NewsInsight

速度向上だけではない

Chrome 2.0のセキュリティ対策は？

2009/05/27

　米グーグルのWebブラウザの最新版「Google Chrome 2.0」には、新機能がいくつか追加され、動作速度の向上が図られている。では、セキュリティについてはどうなのだろう？

　Webセキュリティの脅威の高まりを受けて、ブラウザベンダ各社は後れを取るまいと懸命に対策に取り組んでいる。実際、マイクロソフトのInternet Explorer 8（IE8）にも、多数のセキュリティ機能が追加されている。グーグルもChrome 2.0にいくつか新しいセキュリティ機能を追加した。例えば、クロスサイトリクエストフォージェリ（CSRF）やクリックジャック攻撃に対する対策などだ。CSRFとは、Webアプリケーションにログイン済みのユーザーに不要なアクションの実行を強要するという攻撃手法。CSRF攻撃への対策として、Chrome 2.0では、サーバがステートを変更する可能性のあるPOSTリクエストについては発信元情報が送られるようになっている。

　「例えば、銀行であれば、リクエストをチェックして、それが攻撃者のサイトからではなく自社のサイトからのものであることを確認できる」とChrome担当のソフトウェアエンジニア、アダム・バース氏は説明している。同氏によると、その際に発信元情報が役立つという。

　CSRF対策のほか、グーグルはChrome 2.0にHTML5のPostMessageのサポートを追加し、Webサイトの開発者がよりセキュアなマッシュアップアプリケーションを開発できるようにしている。

　「最近では、マッシュアップを実行するサイトにアクセスしたり、興味深いガジェットを入手したりといったことが珍しくなくなっている。例えば、ポニーの群れがダンスするなど、ちょっとしたクールなガジェットがあれば、ポニー好きの人たちは自分のWebページにポニーを置きたいと思うだろう。私も自分のWebページにポニーを置いたら素敵だろうと思う。だが、そのガジェットに私のパスワードをかぎまわるようなことはさせたくない。そうした場合、PostMessage APIを使えば、ポニーガジェットとやり取りはできるが、私のWebページ内のそのほかの領域にアクセスしたり、直接コントロールしたりといった権限をこのガジェットに与えずに済む」とChromeの製品マネジャー、イアン・フェッテ氏は説明している。

　さらにグーグルはIE8の前例にならい、Chrome 2.0にクリックジャック攻撃対策を追加したほか、新規タブページからサムネイルを削除する機能を追加することでプライバシーの強化を図っている。

　グーグルは2008年9月にChromeブラウザを初めて公開した際、レンダリングエンジンのサンドボックス化など、セキュリティ機能の高さをアピールしようとした。だがその後、同社はいくつかトラブルにも見舞われた。Chromeが利用しているWebKitに脆弱性が見付かったのを皮切りに、セキュリティコミュニティによるテストが進むにつれ、ほかにも同ブラウザには各種の脆弱性が発見されたのだ。

　なおグーグルは今後に関して、IEにあるようなセキュリティゾーン機能のほか、ユーザーインターフェイス内からJavaScriptを無効にする機能については、「当面、追加する計画はない」と語っている。ただし、攻撃防止に必要とみられる場合、JavaScriptはコマンドラインを介して無効にできる。

　「われわれはGoogle Chromeの開発に際して、ユーザーが何か操作をしたり設定を行ったりしなくてもデフォルトの状態でできる限りセキュリティを高めるというアプローチを取ってきた」とフェッテ氏は語っている。

原文へのリンク

（eWEEK Brian Prince）

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）