初期設定値が「1」となるようだ。楽天のログイン画面に移行すると、アドレスバー*1が図1のようになる。3.5での(EVでない)SSLページのアドレスバー表示これにより、パスワードやクレジットカード番号などを入力する前に、今訪れているサイトが本物であるかどうかを、アドレスバーに表示されるドメイン名で確認できるようになる。3.0でも実装されていたが、初期設定ではオフにされていた。従来は図2のように、青くなるだけでドメイン名は表示されず、クリックしてドメイン名を確認する必要があった(URL中のドメイン名を確認してもよいが、慣れない人には不確実だった)。「0」に設定した場合の画面)この機能は、日本の地域型ドメイン名にも対応しており*2、たとえば、東京都江戸川区のサイトを訪れると、図3のように、「city.edogawa.tokyo.jp」と正しくドメイン名が表示される。サイトは「www.library.city.edogawa.tokyo.jp」にあり、URLでは若干判別しにくいという問題があったが、図4のように、ドメイン名「city.edogawa.tokyo.jp」だけが表示され、区の管轄下にあるサイトであることを確認しやすくなっている。新機能として、アドレスバーのURL表示でドメイン名を強調表示する機能が搭載された。図5のように、URL中のドメイン名以外の部分が灰色で表示され、ドメイン名部分だけが黒で表示される。ページでもそのように機能する。ドメイン名強調表示機能ところが、これは日本の地域型ドメイン名に対応していない。図6のように、江戸川区のサイトが「tokyo.jp」というドメイン名として扱われてしまっている。この機能はまだオススメできるものではない。地域型ドメイン名のサイトを表示した場合これがなぜまずいかというと、地域型ドメイン名は、行政機関にだけ割り当てられるわけではなく、その地域の個人その他にも割り当てられているからだ。悪意ある者に、個人で地域型ドメイン名を取得され、その地域の地方公共団体のフィッシングサイトが仕掛けられる可能性があるので、この方法を本物サイトの見分け方としてオススメすることはできない。「tokyo.jp」のドメインとして表示されており、これでは、大田区のサイト(city.ota.tokyo.jp)と区別がつかないし、東京都のサイト(metro.tokyo.jp)との区別もつかない。3.5では図8のように表示される。ページになっているはず*4だから)アドレスバーのこの部分で本物サイトであることを確認できるようになる。SSLが使われているサイトでは、図9のように緑色で会社名が表示されるようになっているので、会社名を覚えていれば確認できる。緑なら会社名、青ならドメイン名で確認するという、単純な手順でフィッシング詐欺から防御できるようになる。SSLを導入しないというのも正当な選択であると言える。3.5が普及した暁には。SSLを導入しない(EVでないSSL*6を使用する)選択も正当であると言える。3.5が普及した暁には。地域型ドメイン名は廃止してはどうか図8の例で、「ebara-hp.ota.tokyo.jp」というドメイン名を見たときに、行政機関(大田区)の管理下なのかそうでないのかは、そう簡単にはわからない。「city」等が含まれていなければ行政機関でないと判別できるかというと、そうでもないからだ。新宿区立図書館の場合は、図10のように、「library.shinjuku.tokyo.jp」のドメイン名でサーバを設置している。「city」の他に何が行政機関なのかという点について、都の「metro」、県の「pref」、町の「town」、村の「vill」が該当することについては、JPRSの「属性型(組織種別型)・地域型JPドメイン名登録等に関する技術細則」に書かれているが、「library」についての記述が見当たらない。「library.shinjuku.tokyo.jp」は、個人でも取得できるドメイン名として取得したものなのだろうか。whoisでこのドメイン名を調べると、「組織種別」が「地方公共団体の下部組織」となっている。JPRSの「属性型(組織種別型)・地域型JPドメイン名登録等に関する技術細則」を見ても、どうもよくわからない。そもそも、こんな複雑なドメイン構造を一般の人々に理解せよというのは無理がある。ドメイン名は、セキュリティの拠り所として近年益々その重要性が高まっているのであるから、JPRSなり、JPNICが、一般のWeb利用者向けにドメイン名の読み取り方を講説してしかるべきと思うが、そのような活動は行われていない。加えてこの際に言えば、政令指定都市についての地域ドメイン名は破綻している。札幌市のドメイン名は、「city.sapporo.hokkaido.jp」ではなく「city.sapporo.jp」であるが、姫路市のドメイン名は、「city.himeji.jp」ではなく「city.himeji.hyogo.jp」であり、「www.city.himeji.jp」というサイトが存在したときに、それが行政機関のサイトであるか否かは、その地方公共団体が政令指定都市であるか否かを知っていなければならない。ドメイン名は、他の者によって既に取得されてしまっていた。各ドメイン名でも同様の問題が生ずるであろう。私は、日本の地域型ドメイン名は、アプリケーションレイヤのセキュリティ機構の動向を見誤った、設計上の失敗であり、廃止するべきであると思う。ドメインに移行したらいいし、その他の地域ドメインは数が少ないので、廃止も可能なのではないか。JPNICの「2007年度インターネット資源の管理体制と活用に関する調査研究」を眺めてみたが、ドメイン名についてセキュリティに関する検討が全くなされていない。Firefoxの用語では「ロケーションバー」。Monster問題も解決されているのではないかと思われるが、まだ確認していない。8正式版が出る直前の段階だった。ベータテストの早い時期に気付いていれば、バグ報告をMicrosoft社に届けることでこのような事態は防げたかもしれないわけで、悔やまれる。時間が経ってしまったが、Microsoft社の知人に通報しておこうと思う。なっていないサイトは使わないようにする。あることを確認せずに入力してはいけない。ドメインでは、学生が自由にコンテンツを作れてしまうサーバが同居し得るので、ドメイン名だけで確認することに危険性が生じ得る。SSLのサーバ証明書が学生では取得できないようになっているならば、SSL接続できるWebサーバの全てで学生のコンテンツを作成できないように管理すればよく、学生を信用できないならば、そのようにするべきである。SSLを用いる場合も同様。オレオレ証明書は論外。格安の証明書を買えばいい話。13:38)もう何をいっても無駄。そもそも「ドメイン名は、セキュリティの拠り所」になりえないでしょ。