Secure Contexts
Service Workers、Web BluetoothといったAPIは、安全に使用するためにセキュリティ上の条件があります。
その条件がSecure Contextと呼ばれるコンテキストであり、W3CのSecure Contexts(URL)というドキュメントで定義されています。
このSecure Contextsの仕様上で localhost. の扱いがどうなっているかというと次のようになっている。RFC6761の定義では「ローカルのリゾルバはlocalhost. 及び .localhost. の内側のドメインを特殊扱いしてもよい、すべき(MAY/SHOULD)」と書かれており、その不確実性のためlocalhostではなく127.0.0.1の場合に特別扱いするとしている。
つまり、localhostのドメインをローカルネットワークのDNSに問い合わせても良いため、ループバックアドレスという保証が無いことになる。
新提案
そういった状況に切り込んだのが、W3CのWebAppSecでは大変良く見かけるMike West氏である。
IETFに「Let 'localhost' be localhost.」(URL)という、I-Dを提出している。
この提案では、localhost. はループバックアドレスになるように、localhostの名前解決でSHOULDとなっていた部分をMUSTへ変更する提案です。
必ずlocalhost.を特別扱いし(MUST)、DNSにクエリを送信することも許可されません(MUST NOT)。あわせて、DNSサーバも問い合わせに対してNSレコードを検索しようとしてはいけません(MUST NOT)。既存のlocalhost.の扱いを幾つか変更することで、必ずループバックアドレス扱いになるようにし、Secure Contextsでの問題を解消しようとしています。
提案仕様の最後に、Implementation Considerationsとして、サーバの名前にserver1.localhostといった名前をつけている場合は予期せぬ挙動になるという懸念を挙げています。
引き続き、Secure Contextsとlocalhostの議論は続くと思いますが、個人的には興味深いなと思っています。
