日記スマートフォン用の表示で見るぼちぼち日記おそらくプロトコルネタを書いていることが多いんじゃないかと思います。EV証明書の組織名表示がなくなるついにGoogleからChromeのURLバーからEV表示を削除する正式なアナウンスが出ました。StableのChrome76では、以下の様にURLバー左側にEV証明書を利用していることを示す「組織名+国名」表示が付いています。Infoに「組織名+国名」が表示されるようになります。書いてあることから一気にではなく一部のサイトからEV表示を外すのかもしれません。スクリーンショットです。以前よりGoogleがChromeでEV表示を外すフィールド実験を行っていることは知られていました。今回、Googleはこの大規模なChromeのフィールド実験結果を解析し、EV表示の効果はないということを統計的に示しました。結果、ChromeのURLバーからEV表示を外すという方針を決めました。以下はGoogleのアナウンス文からの引用翻訳です。UIがユーザーを意図したとおりに保護していないと判断しました(Chromiumドキュメントの詳細資料を参照)。UIが変更されたり削除されたりしても、ユーザーはパスワードやクレジットカード情報の入力を避ける、といった安全な選択を行わないようです。UIが提供している防止策に意味があると言えるでしょうか。EVバッジは貴重な画面領域を占有し、派手なUIで紛らわしい会社名を積極的に提示したりします。これは安全な接続に対して有益になるわけではなく、むしろ中立的な表示を目指しているChrome製品の方向性を妨げます。UIを表示する方が良いと考えています。EV証明書の問題ブラウザの表示については、これまで様々な問題提起がされ、大きな議論が行われてきました。詳しくまとまっています。興味のある方はこの資料をぜひ見てください。奥田さんの資料に少し追加しますと、EV証明書の表示に関して少し前に2つ大きなインシデントがありました。証明書を取得しました。ーザを惑わすことが可能であることを実証しました。VerifiedのEV表示2018年AppleはiOS12でSafariでのEVの組織表示をやめました。CABForumのF2F会議の議事録によると、Appleの話では「この変更は、調査と顧客の意見を基に行ったものである。組織名が、ユーザの意図した接続先とドメイン名と同じように結びついているわけではない。Carroll氏が、米国では州が異なれば同じ会社名の法人が設立できることを使い、デラウェア州にある決済のStripe社と同じ社名のStripe社をケンタッキー州で設立しました。この会社を使って正式なEV証明書を取得し、同じStripe社を表示する正当なEV証明書によるフィッシングサイトが立ち上げられられることを公表しました。2つを比べるとURLは異なりますが、EV表示だけを見ていると全く同じです。Protocolの策定を2018年に開始しました。現在の進捗状況は不明です。EV証明書を取得するには、登記簿の提出など組織の実在を証明する厳しい手続きと高い費用が必要です。EV証明書を取得する組織が、法的に問題ない業務を行っているかどうかは認証局チェックの範囲外です。各認証局はEV証明書発行時にフィッシングドメインでないかのチェックを行っています。それは十分ではなく、コスト面さえ折り合えば、このような攻撃がEV証明書を使って行われる可能性があることが示されたわけです。このような問題を持つEV証明書に対して、ブラウザのEV組織表示は本当に必要なのでしょうか?ブラウザのEV組織表示は、本当にユーザのセキュリティに効果があるのでしょうか?10年以上前にIE7やFirefox3を使った数十名を対象とした小規模な調査で、EV表示は有効でないという結果が公表されていました。現在ではブラウザの環境もUIも当時より大きく変わっています。用いて大規模にフィールド実験を行いました。現在のブラウザUIでEV表示が本当にユーザのセキュリティ行動に対して有効なのか判断するためです。公開されている論文から中身を見てみましょう。Chromeのフィールド実験で、Googleは以下の3つの試験を行いました。米国・英国ユーザ(1000名程度)に対するEV表示に関するオンラインサーベイ米国ユーザ(1000名強)に対するURL表示に関するサーベイここでは、1.のChromeのEV表示/非表示のフィールド実験について主に書きます。71)で実施されました。統制群、実験群としてそれぞれ1%のユーザをランダムで割り当て、実験群ではEV表示をしないようにしました。Chromeのユーザ規模になると1%サンプルでも数百万ユーザのデータになっています。Googleは、それぞれのグループに対して以下のメトリックスを取得しました。Infoの表示とその後の操作サイトエンゲージメント取得したデータに対してウェルチt検定を行い、結果は以下の表になりました。統制群(Control)はEV表示しているグループ、実験群(Experiment)はEV表示をしないグループです。Pageの遷移、ファイルダウンロード、Formの送信、Autofillによるクレジットカード情報の送信に関しては、統制群・実験群でその割合に大きな違いは見られませんでした。Infoを表示する」だけです。Infoのポップアップを開けているのです(EVページナビゲーションに対して0.25%対0.02%)。EVページナビゲーションで正規化して解析し直したのが次の結果です。Info後の操作は、EV表示/非表示で大きく変わらないことがわかりました。Infoをよく開けるのでしょうか?論文では以下の2つの仮説が挙げられています。Infoを開けてしまう。Infoを開けている。EV非表示の場合でもセキュリティ行動を変える判断を行うまでに至っていない。結局よく理由はわからないと締めています。20のEVサイトに対するデータの解析も行っています。その結果6サイトで統計的有意差が出ましたが、効果量が少ないため自然変異だろうと結論づけています。Infoを開ける行動には違いがあるものの、EV表示の有無がナビゲーションやページ遷移、ファイルダウンロード、フォーム送信、クレジットカード情報のAutoFillといったユーザのセキュリティ行動に影響しないことが統計的に示されました。これは過去の小規模調査結果と合致しています。他にもGoogleは、1000名を対象としたEV表示のサーベイを実施しています。SafariのEV表示変更でユーザがどのように判断するかサーベイしました。どちらもWebページにログインする際、EV表示がユーザに心理的影響を与えないことがわかりました。ChromeにおけるEV表示の大規模フィールド実験と1000名を対象としたEV表示のサーベイ結果、いずれもEV表示の有効性を示すものではありませんでした。Infoへ移す方針を決めたわけです。URL表示の限界、その先にあるものChromeのURLバーからEV表示がなくなります。ブラウザは、このままのURL表示で大丈夫なのでしょうか?今回の論文では、1000名強のユーザーを対象としてURL表示のバリエーションを変えたサーベイも行っています。アクセスを防止させるような効果はなかったと結論づけています。いうプレゼンを行っています。そこでは、URLは、効果的なセキュリティ・インディケータではない。人々はURLに気づいていない。人々はURLを理解していない。(国際化ドメイン名など)人々がURL(の違い)を理解することが不可能な場合もある。一方で、直ちにURLに替わる画期的で有効な方法といった銀の弾丸は存在せず、まずURL表示を正しくするようにして長期間かけてUIを改善していく必要がある、アイデアやフィードバックが欲しいと訴えています。Googleは、URLに替わる代替案を本当に考えていないのでしょうか?あるChromeのバグチケットにこんなコメントがありました。...)資料がGoogle内部リンクになっているため「実質的にURLを強調させないこと」が具体的に何を指しているのかわかりません。GoogleがURL表示に替わってChromeの表示をどう変えていくのか、今後も注視していきたいと思います。第2.0版」を読んで月別アーカイブはてなブログをはじめよう!jovi0608さんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。