3」が米国時間の6月17日に公開された。3のダウンロード数は,1週間で2000万件超」,MozillaのCEO)。3に搭載された興味深いセキュリティ機能と,その具体的な動作をいくつか紹介する。●エフェクティブ・トップ・レベル・ドメイン(eTLD)エフェクティブ・トップ・レベル・ドメイン(eTLD)は,広範なドメインを対象とするクッキー(Cookie)の動作を制限することで,クッキーの有効範囲を一つのドメインに限定する。クッキーはdomain属性を持っており,この属性を使ってユーザーの利用状況やアクセス権を定義する。ドメイン「xyz.example.com」が「domain=.example.com」属性を持つクッキーを発行した場合,このクッキーは「example.com」と,そのサブドメインで有効となる。RFCの規定では「domain=.com」のような広いドメイン属性のクッキーを発行してすべての「.com」ドメインを対象にしないよう,乱用を規制している。ここで問題が生じるのは「.co.uk」のようなドメインを持つ国々。「.co.uk」上のあらゆるWebサイトで使用可能なクッキーを設定できてしまうからだ。Explorer(IE)」は,セカンド・レベル・ドメインが3文字以上となるようクッキーを制限(つまり「.co.uk」は設定不可)し,既知の類似ドメインをブラックリスト化することで,この問題の解決を試みている。「.com.fr」「.edu.ge」などの認知度が低いドメインは無防備なままだ。Foundationのバグ管理システム「bugzilla」では,攻撃の具体例を次のように解説している。(1)「.com.fr」ドメインに安全なWebサイト(http://good.com.fr)があると仮定する(2)「.com.fr」ドメインに不正なWebサイト(http://evil.com.fr)があると仮定する(3)ユーザーが「http://evil.com.fr」を開くと,「domain=.com.fr」属性を持つクッキーが設定される(4)「good.com.fr」を含むあらゆる「.com.fr」ドメインで(3)のクッキーが使用される攻撃者は上記のクッキーを用いて不正な認証を行う可能性がある。3はこうしたTLDのリストを作成することで,どのクッキーを制限するか容易に判定できる。「.com.br」が有効なTLDとしてリストに掲載されている場合,「domain=.com.br」を持つすべてのクッキーを制限する。3は個人情報を不正取得したり,パソコンなどのシステムに被害を与えたりする可能性のあるWebサイトを開こうとすると,警告を表示する。