ブラウザ戦争、停戦へ: トロントでの合同協議により共通の土台を形成

記事：Carsten Fischer ならびに Yngve Nysaeter Pettersen

2005年11月23日

ブラウザベンダーが一致団結するために必要なものが、小さなピザ一枚でしかないと誰が知っていたでしょう？しかしながら、それはまさに先週トロントで起こった出来事でした。そこには、Opera や Microsoft、Mozilla、Konqueror ら各社の開発チームのメンバーがテーブルを囲み、 スーツ姿の人もいなければ、マイクもなく、報道の人間も交えずに、セキュアな証明書という緊急の問題に取り組んでいたのです。

これまでの流れ

Opera 8 において、私たちはロックボックス機能をご紹介しました。これはフィッシング対策用の黄色いバーで、ユーザがログインしているサイトが本当にその会社によって運営されているかを確認することができます。同機能の意図は、特にそれが最も必要とされる場面、すなわち、取り扱いに慎重を期する内容の情報を暗号化接続経由で送信するような場合において、ユーザの皆様に対し、より一層強固なセキュリティを提供することにありました。

セキュアなサイトにログインする際、全てのブラウザはユーザの皆様にPadlock(南京錠)アイコンを表示し、そのサイトがセキュアであり、送信されようとする情報が暗号化されるであろうということを確認させます。しかしながら、そのサイトが本当のサイトであると保証することは、データの暗号化よりもはるかに重要です。銀行のオンラインページにログインしたら、パスワードや口座番号などの個人情報を、確かにその銀行に送信しているかどうかこそ確認したいはずです。ロックボックス機能はこのような状況下でユーザの皆様にセカンド・オピニオンをもたらしました。すなわち、正しいサイトに送信しているのだという確信をもたらしたのです。

ロックボックス機能は、セキュアな接続で用いられる暗号鍵とともに提示される証明書から必要な情報を得ています。しかしながらこの情報は必ずしも重要なものとは限りません。このことは一部には、UI の実装方法がそれぞれ異なっているにも関わらず、これらの情報がブラウザにとって重要となるかの明瞭なガイドラインが存在しないことにも起因しています。

この時、他のブラウザベンダーもこの問題と格闘していました。そこで、私たちはこの問題に対して共に対処していくことを決意したのです。

今年一年を通じて、Microsoft、Mozilla/FireFox、Konqueror 各社の開発チームのメンバーとメールや議論を取り交わしてきましたが、その目標とするところは、将来いかにしてセキュアな接続を取り扱うかについての共通の見解を見出そうという点にあります。KHTML/Konqueror チームの George Staikos 氏は全員を（わずかながらオスロよりは温暖な）トロントに招聘し、 私たち全員の目標を要約しました。 それも実に見事に。彼はまた、次のような二点の課題も提示しました：

1. ユーザに提示される機密情報を、より重要で、より認識および理解しやすいものとする方法を探そう。さらに
2. 小規模な組織のためのセキュアソケットレイヤー(SSL) のアクセシビリティ維持と、影響力の大きいサイト(銀行、決済サービス、オークションサイトなど)とを識別する必要性とのバランスを保とう。

なんと！私たちはこれを一日で実現しようとしているのです。

優れた頭脳が一同に会した時

会議が始まるにつれて、数多くの E-mail や電話が取り交わされてきたので、私たちは物事が友好的に進むであろうと知っていました。私たちが理解していなかったことといえば、その場にこんなにも多くの理解や同意を見出しうるということでした。

それはまるで、優れた頭脳の持ち主(少なくとも彼らは持っていた)は同じように考える、というような具合でした。影響力の大きいサイトが何を要求するか、また、いかにして UI 上でこれらの機能を実装するかに関し、誰もが独自に考えながらも同様の結論に達しました。例えば、私たち全員がアドレスバー近くにPadlock(南京錠)アイコンを表示するつもりですし、あらゆるブラウザを通じて可能な限りPadlock(南京錠)アイコンに同じ意味を持たせるべきであると考えています。

私たち全員が、次期バージョンのブラウザから SSLv2 や 40 ビット、56 ビットの暗号のような脆弱な暗号化を採用しないことに賛同しています。加えて、私たちは各証明機関により強力なルートから、例えば最も可能性が高い2048 ビットキーを用いた証明書を発行するよう促すつもりです。

私たちは、強固に暗号化され確実に有効である証明書を表示するPadlock(南京錠)アイコンに加えて、新しい表示メカニズムを作成することを検討しています。

私たちは、発行された証明書や、チェインにおける中間証明書において、証明書ポリシー拡張(証明書に用いられるフォーマット、X509 で定義され拡張)ならびに、チェインと関連するルート証明書用に許可されたポリシー拡張のリスト(メタデータ同様にルート証明書の外部、例えば証明書データベースなどに保管)の使用を検討するつもりです。ポリシーの確認者を分析し、関連する検証用のプロファイルを合致させることにより、私たちはどのようなマーク（強力か通常か）をユーザの皆様に表示するかを決めることができるでしょう。

Microsoft 社が示唆した内容は次のようなものです。 強固な暗号と確実な検証基準を満たす証明書には青信号、明らかなフィッシング・サイトには赤信号、疑わしいサイトには黄色信号。ちなみに赤信号と黄色信号の二つの視覚に訴えるマークは、アンチ・フィッシング対策フィルタによって誘引されたものです。Mozilla プロジェクトの　Frank Hecker 氏は 各証明機関（CAs）の役割および いかにして証明機関業界を引き込むかに関する意見を表明しました。

ルート用に、公認のポリシーのリストにポリシーを加えさせる（特に強いカテゴリ内に）ということは、ルートを所有する証明機関に、まだそれについて決められていない多くの基準を満たすよう要求することになります。これらの基準は未完成のままですが、ブラウザベンダーによってのみならず証明機関によっても合意されるべきものです。

私たち全員が企業競争をひとまず脇において、真に重要な事柄に本腰を入れて取り掛かるのを目にするのは素晴らしいことです。真に重要な事柄とはすなわち、それが Opera、Firefox、IE、Konqueror のいずれの製品であろうとも、私たちの製品をお使いになる人々のために、インターネットをよりセキュアな空間にすることです。 エンドユーザの皆様のセキュリティに対する責任は、日増しにブラウザベンダーに掛かってきています。結局のところ、詐欺師と被害者の間に立ちはだかるのが私たちの製品なのですから。

私たちは互いに自社製品の特徴の多くで競合していますが、この段階でセキュリティには互いの協力と強調とが不可欠です。そうして、同じテーブルを囲んで隣り合って座ることで、インターネットのセキュリティを促進するにあたり、一人一人が独立してできる事以上の成果を成し遂げました。

関係者各位に感謝を捧げます。ならびに、この重要な第一歩を可能にした、George、Frank、Kelvin、Rob の各位にも感謝を捧げます。

Write a comment

スクリーンショット

Opera のスクリーンショットをさらに見る

チュートリアル

Opera チュートリアルにて Opera の使い方をさらに詳しく学ぶ

Opera のプロモーション

Opera のバナーやボタンをあなたのサイトに置くことで、あなたが Opera ユーザであることを世界中に表明しましょう。