.jpが登録できてしまうらしい（「マイク口ソフト.JP」が登録可能！ より）。
いったいどこに抜けがあるのか。
もう一度、JPRSのアナウンスを見てみよう。
JPドメイン名では、日本語JPドメイン名として使用できる文字を漢字・仮名・英数字に限定しています。そのため、キリル文字など英数字に非常によく似た文字が混在したドメイン名は登録できません。
確かに、これにより、キリル文字とASCIIが混在するようなドメインはJPドメインでは登録できない。
全角英数字や半角カタカナが使用された場合でも、JPドメイン名の登録時に、技術標準に則った正規化と呼ばれる処理によりASCII英数字や全角カタカナに統一し、同一の文字として扱います
この正規化はNAMEPREPと呼ばれるものであり、IETFで規定されたものだ。JPNICの国際化ドメイン名の説明を引用すると、これは次のような動きだ。
入力された国際化ドメイン名は、NAMEPREPと呼ばれる仕組みにより、 一定の標準形に整形されます。これを正規化と呼びます。
たとえば、全角の「。」（句点）は半角の「.」（ドット）に、 全角の「ｊｐ」は半角の「jp」に変換されます。 また、アルファベットの大文字も全て小文字に変換されます
つまり、これらの仕組みにより、ＭＩＣＲＯＳＯＦＴ.JPなどは登録できないのだ。
しかし、漢字とカタカナの組み合わせについては規定が無いようだ。だからこそ、マイク口ソフト.jp（口は漢字のクチ）というドメイン名が登録できてしまうのだろう。マイク□ソフト.jp（□は四角）もできるのかもしれないと思い、調べてみたら、さすがに記号は許していなかった*3。
ブラウザによりIDNの偽証による対処は異なる。きちんとした管理を行っているTLDに対してのみIDNの許可をしているものもあるが、IE7では異なる文字セットが含まれるIDNは偽装の可能性があるとして、警告を出すようになっている。ただし、どちらも、今回のマイク口ソフト.jp（口は漢字のクチ）問題は防げない。ドメイン登録時の審査を厳しくしてもらうのが唯一の方法だろうか。もっとも、登録した後にオリジナルのドメインの所有者から、サイバースクワッティングとして訴えられたら、勝てる可能性は少ないだろうから、登録できるからと言って、登録して、何か良いことがあるとは思えない。
