日記スマートフォン用の表示で見るぼちぼち日記おそらくプロトコルネタを書いていることが多いんじゃないかと思います。サンフランシスコで開催されました。選出していただいたこともあり、CDSに初めて参加しました。Dinosaurフィギュアです。ちなみにゲームはできません。Managerに対して一番最初に投げかけた問いです。PMは直ちに「そんなことはしない」と即答しました。Chromeは、URLの表示領域からHTTPSの緑色表示の廃止・EV表示場所の移動・wwwサブドメイン表示の削除、といったセキュリティに関連するUI変更を立て続けに行ってきています。(繁栄しているウェブの上でユーザを守る)」で話されています。Everywhereが普及し、HTTPS化されたフィッシングサイトも増大している中、今後のChromeブラウザにおけるURL表示に対する考え方は、従来と大きく変わることになりそうです。今回そのセッションの内容について紹介したいと思います。このセッションは、2つに別れています。さんによるChromeのURL表示に関するセッションです。以下は、おおよその講演内容を文字に起こしたものです。サイトのアイデンティティをわかりやすくする。ウェブブラウザの上部に表示されるURLは、ウェブサイトのアイデンティティに対する曖昧な手がかりでしかありません。ドメイン名からサイトのアイデンティティを特定することは、簡単なことではありません。セキュリティ専門家でも見分けがつかないこともあるし、非技術者のユーザとってなおさら無理な話です。このことは憶測に基づくものではなく、多くの実験や調査で示されています。セキュリティに対してちゃんとした決定をしなければならない時に、多くのユーザはURLに気づかなかったり、URLを理解できていないのです。Googleは、1000人以上を対象とした調査を行いました。なっていても、85%の人がそのウェブサイトをGoogleだと言うことがわかりました。これは本当に非常に難しい問題です。多くの人々は、本当に便利なものとしてURLを利用しています。URLが人々を騙したり、害を及ぼすことに使われたりすることもよくあります。そのためGoogleは、いくつかの方向からこの問題にアプローチしています。それは、URLを悪用する巧妙なスプーフィング技術に対して、積極的に対策をします。セキュリティを決定づける最も重要なURL情報に、人々の注意を向けるようにします。専門家をサポートする特別なツールを作っています。それをURLをより良くするセキュリテイツールとして役立たせます。見分けがつかないです。example.comのaがキリル文字だったとしてもわかりません。Warning」という新しい警告を入れるようにしました。これはスプーフされたIDNを検知し、攻撃されていると思われる場合ユーザを正式なサイトに導くページを表示します。Chromeがナビゲーション中のドメインにIDNを見つけると、同じように見える文字種を一つにまとめるアルゴリズムを使い、ドメイン名をスケルトンに変換します。それを有名なサイトや過去にユーザが訪れたサイトのスケルトンと比較します。合致すれば、ユーザを正しいサイトに導くよう、この警告を表示します。Infoに移す変更をしました。これまでの調査・研究結果から、EV証明書が人々にサイトのアイデンティティを理解させるのに役立っていないことがわかったからです。EV表示の終焉」に詳しく書きましたので、そちらを参照してください。大多数の人にとって、wwwサブドメインの表示をしてもしなくても違いはありません。なるし、セキュリティに関連した部分をURLで見つけるのが難しくなります。ユーザに対しては、多くの情報を与えないようにします。UIをより簡単にして、ユーザの注意をURLのセキュリティに関連した部分(ドメイン名)にフォーカスさせます。そのため、これらのURLコンポーネントを隠しました。Omnibox」と呼んでいます。(鍵アイコンの削除など)将来的には、もっとドメイン名に注意を引きつけるUI変更も考えています。OmniboxでURLを編集しようとクリックするまでパスを隠すべきか?ドメイン名を太字にしたり大きく見せて、もっと際立たせるべきか?ユーザーが自分でドメインを検査することになった時に、パスをアニメーション化すべきか?まだどれが良いのかわかっていません。この考えに沿って、最終的にHTTPS接続を示す鍵アイコンも削除する予定です。HTTPS接続を中立な状態として、デフォルトにします。セキュリティがなくなった場合にのみ、警告を出すようにします。インディケータは、かえってユーザを混乱させ、誤ったメッセージを送ることもあります。(これはHTTPSのメンタルモデルを調査した論文を引用し、「鍵アイコンは、自分の認証が必要なことを指していると思っている」というユーザがいたことを指しています。何も出なかったら安全なHTTPS接続である、と思ってもらえるようにしたいです。Chromeは安全でなかったら、警告を出すようにします。調査・準備にもっと時間が必要なので、鍵アイコンをいつ削除するのかは未定です。専門家向けのユーザケース全員がURLを簡略化してほしいと望んでいません。いうChrome拡張です。この拡張を使うとOmniboxのURLが編集されず、常に完全に見えます。デフォルトで有効になっている非技術ユーザを助ける目的のURL簡略化を回避します。サービスに簡単に報告できます。malicious活動をスキャンしているサービスです。Browsingサービスが、報告されたサイトがフィッシングやマルウェア配布・ソーシャルエンジニアリングなど、Googleポリシー違反をしていると判定すれば、全てのChromeユーザに対してそのサイトの訪問をブロックします。Kleberさんによる最近のウェブプライバシー関連の状況とChromeの取り組みについてです。本エントリーの内容から少し外れてしまうので解説は省略しますが、1つ重要なことだけ挙げておきます。クッキーのデフォルト挙動が変わります。cookieは、今のままでは動作しなくなる可能性があります。準備を始めましょう」をよく読んで準備しましょう。まとめ以上セッションの内容から、Googleがスプーフィング対策・非技術者向けにURLの簡略化と効果的なUIの模索・専門家向けにURLを生で見せるChrome拡張の提供、の3つの柱でChromeのセキュリティ対策を進めているのがわかりました。「これは実質的にURLを殺しにきているのではないか?」と言われれば、まぁそうなのかもしれません。URL表示の簡略化は、Omniboxを使うとカーソルが微妙にずれてしまったりして個人的にも違和感があります。慣れの問題かなと半分諦めていました。知って速攻で入れました。ホント快適です(フィッシングサイトの報告はまだしたことないです)。簡略URL表示に違和感のある方は、慣れる前に試してみることをお勧めします。これを使えば、今のところURLが殺されていない世界をGoogleから提供してもらえそうです。HTTPS接続が当たり前となり、フィッシングが巧妙になり、非技術者ユーザが圧倒的多数を占める状況では、URLを確認しろ・証明書を確認しろ・リンクやサイトの記述に注意せよ、といった対応はそろそろ限界に来ているのかなとも思ったりします。HTTPS」で報告されているユーザ調査には、少しショックを受けました。symbol.”「鍵アイコンは、自分の認証が必要なことを指していると思っている。私はよくパスワードを忘れるので、この鍵アイコンを消すためにいつもいろんなところをクリックしてます。2FA.”「HTTPSは悪いプロトコルだ。HTTPSが安全なら私に2FAは必要ないだろう。」まぁこういう状況なら、ChromeのURL表示が簡略化され、セキュリティアクション選択の多くがGoogleのお任せになるのも仕方ないかもしれません。Googleから...2017-03-17書評:プロフェッショナルSSL/TLSごめんなさい、書いてたら長くなってしまいました。第2.0版」を読んで月別アーカイブはてなブログをはじめよう!jovi0608さんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。