Google、検索サイトで SSL 通信に対応 44
ストーリー by reo
いいことじゃん 部門より
いいことじゃん 部門より
ある Anonymous Coward 曰く、
米 Google は SSL 通信を採用した検索サイト「https://www.google.com」のベータ版をリリースした (INTERNET Watch の記事、本家 /. 記事より) 。
Gmail や Google Docs では SSL 通信をデフォルトにしているが、検索サイトでの対応は今回が初めて。画像検索や Google Map にはまだ対応しておらず、通常のウェブ検索でのみ使用可能となっている。
Google の SSL Search : Web Search Help のページによると、SSL 通信によって検索クエリの第三者による傍受からユーザを保護するのが目的であるとのことだが、本家 /. などでは「検索されている情報を元に (それを売るなどして) 金儲けをしようとする人々から自分たちのビジネスを守ろうとしているだけ」といった見方も示されている。
負荷の増加はどれくらい？ (スコア:3, 興味深い)
只でさえ、google への通信量って少なくないだろうから、ちょっと凄いかもしれない。
まあ、今回のはその実験という面もあるんだろうけど。
教えてエロい人 (スコア:2)
んんん？
これは何を言っているのかイマイチ技術的に理解できないんですが…。
httpで送られていた検索クエリーをhttpsに変えた事によって防御可能なのは経路途中の傍受からだけですよね？
ってことは、その結果ビジネスから締め出される人たちってタダの覗き魔じゃないの？？
ちがうの？？
# 恥さらしはIDで。
---- ばくさん！＠一応IT土方
Re:教えてエロい人 (スコア:4, 参考になる)
多くのブラウザではhttpsからhttpへリファラが送られません(Safariは送られたそうだけど今もそうなのか不明)。ということはGoogleの検索結果からジャンプしてきても、(自サイトもhttpsにしない限り)リファラから検索ワードの収集ができなくなります。
Re: (スコア:0)
なるほど。技術的にはもっと簡単な対策がありそうですが，すべてのサイトが SSL に対応するのが理想だ，
とか言って正当化できてしまうのかも。
確かに Yahoo! で Google をググるとトップにフィッシングサイトが来たっ！なんてたまりませんものね。
Re: (スコア:0)
Re: (スコア:0)
httpで送られていた検索クエリーをhttpsに変えた事によって防御可能なのは経路途中の傍受からだけですよね？
ってことは、その結果ビジネスから締め出される人たちってタダの覗き魔じゃないの？？
ちがうの？？
社員がエロ情報を検索していないかをチェックしているシステム部門の方々が
胃を痛めることになります。
# httpsをチェックできるようにせよ、との上からの無茶で。
# まあ、塞がれるだけなんでしょうけど
Re:教えてエロい人 (スコア:1)
エロ情報くらい、自宅で好きなだけ検索すればいいのに。
Re:教えてエロい人 (スコア:1, 参考になる)
詳しいことは良くわからんのですが、担当者の話によれば
それはproxyのcertificateで、httpsの通信はproxyがいったん復号してから
proxyのcertificateで再度暗号化してブラウザに送ってくるのだそうで。
デフォルト以外のブラウザを自分でインストールすると、
httpsでどこか見ようとするたびに"証明書が不正です"の
ダイアログボックスが出てきます。
会社で人に見られて困るようなことすんなってことですな。
Re:教えてエロい人 (スコア:2, 参考になる)
カスペルスキーも同じような機能がついていたかな。
SSLトラフィック内のウイルスなどを監視するための機能みたいです。
使用するとEVなどが使えなくなる弊害がありますが･･････。
Re:教えてエロい人 (スコア:1)
使わなくなって久しいのですが Proxomitron もその機能があったはずです。
証明書の期限切れみたいな話があったような気がする。
Re:教えてエロい人 (スコア:1, 参考になる)
httpはもとより、popやimapまでスキャンされちゃうので、使用に使ったりするとすぐにバレます
Re: (スコア:0)
＞使用に使ったり
頭痛が痛いんですね。
Re: (スコア:0)
それって売り物ですか?
Re: (スコア:0)
わざわざそんなもの自社開発するとは思えません。
Re: (スコア:0)
オレオレ証明書用意してまで暗号化通信の検閲かよ
jbeefはよく怒らないなぁ
そんな事より (スコア:2)
そんな事より、私はMTA間通信を暗号化してほしいと望むのは私だけ？
hoihoi-p 得意淡然、失意泰然。
Re:そんな事より (スコア:2)
SMTP over TLSが有りますね。メールサーバが対応していれば可能なはず。
でもEnd to Endの暗号化をするならS/MIMEを使うべきと思います。
Re:そんな事より (スコア:2)
> メールサーバが対応していれば可能なはず。
そう。経路も含めて、全てのメールサーバがね。
hoihoi-p 得意淡然、失意泰然。
Re:そんな事より (スコア:2)
全メールサーバが対応する程の必要性を感じているなら、End to Endの暗号化でなければ不十分と思います。
Re:そんな事より (スコア:2)
今頃コメントするのも何ですが。
> SMTP/POP/IMAP over SSL/TLSで良いんじゃないですかね。
家のサーバはそうなってます。(今はサービスしてませんが。)
> それならS/MIMEを使うべきでしょうね。
これもやった事があります。
pgp/gpg の公開鍵も公開してる。「ldap://keyserver.pgp.com」
メールの署名欄に公開鍵の所在地も書いてます。
しかし、今までその鍵で暗号化メールを送ってくれた人はありません。
昔、警察無線をアマチュア無線機の改造で堂々と聞けました。(今は暗号化されてますが。)
関係法令は電波法だと思いますが、「傍受は良いが、悪用してはならない。」となってました。
要するに、自分に火の粉がかからない限り動かない。
な〜んか、これで良いのかな？ と、思うんですよね。
hoihoi-p 得意淡然、失意泰然。
Re:そんな事より (スコア:1)
普通にHTTPプロトコルで POST でメールの送信を行い、GETで普通にウェブページを見るように使えばいい。
実際、現在のメール環境は、ウェブメールが主流ですからね。
これでサーバー間もHTTPSで暗号化されてメッセージを交換できる。
RSSみたいに規則きめれば、メールソフトでも簡単に対応出来るしね。
ただサーバー側の負荷具合はちょいと詳しくないのでわかりかねる。きっと現在のメールプロトコルのほうがシンプルで軽いんだろうけど。
Re:そんな事より (スコア:2)
HTTPS (HTTP over SSL/TLS) で良いなら、SMTP/POP/IMAP over SSL/TLSで良いんじゃないですかね。
Re:そんな事より (スコア:1)
ウェブのSSLは普及してきたけど、メールのSSL(などの暗号化技術の採用)は、まだあまりないですから。
ISP支給のメールなんでどこも生でのやりとりだと思いますし、アホかと思います。
ウェブ開発してると、いちいちMTAとおしてメール送信するより、RESTFULにできたらもっと楽なのになと。
Re:そんな事より (スコア:2)
仮にHTTPSを使ってメール配送をしようとしても、そのために新しい証明書を用意しないといけないので、メール配送をHTTPSにする事がメール配送の暗号化に繋がるとはとても思えないです。
メールの閲覧やメールの投稿にHTTPを使うのは容易ですが、メールの配送にHTTPを使うのはそのままでは無理かな
そんな事より (Re:そんな事より) (スコア:0)
Re: (スコア:0)
傍受？ (スコア:1, 興味深い)
Re:傍受？ (スコア:1)
経路検索や地図検索の検索ワードで自宅住所とか漏れたら嫌じゃないですか。
アレ？対応してないよー
Googleとの間なんてどうでもいい (スコア:0)
Google自身に見られるのが嫌だ。
Re:Googleとの間なんてどうでもいい (スコア:1, すばらしい洞察)
ググるなカス
Re: (スコア:0)
Googleを利用するときは検索ワード以外の情報を
渡さないように気をつけたいところではありますね。
こっそり情報集めといて、突然思いもよらないことに
使い始める連中ですから。
google.co.jp (スコア:0)
https://www.google.co.jp/ [google.co.jp]だとhttp://www.google.co.jpにリダイレクトされるね。
変なポリシーだなぁ。
Re:google.co.jp (スコア:1, 参考になる)
google.co.jp経由Google DocsはSSL通信じゃない (スコア:1)
おお、Google Chromeで試してみたら確かにリダイレクトされ不正なサイト扱いと表示された。
Gmail や Google Docs では SSL 通信をデフォルトにしているが
これで気がついたのだが、Docsはgoogle.com経由だとSSL通信になるがgoogle.co.jp経由だとSSL通信でなかった。
これまでSSLになったりならなかったりしてちょっと不思議だったがこれのせいか。
たいしたドキュメント入れていないがこれからはgoogle.com経由にしよう。
Re: (スコア:0)
HTTPS://www.google.co.jp → www.google.com名義の証明書により302でHTTP://www.google.comへリダイレクト
HTTP://www.google.com → HTTP://www.google.co.jpへリダイレクト
多分、co.jpではサービスしていない、が正解じゃないかと思います。
OpenDNSおよびgoogleDNSで参照した場合、co.jpもcomもそれぞれのDNS毎に同じIPが返されます。
だからこそ、最初の証明書の時点でwww.google.comに決め打ちしているのだと思います。
証明書にエラーが有るため、暗号経路確立の時点でドメイン名が一致しないエラーが発生します。(Chrome、Proxomitron)
Re:google.co.jp (スコア:2)
技術的にはサーバ/クライアント共にServer Name Indicationに対応していれば、
アクセスするFQDNに応じて証明書を使い分ける事は可能です。
これでストカーに傍受されても安心 (スコア:0)
検索クエリーはバレます (スコア:0)
これで (スコア:0)
仕事中にアレゲなキーワードで検索をかけたのがばれて
呼び出しを食らうことが無くなるんですね。
Re: (スコア:0)
実のところ、実際に呼び出されて数時間説教されたり、減給になった人っているんだろうか
Re: (スコア:0)
Re: (スコア:0)
だよね。
今回のgoogleに限っては分かるってことなのかな？
元コメが何を試したのか興味深い。
Re: (スコア:0, オフトピック)
ありゃ、パケット監視に拾われてたのは前後の違う通信だったのかな。
勘違いだったようです、すみません。
余裕があったら静めといてください＞モデレータ