パスワードを忘れた? アカウント作成
222883 story
Google

Google、検索サイトで SSL 通信に対応 44

ストーリー by reo
いいことじゃん 部門より

ある Anonymous Coward 曰く、

米 Google は SSL 通信を採用した検索サイト「https://www.google.com」のベータ版をリリースした (INTERNET Watch の記事本家 /. 記事より) 。

Gmail や Google Docs では SSL 通信をデフォルトにしているが、検索サイトでの対応は今回が初めて。画像検索や Google Map にはまだ対応しておらず、通常のウェブ検索でのみ使用可能となっている。

Google の SSL Search : Web Search Help のページによると、SSL 通信によって検索クエリの第三者による傍受からユーザを保護するのが目的であるとのことだが、本家 /. などでは「検索されている情報を元に (それを売るなどして) 金儲けをしようとする人々から自分たちのビジネスを守ろうとしているだけ」といった見方も示されている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by WindKnight (1253) on 2010年05月25日 12時44分 (#1769180) 日記
    https に変更する事で、どれくらい負荷が増えるんだろうか?
    只でさえ、google への通信量って少なくないだろうから、ちょっと凄いかもしれない。
    まあ、今回のはその実験という面もあるんだろうけど。
  • by baku3393 (32616) on 2010年05月25日 12時36分 (#1769167) 日記
    >本家 /. などでは「検索されている情報を元に (それを売るなどして) 金儲けをしようとする人々から自分たちのビジネスを守ろうとしているだけ」といった見方も示されている。

    んんん?
    これは何を言っているのかイマイチ技術的に理解できないんですが…。

    httpで送られていた検索クエリーをhttpsに変えた事によって防御可能なのは経路途中の傍受からだけですよね?
    ってことは、その結果ビジネスから締め出される人たちってタダの覗き魔じゃないの??
    ちがうの??

    # 恥さらしはIDで。
    --
    ---- ばくさん!@一応IT土方
    • by Anonymous Coward on 2010年05月25日 13時01分 (#1769200)

      多くのブラウザではhttpsからhttpへリファラが送られません(Safariは送られたそうだけど今もそうなのか不明)。ということはGoogleの検索結果からジャンプしてきても、(自サイトもhttpsにしない限り)リファラから検索ワードの収集ができなくなります。

      親コメント
      • by Anonymous Coward

        なるほど。技術的にはもっと簡単な対策がありそうですが,すべてのサイトが SSL に対応するのが理想だ,
        とか言って正当化できてしまうのかも。
        確かに Yahoo! で Google をググるとトップにフィッシングサイトが来たっ!なんてたまりませんものね。

    • by Anonymous Coward
      人は其れを下種の勘繰りという
    • by Anonymous Coward

      httpで送られていた検索クエリーをhttpsに変えた事によって防御可能なのは経路途中の傍受からだけですよね?
      ってことは、その結果ビジネスから締め出される人たちってタダの覗き魔じゃないの??
      ちがうの??

      社員がエロ情報を検索していないかをチェックしているシステム部門の方々が
      胃を痛めることになります。

      # httpsをチェックできるようにせよ、との上からの無茶で。
      # まあ、塞がれるだけなんでしょうけど

      • by paprika (5024) on 2010年05月25日 13時46分 (#1769247) 日記

        エロ情報くらい、自宅で好きなだけ検索すればいいのに。

        親コメント
      • by Anonymous Coward on 2010年05月25日 13時58分 (#1769255)
        うちの会社のブラウザには謎のroot certificateがインストールされてます。

        詳しいことは良くわからんのですが、担当者の話によれば
        それはproxyのcertificateで、httpsの通信はproxyがいったん復号してから
        proxyのcertificateで再度暗号化してブラウザに送ってくるのだそうで。

        デフォルト以外のブラウザを自分でインストールすると、
        httpsでどこか見ようとするたびに"証明書が不正です"の
        ダイアログボックスが出てきます。

        会社で人に見られて困るようなことすんなってことですな。
        親コメント
        • by unsignedint (7810) on 2010年05月25日 19時06分 (#1769409) ホームページ 日記

          カスペルスキーも同じような機能がついていたかな。
          SSLトラフィック内のウイルスなどを監視するための機能みたいです。

          使用するとEVなどが使えなくなる弊害がありますが・・・・・・。

          親コメント
        • by Anonymous Coward on 2010年05月25日 16時53分 (#1769344)
          SSLインスペクションは最近のセキュリティ製品だとけっこうサポートしてますね。これ [fortinet.co.jp]とか、これ [aladdin.co.jp]とか。

          httpはもとより、popやimapまでスキャンされちゃうので、使用に使ったりするとすぐにバレます
          親コメント
          • by Anonymous Coward

            >使用に使ったり
            頭痛が痛いんですね。

        • by Anonymous Coward

          それって売り物ですか?

          • by Anonymous Coward
            売り物でしょう。製品名までは聞きませんでしたが。
            わざわざそんなもの自社開発するとは思えません。
        • by Anonymous Coward

          オレオレ証明書用意してまで暗号化通信の検閲かよ
          jbeefはよく怒らないなぁ

  • by hoihoi-p (5571) on 2010年05月25日 14時30分 (#1769278) 日記

    そんな事より、私はMTA間通信を暗号化してほしいと望むのは私だけ?

    --
    hoihoi-p  得意淡然、失意泰然。
    • by nisiguti (1286) on 2010年05月26日 10時48分 (#1769664)

      SMTP over TLSが有りますね。メールサーバが対応していれば可能なはず。
      でもEnd to Endの暗号化をするならS/MIMEを使うべきと思います。

      親コメント
      • by hoihoi-p (5571) on 2010年05月27日 16時57分 (#1770426) 日記

        > メールサーバが対応していれば可能なはず。
        そう。経路も含めて、全てのメールサーバがね。

        --
        hoihoi-p  得意淡然、失意泰然。
        親コメント
        • by nisiguti (1286) on 2010年06月03日 10時26分 (#1773877)
          それならS/MIMEを使うべきでしょうね。
          全メールサーバが対応する程の必要性を感じているなら、End to Endの暗号化でなければ不十分と思います。
          親コメント
          • by hoihoi-p (5571) on 2010年06月04日 0時47分 (#1774390) 日記

            今頃コメントするのも何ですが。

            > SMTP/POP/IMAP over SSL/TLSで良いんじゃないですかね。
            家のサーバはそうなってます。(今はサービスしてませんが。)

            > それならS/MIMEを使うべきでしょうね。
            これもやった事があります。

            pgp/gpg の公開鍵も公開してる。「ldap://keyserver.pgp.com」
            メールの署名欄に公開鍵の所在地も書いてます。
            しかし、今までその鍵で暗号化メールを送ってくれた人はありません。

            昔、警察無線をアマチュア無線機の改造で堂々と聞けました。(今は暗号化されてますが。)
            関係法令は電波法だと思いますが、「傍受は良いが、悪用してはならない。」となってました。
            要するに、自分に火の粉がかからない限り動かない。
            な〜んか、これで良いのかな? と、思うんですよね。

            --
            hoihoi-p  得意淡然、失意泰然。
            親コメント
    • by jobsa (39063) on 2010年05月26日 0時42分 (#1769546)
      もう自分はメール(SMTP,POP,IMAP)なんていうプロトコルはやめて、HTTPSにすればいいのに、と思います。
      普通にHTTPプロトコルで POST でメールの送信を行い、GETで普通にウェブページを見るように使えばいい。
      実際、現在のメール環境は、ウェブメールが主流ですからね。
      これでサーバー間もHTTPSで暗号化されてメッセージを交換できる。

      RSSみたいに規則きめれば、メールソフトでも簡単に対応出来るしね。

      ただサーバー側の負荷具合はちょいと詳しくないのでわかりかねる。きっと現在のメールプロトコルのほうがシンプルで軽いんだろうけど。
      親コメント
      • by nisiguti (1286) on 2010年05月26日 10時50分 (#1769667)

        HTTPS (HTTP over SSL/TLS) で良いなら、SMTP/POP/IMAP over SSL/TLSで良いんじゃないですかね。

        親コメント
        • by jobsa (39063) on 2010年05月26日 16時57分 (#1769916)
          いや、SSLにこだわるのではなく、HTTPのほうにこだわりたいところなんです。
          ウェブのSSLは普及してきたけど、メールのSSL(などの暗号化技術の採用)は、まだあまりないですから。
          ISP支給のメールなんでどこも生でのやりとりだと思いますし、アホかと思います。

          ウェブ開発してると、いちいちMTAとおしてメール送信するより、RESTFULにできたらもっと楽なのになと。
          親コメント
          • by nisiguti (1286) on 2010年06月03日 10時37分 (#1773883)
            HTTPSがメール系のSSLより普及しているとは言っても、それはWebページ用として普及しているんですよね。
            仮にHTTPSを使ってメール配送をしようとしても、そのために新しい証明書を用意しないといけないので、メール配送をHTTPSにする事がメール配送の暗号化に繋がるとはとても思えないです。

            メールの閲覧やメールの投稿にHTTPを使うのは容易ですが、メールの配送にHTTPを使うのはそのままでは無理かな
            親コメント
    • SMTPなんてプロトコルはゴミ箱に捨てて欲しい。
    • by Anonymous Coward
      MTAそのものが安全かどうかも疑わしいので、経路のSSL化じゃなくて本文の暗号化の方が有効かと。
  • 傍受? (スコア:1, 興味深い)

    by Anonymous Coward on 2010年05月25日 12時07分 (#1769142)
    怖いのは傍受より改変じゃない?
  • by Anonymous Coward on 2010年05月25日 12時09分 (#1769144)

    Google自身に見られるのが嫌だ。

    • by Anonymous Coward on 2010年05月25日 12時40分 (#1769172)

      ググるなカス

      親コメント
      • by Anonymous Coward
        まぁ元コメントは言いすぎだと思うけど、
        Googleを利用するときは検索ワード以外の情報を
        渡さないように気をつけたいところではありますね。

        こっそり情報集めといて、突然思いもよらないことに
        使い始める連中ですから。
  • by Anonymous Coward on 2010年05月25日 12時14分 (#1769149)

    https://www.google.co.jp/ [google.co.jp]だとhttp://www.google.co.jpにリダイレクトされるね。
    変なポリシーだなぁ。

    • Re:google.co.jp (スコア:1, 参考になる)

      by Anonymous Coward on 2010年05月25日 12時17分 (#1769151)
      これ始める前は https://www.google.com/ [google.com] も http://www.google.com/ [google.com] にリダイレクトされていて、httpsはアカウントが必要な作業専用でした。
      親コメント
    • おお、Google Chromeで試してみたら確かにリダイレクトされ不正なサイト扱いと表示された。

      Gmail や Google Docs では SSL 通信をデフォルトにしているが

      これで気がついたのだが、Docsはgoogle.com経由だとSSL通信になるがgoogle.co.jp経由だとSSL通信でなかった。
      これまでSSLになったりならなかったりしてちょっと不思議だったがこれのせいか。
      たいしたドキュメント入れていないがこれからはgoogle.com経由にしよう。

      --
      The "Suruh Force" is with you,young commenter.But you are not a Sradder yet.
      親コメント
    • by Anonymous Coward
      通信を追いかけると
      HTTPS://www.google.co.jp → www.google.com名義の証明書により302でHTTP://www.google.comへリダイレクト
      HTTP://www.google.com → HTTP://www.google.co.jpへリダイレクト
      多分、co.jpではサービスしていない、が正解じゃないかと思います。

      OpenDNSおよびgoogleDNSで参照した場合、co.jpもcomもそれぞれのDNS毎に同じIPが返されます。
      だからこそ、最初の証明書の時点でwww.google.comに決め打ちしているのだと思います。

      証明書にエラーが有るため、暗号経路確立の時点でドメイン名が一致しないエラーが発生します。(Chrome、Proxomitron)
  • by Anonymous Coward on 2010年05月25日 12時21分 (#1769159)
    これでストカーに傍受されても安心ですね。
  • by Anonymous Coward on 2010年05月25日 12時52分 (#1769191)
    「ほげほげに関連する検索キーワード」として全世界に公開されちゃう。
  • by Anonymous Coward on 2010年05月25日 12時57分 (#1769198)

    仕事中にアレゲなキーワードで検索をかけたのがばれて
    呼び出しを食らうことが無くなるんですね。

    • by Anonymous Coward

      実のところ、実際に呼び出されて数時間説教されたり、減給になった人っているんだろうか

typodupeerror

UNIXはシンプルである。必要なのはそのシンプルさを理解する素質だけである -- Dennis Ritchie

読み込み中...