https://labs.cybozu.co.jp/blog/akky/tags/%E7%A9%BA%E7%99%BD%E6%96%87%E5%AD%97/ Recent content in 空白文字 on akky@サイボウズラボ・ブログ Hugo ja Wed, 18 Feb 2015 00:00:00 +0000 https://labs.cybozu.co.jp/blog/akky/2015/02/unnoticeable-click-tracking-with-unicode-spaces/ Wed, 18 Feb 2015 00:00:00 +0000 https://labs.cybozu.co.jp/blog/akky/2015/02/unnoticeable-click-tracking-with-unicode-spaces/ <p>訪問するユーザー毎に、あるいはリンク元ごとに異なるURLを表示することで、どのリンクをクリックされたかを判別するクリックトラック。URL の末尾に ?utm_source= などで始まる長いパラメーターがついてれば、サイトの訪問者から見ても追跡していることは明らかですね。</p> <p>コードとしては存在するんだけどちょっとあるように見えない文字、たとえば <a href="http://kaspars.net/blog/web-development/invisible-click-tracking">Unicode の幅の無い空白文字や幅がとても狭い空白文字を使うことで、気づかれにくいトラッキングができるのではないか、というブログ記事</a>が Hacker News で上がっていました。</p> <p><a href="http://kaspars.net/blog/web-development/invisible-click-tracking%E2%80%8B">サンプルリンク</a></p> <p>上のリンクの末尾には「幅ゼロのスペース(U+200B)」がつけられていますが、ブラウザでリンクを指してもパッと見にはわかりません。</p> <p><a href="http://en.wikipedia.org/wiki/Whitespace_character">20個以上あるという空白文字</a>を組み合わせて使えば、一見何もついてないのにリンク元毎に追跡できるようなページやメールも作れるということでしょう。</p> <p>これらの空白文字をもしホスト名の部分に使っているとしたら、それはフィッシング等悪用の可能性が高いため、<a href="http://kb.mozillazine.org/Network.IDN.blacklist_chars">ブラウザのブラックリストに入れられる</a>だろう、という元記事へのコメント欄での指摘もあり、ドメイン名だけでなくパスやパラメーターに使うのも同様に問題となる可能性もあります。まあ自分で使うかは慎重にということですが、他人がこういう手段を使ってくることもあるかも、というのは知っていてもいいのかもしれません。</p> <p>via Hacker News</p>