Chrome 2.0のセキュリティ対策は？

30％の高速化を実現したChrome 2.0は、CSRF対策やクリックジャック対策など、セキュリティ面も強化している。

[Brian Prince，eWEEK]

　米GoogleのWebブラウザの最新版「Google Chrome 2.0」には、新機能が幾つか追加され、動作速度の向上が図られている。では、セキュリティについてはどうなのだろう？

　Webセキュリティの脅威の高まりを受けて、ブラウザベンダー各社は後れを取るまいと懸命に対策に取り組んでいる。実際、MicrosoftのInternet Explorer 8（IE8）にも、多数のセキュリティ機能が追加されている。GoogleもChrome 2.0に幾つか新しいセキュリティ機能を追加した。例えば、クロスサイトリクエストフォージェリ（CSRF）やクリックジャック攻撃に対する対策などだ。CSRFとは、Webアプリケーションにログイン済みのユーザーに不要なアクションの実行を強要するという攻撃手法。CSRF攻撃への対策として、Chrome 2.0では、サーバがステートを変更する可能性のあるPOSTリクエストについては発信元情報が送られるようになっている。

　「例えば、銀行であれば、リクエストをチェックして、それが攻撃者のサイトからではなく自社のサイトからのものであることを確認できる」とChrome担当のソフトウェアエンジニア、アダム・バース氏は説明している。同氏によると、その際に発信元情報が役立つという。

　CSRF対策のほか、GoogleはChrome 2.0にHTML5のPostMessageのサポートを追加し、Webサイトの開発者がよりセキュアなマッシュアップアプリケーションを開発できるようにしている。

　「最近では、マッシュアップを実行するサイトにアクセスしたり、興味深いガジェットを入手したりといったことが珍しくなくなっている。例えば、ポニーの群れがダンスするなど、ちょっとしたクールなガジェットがあれば、ポニー好きの人たちは自分のWebページにポニーを置きたいと思うだろう。わたしも自分のWebページにポニーを置いたら素敵だろうと思う。だが、そのガジェットにわたしのパスワードをかぎまわるようなことはさせたくない。そうした場合、PostMessage APIを使えば、ポニーガジェットとやり取りはできるが、わたしのWebページ内のそのほかの領域にアクセスしたり、直接コントロールしたりといった権限をこのガジェットに与えずに済む」とChromeの製品マネジャー、イアン・フェッテ氏は説明している。

　さらにGoogleはIE8の前例にならい、Chrome 2.0にクリックジャック攻撃対策を追加したほか、新規タブページからサムネールを削除する機能を追加することでプライバシーの強化を図っている。

　Googleは2008年9月にChromeブラウザを初めて公開した際、レンダリングエンジンのサンドボックス化など、セキュリティ機能の高さをアピールしようとした。だがその後、同社は幾つかトラブルにも見舞われた。Chromeが利用しているWebKitに脆弱性が見つかったのを皮切りに、セキュリティコミュニティーによるテストが進むにつれ、ほかにも同ブラウザの各種の脆弱性が発見されたのだ。

　なおGoogleは今後に関して、IEにあるようなセキュリティゾーン機能のほか、ユーザーインタフェース内からJavaScriptを無効にする機能については、「当面、追加する計画はない」と語っている。ただし、攻撃防止に必要とみられる場合、JavaScriptはコマンドラインを介して無効にできる。

　「われわれはGoogle Chromeの開発に際して、ユーザーが何か操作をしたり設定を行なったりしなくてもデフォルトの状態でできる限りセキュリティを高めるというアプローチを取ってきた」とフェッテ氏は語っている。

原文へのリンク