Chrome 70公開前に、ChromeのHTTPS化への取り組みと現在状況について調べてみた
2018.10.11
Chrome 70公開前に、ChromeのHTTPS化への取り組みと現在状況について調べてみました。
Chromeを通じたHTTPS化の促し
セキュリティとその対策はイタチごっこで、常に新たな攻撃手法の発見とその対抗策の実施を繰り返しています。
10月にchrome 70がリリースされるとあり、今回はそんなセキュリティ対策の一環である、ウェブ通信の内容が暗号化されるHTTPS接続についてまとめてみました。
Googleは以前よりすべてのウェブサイトにおけるHTTPS化(データの暗号化、SSL化)を推奨しており、色々なシーンで注意喚起をしていました。
実際に、Chrome 68では、HTTPを使っているすべてのウェブサイトに”安全ではない(not_secure)”と文字を表示させるようにして、ユーザーにも意識を高めてもらうように取り組んでいました。
HTTPのウェブサイトはすべてnot_secureと出るようになり、HTTPのウェブサイトでクレジットカード等の個人情報を入力しないように注意喚起しています。
BtoCの企業を中心に、BtoBの企業でもお問合せフォームをHTTPS化するような動きがあったかと思います。
出典 Google ウェブマスター向け公式ブログ 保護されたウェブの普及を目指して
(https://webmaster-ja.googleblog.com/2018/02/a-secure-web-is-here-to-stay.html)2018年10月11日時点
逆に、SSL化されているウェブサイトに関しては安全であることを強調するように、画像も鍵が付いており、文字色も蛍光緑に強調されています。
この機能により今まで意識することなくウェブサイトを見てきたユーザーもこのサイトが安全(HTTPS化されてる)か、そうでないのかを視覚的に知ることが出来る様になりました。
今後のウェブサイトを見据えた、HTTPS化への取り組みについて
Chrome 69では、HTTPS化されているサイトではあえて強調することなく、鍵の色は灰色、さらに緑色で文字を強調する仕様も消えました。
Googleは”ユーザーはウェブがデフォルトで安全であることを期待している”とブログで指摘しており、サイトが安全でない場合にのみChromeでマークを表示し、デフォルトのマークのない状態は安全であるようにすることがGoogleの最終的な目標にしているようです。
このように意識することなく、セキュリティに関してのリテラシーが高くなるのは素晴らしい事ですね。
下記の図はChromeのブログから抜粋した資料なのですが「Eventually」にも記載されている通り、そのうちほとんど全てのウェブサイトがHTTPS化する様になったら、この注意喚起自体がなくなっていく様です。
出典 Chromium Blog (https://blog.chromium.org/2018/05/evolving-chromes-security-indicators.html)
Evolving Chrome’s security indicators 2018年10月11日時点
Chrome 70ではどうなっていくか
ウェブページのHTTPS化(SSL化)は全てのサイトで導入されているわけではなく、企業が運営するサイトでもお問合せページや購入に関する、個人情報を入力するページのみ使われているケースもあるかと思います。
今まではHTTPのウェブサイトが多く、ユーザーもそのことに脅威を感じる事は少なかったかもしれませんがこうしたブラウザ側の取り組みのおかげで、ユーザーも訪問したサイトで情報を入力することが安全かそうでないかを区別することが出来るようになりました。
2018年10月にリリース予定のChrome 70では、HTTPS化されていないページに情報を入力しようとすると、アドレスバーに”安全ではない”という警告が赤色で表示されるようになるそうです。
出典 Chromium Blog (https://blog.chromium.org/2018/05/evolving-chromes-security-indicators.html)
Evolving Chrome’s security indicators 2018年10月11日時点
これは検索バーがあるサイトや、お問合せ欄で訪問者に記入を促す構成のウェブサイト全てに当てはまります。
まだHTTPS化されていない場合は Chrome 70が公開される前にこうした変化を理解して対応する必要がありそうです。
特に企業のウェブサイトの場合は、ビジネスチャンスを失う事にもなりかねないので訪問者がストレスなく情報入力できるように対処したいですね。
HTTPS化(SSL証明書の導入)と証明書のマネジメントについて、弊社ではサイバートラスト社と連携したサービスをご提供しております。詳細については、また別なタイミングでご紹介したいと思います。
【関連リンク】
