隔意なくセキュリティを語り合うブラウザ開発者たち
同じものを採用する確約は特になされなかったが、認証済みサイトを訪れたとき表示される南京錠アイコンの位置、証明書および証明書確認技術の強化、ブラウザ暗号技術の不十分な点、フィッシング問題の解決法などについて共通の理解が得られた。
改良点の中でも特に目に付くのは、Webサイトのトランザクション・セキュリティをユーザーにどう知らせるかという部分だ。視認性を高めるため南京錠アイコン — 安全なサイトを訪れたとき、どのブラウザでもどこかに表示される — が4つのブラウザともアドレス・バーに移動されることになった。
「インタフェースと実装を無理なく共通化することが目標になると思う」と、この会議を企画したGeorge Staikos（KDEの中心開発者）は言う。「すべてのブラウザが連携することは公益にかなうと我々全員が感じていると思う。NetscapeとInternet Explorerをめぐる、あの対立の日々［ブラウザ戦争］の大混乱を誰も再び経験したくないのだ。今後、我々の連携はさらに強まると思う」
前例のない会議
Staikosによれば、この会議は4つのブラウザの開発者が約7ヶ月間続けてきた話し合いの中から生まれた。Staikosは、各人の通り道がトロントで交差するので、全員が丸一日かけて問題やアイデアを検討できればよいと考えて会議を招集した。また、彼は話し合いの結果、着実に事が進んでいると確信していると言う。
Konquerer（KDE）を代表するStaikos以外の出席者は次のとおり。Frank HeckerはMozillaから派遣された認証の専門家。Carsten FischerとYngve PettersenはOperaを代表する開発者。Rob Franco、Kelvin Yui、Tom AlbertsonはMicrosoftから派遣されたIE開発者。
Staikosが、この会議を前例がなく「清々しくさえある」と評したのは、「Microsoftがブラウザ戦争当時の大敵と協力し、さらにはオープンソース・コミュニティとも協力している」ことが特筆すべき事柄だからである。しかし、彼は選択肢はそれほどないとも言う。フィッシング対策やユーザーとWebポータルの間のセキュリティ強化は全員が取り組むべき問題であって、だからこそ協力して解決するのが道理なのだ。
Heckerはこう指摘する。ブラウザの開発者やその他の人々は、たいてい公式の標準制定機関や作業部会のからみで、既に協力している。SSL（Secure Sockets Layer）プロトコルを検討する公式の標準制定機関や関連組織が存在しないので、ブラウザ関係の会議は非公式な形を取ることが多く、一般の人々に話が伝わっていないのだ。
ユーザーをフィッシングから守る
IE Blogブログの11月21日付記事によると、Francoはサイトの身元確認のための「反例」としてAnti-Phishing User Experience and Phishing Filterというフィルタを発表した。IE 7に組み込まれ、来年にはプラグイン化されという。このフィルタは既知のフィッシング・サイトかフィッシングの疑いがあるサイトかをアドレス・バーの色（赤または黄色）で示すようになっている。
IE Blogの11月17日付記事（Microsoftのスパム/フィッシング対策チームの統括マネジャーJohn Scarrowが投稿）によれば、Microsoftは、この情報をカスタマ・レポートと、フィッシング・サイトの確認に当たるデータ提供業者の両方から収集し、1時間に数回更新してユーザーをできるだけ速やかに詐欺から保護するという。IE 6については、プラグイン版が既に用意されている。
KDE Dot Newsの11月21付記事で、Staikosは、何か形あるものをオープンソース・コミュニティに解放して一緒に改良していこうとまでは言わないが、Microsoftのフィッシング対策プラグインと同様のものを他のブラウザが開発することをMicrosoftが認めてくれないかと期待を込めて述べている。
「Microsoftがこのシステムを公開し、Konqueror用プラグインの開発を認めてくれれば、我々のユーザーが［フィッシングWebサイト］データベースに情報を提供して、これを活用できる」とStaikosは記事の中で書いている。「Microsoftは、将来このクライアント・テクノロジを公開する可能性がないとは言っていない。また、同様のテクノロジを提供する気があるなら独自のアプローチを取っても彼らと同じデータ提供業者と連携することは可能だと示唆している」
Opera 8には既に「ロック・ボックス」なるものが組み込まれていると、Opera Webの11月23日付記事でFischerおよびPettersenが書いている。ロック・ボックスは黄色のバーで、ユーザーの訪れたサイトが本当にユーザーの期待する会社のものか確認でき、インターネット上で送信される機密情報の暗号化に関する情報も提供される。
Webサイトの証明書確認技術を強化し（これはフィッシング・サイトの判定に役立つ）、その情報をユーザーによりわかりやすい形で提供すること — この話し合いの中でもフィッシングの問題が相当数検討された。
証明書をめぐるセキュリティの改良点
ブラウザ開発者たちはブラウザで使われている暗号技術の水準を高めることを話し合い、強度の低い証明書と弱い暗号を取り除くか無効にすることに同意したと、Staikosは述べている。彼によれば、SSL 2.0はKonquererから既に取り除かれていて、他の開発者もそうすることに同意したと言う。これ以外の暗号も「何ヶ月かあるいは何年かのうちに」取り除かれるか無効にされ、各ブラウザの推奨するより強力なものに置き換わるだろう。
証明書の確認と暗号化情報のセキュリティは、アドレス・バーの色で示される。確認が失敗すると赤、確認に疑念があるときは黄（一部のブラウザ）、信頼できる証明書と確認されたときは緑がそれぞれ表示される。Webサイトを所有する会社の名前が確認機関の名前と共にURLの横で回転し、これもユーザーの役に立つセキュリティ情報となる。
IEでは、Microsoftのフィッシング対策フィルタによって確認の警告も発せられ、それが追加的なセキュリティ情報となる。ただし、Francoによると、このシステムは現在と同じように証明書を確認するが、全員 — ブラウザのベンダと認証機関（CA）— が同じ考えを持つまで、より具体的な情報は提供されないという。
「IE7や他のブラウザでこれを体験できると約束したいところだが、ブラウザがSSLサイトを診断して峻別するには解決しなければならない問題がまだ多く残っている」とFrancoは書いている。「Microsoft、Mozilla、Opera、Konqueror、その他は、これがうまくいくには、Webサイトの厳格な身元確認のための共通の確認ガイドラインが必要と考えている。予備の協定は多くあるが、やるべきことも多いのだ」
ブラウザ側が提案すべく動いている拡張された確認用の証明書をCAが提供してくれなければ、ユーザー・インタフェースに変更を加えても意味がないとHeckerは言う。ブラウザのユーザー・インタフェースと公的に発せられる望ましい作法との間に一貫性があるかどうかが、変更を無駄なものにしないための鍵となる。
「CAが新しいタイプの証明書を提供してくれるなら、それらの証明書に載せる情報とその使い方についての意見を一致させる必要がある」とHeckerは言う。「CAはブラウザごとに違うことをしたくないし、ブラウザ開発者はCAごとに違うことをしたくないからだ」
いかなる提案作業でもCAを「主役」と位置づけるStaikosは、ソフトウェアさえ完成すれば潜在的なビジネス・チャンスが彼らを引きつけるだろうと言う。また、どのブラウザ・ベンダも同じようなところで同意せざるを得ないし、電子メール・クライアントや、SSLを使うその他のアプリケーションも然りだ言う。
Fordによれば、今回の会議で討議されたセキュリティ面の話題はどのブラウザでも同じとOperaの開発者たちはずっと感じてきたと言う。しかし、ブラウザ・ベンダの検討している変更を実施するために証明機関は — 情報伝達手段とまでは言わなくても — 共通のプラットフォーム を必要としているとも言う。
「見えるものは同じだろうが、情報を共通の方法で扱うことがより大切だ」とFordは言う。「我々はまださまざまなUIの実装を選ぶことができるが、暗号に影響力を持つ他の企業に対して共通の立場を提示する方向で取り組んでいる」
今後の協力強化は？
Staikosは、この会議をとても前向きなものと評価し、どのブラウザもセキュリティの標準化に関して合意した内容をWebブラウジングのその他の領域にうまく転換できるはずだと言う。また、レンダリングやスタイル・シート、XMLサポート、より高度なフォームなどについても、互換性を高めるために協力していきたいものだとも述べている。
「いずれこれらの領域に踏み出すことができれば、Web開発者とユーザーにとって本当によいことだと思う」とStaikosは言う。
Fordは、ブラウザ間の協力はもっと強化されて然るべきと述べているが、セキュリティ以外の部分での連携については詳しく語っていない。だが、彼はこうも述べている。フィッシングは「インターネット全体の脅威」であり、ドメイン登録機関やブラウザ・ベンダからCAまでの全員が協力して食い止める必要がある — 特に何かを動かすためには業界全体の合意が必要だ、というのである。
「我々は自分たちの製品の多くの面で競争できるが、このレベルのセキュリティには協力と協調が必要だ」とFischerおよびPettersenは書いている。「そして同じテーブルに着くことで、インターネットのセキュリティを高めるために、競争だけでは考えられないような多くのことを成し遂げたのである」
原文
