延期されていたTLS 1.0/1.1のデフォルト無効化、6月から順次実施

著者: hylom

2020年6月15日 14:10

新型コロナウイルス感染拡大の影響で延期されていたTLSバージョン1.0および1.1（TLS 1.0/1.1）の無効化がついに行われるようだ。Firefoxでは、6月30日公開のFirefox 78でデフォルトでTLS 1.0/1.1の無効化が行われる（MozillaのBugzila、 Firefoxサイト互換性情報）。

HTTPSなどの暗号化通信で使われるTLSのバージョン1.0および1.1では脆弱性が発見されており安全ではないとして、2020年中に主要WebブラウザではTLS 1.0/1.1のサポートが廃止される方針だった

Firefoxだけでなく、Google Chromeの次期バージョンであるChrome 84でもTLS 1.0/1.1のサポートが削除される予定（窓の杜）。

Google ChromeのSameSite cookie強制、7月に再開へ

スラド

著者: headless

2020年5月31日 18:16

Googleは5月28日、Google ChromeにおけるSameSite cookie強制を7月に再開する計画を明らかにした(Chromium Blogの記事、 The Vergeの記事、 SlashGearの記事)。

SameSite cookieは「SameSite」属性で他サイトに対するcookie送信を制御することでセキュリティを強化する仕組み。Google Chromeでは2月リリースのChrome 80でSameSite cookie強制を段階的にロールアウトしていたが、サービス側が対応することによる問題発生も報告されていた。その後、COVID-19パンデミックが世界的に困難な状況を生む中、Googleは必要なサービス提供が中断されないようにするためとして、4月に一時的なロールバックを実施している。

4月以降、GoogleはWebサイトやサービスの対応状況を見守っており、SameSite cookie強制を再開しても問題ないと判断したようだ。再開日はChrome 84がリリースされる7月14日に設定されており、Chrome 80以降で前回と同様に段階的なロールアウトを行う。具体的なタイミング等については引き続きSameSite Updatesページで告知するとのことだ。

Chromiumプロジェクト、重大度の高いセキュリティバグの約70％がメモリに由来すると発表

スラド

著者: hylom

2020年5月28日 14:28

Anonymous Coward曰く、

Chromiumプロジェクトは今週、重大度の高いセキュリティバグの約70％は、メモリの安全性に関する問題（ポインタの誤り）に由来すると発表した。これはGoogleのエンジニアが2015年以降の912の重大度の高い、もしくは重大なセキュリティバグを分析した結果から導き出させたものだという。これはユーザーのセキュリティを危険にさらすだけでなく、Chromeの修正と出荷においてコストを増大させているとしている。

同様の問題はMicrosoftも指摘している。2019年2月のセキュリティ会議で講演したMicrosoftのエンジニアは過去12年間、Microsoft製品のすべてのセキュリティアップデートの約70％がメモリの安全性が原因だったと指摘している。端的に言えば、コードベースで2つの主要なプログラミング言語であるCとC++は「安全でない」言語であるということになる。

Googleによると2019年3月以降、重大度の高いChrome脆弱性130個のうち、125はメモリ破損に関連する問題だった。他のバグクラスの修正が進んだにもかかわらず、メモリ管理が依然として問題であるとしている。Mozillaは、CおよびC++の修正をするのをあきらめ、FirefoxでRustプログラミング言語を後援、促進、大幅に採用することで大きな進歩を遂げた。MicrosoftもCおよびC++の代替に多大な投資をしている。

今週、Googleも同様の計画を発表した。今後、Googleは、メモリ関連のバグに対する保護を強化したライブラリであるカスタムC++ライブラリの開発を検討する予定であると述べている。またGoogleは可能な限り「安全な」言語の使用を検討する計画があるとも述べている。候補には、Rust、Swift、JavaScript、Kotlin、およびJavaが含まれているようだ（The Chromium Projects、Slashdot）。

国税庁のe-Taxサイト、Google ChromeとChromium版Microsoft Edgeの対応を開始

スラド

著者: hylom

2020年5月27日 13:08

国税庁の電子申告・納税システムe-Taxでは32ビット版Windows 8.1もしくは10とInternet Explorer 11もしくは旧Edgeが推奨環境となっていたが、5月25日より「受付システム」と「e-Taxの開始（変更等）届出書作成・提出コーナー」がGoogle Chromeに対応した（同サイト上での発表）。それ以外のソフト・コーナーについても来年1月よりChromeに対応する予定だという。

利用には専用のChrome拡張機能のインストールが必要。これに合わせて、Chromeと拡張の互換性があるChromeベースの新Edgeでも同様にこれらのソフト・コーナーが利用できるという。

Google、Chromeウェブストアでのスパム対策を強化

スラド

著者: headless

2020年5月4日 11:35

Googleは4月29日、Chromeウェブストアでのスパム対策を強化するための開発者プログラムポリシー改訂を発表した(Chromium Blogの記事、 9to5Googleの記事、 The Vergeの記事、 SlashGearの記事)。

Chromeウェブストアは最大のブラウザー拡張機能カタログとなる一方、低品質な拡張機能やユーザーを誤解させるような内容の拡張機能を公開して利益を得ようとする開発者も増加しているという。

以前からChromeウェブストアの開発者プログラムポリシーでは同じ内容のコンテンツを複数公開することや、キーワードスパム、レーティング操作などを禁じている。ただし、改訂前(Internet Archive)は「～しないように (Do not ～)」のような表現だったが、改定後は「～を認めない (We don't allow ～)」「開発者は～してはいけない(Developers must not ～)」のように変更されている。

また、ユーザーに対するスパム送信や、ユーザーに代わってスパム送信することも禁止事項に追加された。このほか、他のアプリやテーマ、拡張機能のインストールまたは起動を主な機能とするアプリを禁止する項目は、このような拡張機能を禁止する項目に差し替えられている。

開発者は8月27日までに改訂版ポリシーに準拠する必要があり、以降も違反状態が続く場合は削除または無効化される可能性があるとのことだ。

リーディングビュー