Skip to main content
INTL_ICU_VERSION について追記
ソース リンク

国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる (偽キリル文字) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。なりすましドメインは2005年ごろに社会問題なり、さまざまなブラウザーがなりすましドメインの対応に追われました。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを調べるには INTL_ICU_VERSION を使います。ただし、この定数が導入されたバージョンは PHP 5.3.7 なので、それ以前のバージョンを利用していてかつ pecl のリポジトリからインストールしていない場合、phpinfo 関数もしくはコマンドラインで php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードが必要になるでしょう。

国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる (偽キリル文字) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。なりすましドメインは2005年ごろに社会問題なり、さまざまなブラウザーが対応に追われました。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを調べるには phpinfo 関数もしくはコマンドラインで php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードが必要になるでしょう。

国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる (偽キリル文字) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。2005年ごろにさまざまなブラウザーがなりすましドメインの対応に追われました。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを調べるには INTL_ICU_VERSION を使います。ただし、この定数が導入されたバージョンは PHP 5.3.7 なので、それ以前のバージョンを利用していてかつ pecl のリポジトリからインストールしていない場合、phpinfo 関数もしくはコマンドラインで php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードが必要になるでしょう。

Firefox が採用する制限レベルの事例、同じメールアドレスを異なる表現で登録することを防ぐ方法を追記
ソース リンク

スクリプトの組み合わせのほかの例として、Firefox のIDN 表示アルゴリズムは制限レベルに Moderately Restrictive を採用しています。

Unicode スクリプトプロパティの組み合わせを判定するには PCRE や intl の SpoofcheckerSpoofchecker を使います。自分でライブラリを実装するのであれば、unicode.org で配布されている Scripts.txt を使います。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを調べるには phpinfophpinfo 関数もしくはコマンドラインで php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspiciousisSuspicious の実装に使われる uspoof_checkUTF8uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードが必要になるでしょう。

ほかに、ドメイン名登録業サービスで登録可能な文字であるかどうかを判定するには準拠する IDNA のバージョンによりによって異なりますので IDNA、IDNA の仕様書を調べる必要があります。IDNA2003 であれば参照される Unicode のバージョンは 3.2 です。IANA は国際化ドメインに許可される文字のテーブルを配布しています (Repository of IDN Practices)。

濁点つきひらがなのように同じ文字を異なる表現で登録することを認めたくない場合、normalizer_is_normalized を使ってチェックする必要があります。Nameprep で適用される正規化の形式は KC です。

許可する文字テーブルをもとに判定する方法を採用しているのが ZF2 の Validator\EmailAddressValidator\EmailAddress です (判定のためのテーブルのディレクトリ)。ただし、どこのリポジトリから採用したテーブルなのか明記されていないのと、2014年の時点では、ローカルパートは UTF-8 に対応していません。

Unicode スクリプトプロパティの組み合わせを判定するには PCRE や intl の Spoofchecker を使います。自分でライブラリを実装するのであれば、unicode.org で配布されている Scripts.txt を使います。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを調べるには phpinfo 関数もしくはコマンドラインで php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードが必要になるでしょう。

ほかに、ドメイン名登録業サービスで登録可能な文字であるかどうかを判定するには準拠する IDNA のバージョンによりますので IDNA の仕様書を調べる必要があります。IDNA2003 であれば参照される Unicode のバージョンは 3.2 です。IANA は国際化ドメインに許可される文字のテーブルを配布しています (Repository of IDN Practices)。

許可する文字テーブルをもとに判定する方法を採用しているのが ZF2 の Validator\EmailAddress です (判定のためのテーブルのディレクトリ)。ただし、どこのリポジトリから採用したテーブルなのか明記されていないのと、2014年の時点では、ローカルパートは UTF-8 に対応していません。

スクリプトの組み合わせのほかの例として、Firefox のIDN 表示アルゴリズムは制限レベルに Moderately Restrictive を採用しています。

Unicode スクリプトプロパティの組み合わせを判定するには PCRE や intl の Spoofchecker を使います。自分でライブラリを実装するのであれば、unicode.org で配布されている Scripts.txt を使います。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを調べるには phpinfo 関数もしくはコマンドラインで php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照くださいisSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードが必要になるでしょう。

ほかに、ドメイン名登録業サービスで登録可能な文字であるかどうかを判定するには準拠する IDNA のバージョンによって異なりますので、IDNA の仕様書を調べる必要があります。IDNA2003 であれば参照される Unicode のバージョンは 3.2 です。IANA は国際化ドメインに許可される文字のテーブルを配布しています (Repository of IDN Practices)。

濁点つきひらがなのように同じ文字を異なる表現で登録することを認めたくない場合、normalizer_is_normalized を使ってチェックする必要があります。Nameprep で適用される正規化の形式は KC です。

許可する文字テーブルをもとに判定する方法を採用しているのが ZF2 の Validator\EmailAddress です (判定のためのテーブルのディレクトリ)。ただし、どこのリポジトリから採用したテーブルなのか明記されていないのと、2014年の時点では、ローカルパートは UTF-8 に対応していません。

Spoofchecker と PCRE のコードサンプルを追加
ソース リンク

国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる (偽キリル文字) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。なりすましドメインの偽装は2005年ごろに社会問題になり、さまざまなブラウザーが対策対応に追われました。

偽装なりすまし対策の例として Gmail を挙げます。
Gmail の仕様では、なりすまし対策としてメールアドレスは UTS#39 の「Highly Restrictive」を満たすことを求めています。具体的には、それぞれの文字の Unicode スクリプトプロパティが1種類もしくは複数の種類の場合、指定した組み合わせであることを要求します。

Unicode スクリプトプロパティの組み合わせを判定するには PCRE や intl の Spoofchecker使うか使います。自分でライブラリを実装するのであれば、unicode.org で配布されている Scripts.txtもとに判定使います。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョン自前調べるには phpinfo 関数もしくはコマンドライン用意する必要 php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードあり必要になるでしょう。

$spoof = new Spoofchecker;
$spoof->setChecks(Spoofchecker::SINGLE_SCRIPT);

// Cyrillic
$str = 'Кириллица';
// Latin + Han + Hiragana + Katakana
$str2 = 'latin漢字ひらがなカタカナ';
// Latin + Han + Hangul
$str3 = 'latin漢字조선말';
// Latin + Han + Bopomofo
$str4 = 'latin漢字ㄅㄆㄇㄈ';

var_dump(
    false === $spoof->isSuspicious($str),
    false === $spoof->isSuspicious($str2),
    false === $spoof->isSuspicious($str3),
    false === $spoof->isSuspicious($str4),
    true === $spoof->isSuspicious($str.$str2)
);

ロケールごとで認められるスクリプトの組み合わせを判定することもできます。

// Latin + Han + Hiragana + Katakana
$str = 'latin漢字ひらがなカタカナ';
$pattern = '/\A[\p{Latin}\p{Han}\p{Hiragana}\p{Katakana}]+\z/u';

$spoof = new Spoofchecker;
$spoof->setAllowedLocales('en_US,ja_JP');

var_dump(
    false === $spoof->isSuspicious('latin漢字ひらがなカタカナ'),
    1 === preg_match($pattern, $str)
);

国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる (偽キリル文字) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。ドメインの偽装は2005年ごろに社会問題になり、さまざまなブラウザーが対策に追われました。

偽装対策の例として Gmail を挙げます。
Gmail の仕様では、なりすまし対策としてメールアドレスは UTS#39 の「Highly Restrictive」を満たすことを求めています。具体的には、それぞれの文字の Unicode スクリプトプロパティが1種類もしくは複数の種類の場合、指定した組み合わせであることを要求します。

Unicode スクリプトプロパティの判定には PCRE を使うか、unicode.org で配布されている Scripts.txtもとに判定コードを自前用意する必要あります。

国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる (偽キリル文字) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。なりすましドメインは2005年ごろに社会問題になり、さまざまなブラウザーが対応に追われました。

なりすまし対策の例として Gmail を挙げます。
Gmail の仕様では、なりすまし対策としてメールアドレスは UTS#39 の「Highly Restrictive」を満たすことを求めています。具体的には、それぞれの文字の Unicode スクリプトプロパティが1種類もしくは複数の種類の場合、指定した組み合わせであることを要求します。

Unicode スクリプトプロパティの組み合わせを判定するには PCRE や intl の Spoofchecker使います。自分でライブラリを実装するのであれば、unicode.org で配布されている Scripts.txt使います。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョン調べるには phpinfo 関数もしくはコマンドライン php -i | grep ICU を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレード必要になるでしょう。

$spoof = new Spoofchecker;
$spoof->setChecks(Spoofchecker::SINGLE_SCRIPT);

// Cyrillic
$str = 'Кириллица';
// Latin + Han + Hiragana + Katakana
$str2 = 'latin漢字ひらがなカタカナ';
// Latin + Han + Hangul
$str3 = 'latin漢字조선말';
// Latin + Han + Bopomofo
$str4 = 'latin漢字ㄅㄆㄇㄈ';

var_dump(
    false === $spoof->isSuspicious($str),
    false === $spoof->isSuspicious($str2),
    false === $spoof->isSuspicious($str3),
    false === $spoof->isSuspicious($str4),
    true === $spoof->isSuspicious($str.$str2)
);

ロケールごとで認められるスクリプトの組み合わせを判定することもできます。

// Latin + Han + Hiragana + Katakana
$str = 'latin漢字ひらがなカタカナ';
$pattern = '/\A[\p{Latin}\p{Han}\p{Hiragana}\p{Katakana}]+\z/u';

$spoof = new Spoofchecker;
$spoof->setAllowedLocales('en_US,ja_JP');

var_dump(
    false === $spoof->isSuspicious('latin漢字ひらがなカタカナ'),
    1 === preg_match($pattern, $str)
);
ソース リンク
読み込んでいます