グーグルは、こうして「URLがない世界」への第一歩を踏み出す
グーグルのChromeセキュリティ対策チームは2018年9月、大胆な構想を打ち出した。あのURLをなくしてしまおうというのだ。
ウェブ世界を支える基本構造を一変させようという話ではない。その望みは、目当てのサイトに案内してくれるブラウザーのしくみをつくり直すことだ。結果的にわたしたちは、長くなるばかりの理解不能なURLの文字列と格闘せずに済むようになる。URLの複雑さにつけ込んで次々に現れる詐欺行為にも対抗できるはずだ。
こうしたなか、1月下旬に開かれたセキュリティカンファレンス「Enigma 2019」で、Chromeのセキュリティ対策チームを率いるエミリー・スタークが語った内容が論争を巻き起こした。ウェブサイトをもっと確実に識別できるようにするためにグーグルが始めた取り組みについて、詳細を語ったのだ。
どのサイトを見ているか、簡単にわかるように
グーグルは、URLをなくして混乱を起こそうなどとは考えていない、とスタークは言う。サイトの真贋を見抜けずにまごつくユーザーの心理につけ込んだハッカー行為を封じることが目的なのだと、彼女は強調する。
現状、意味不明の文字が際限なく並ぶURLは、ハッカーによる詐欺行為の格好の隠れみのになっている。こうした連中は、不正リンクを作成し、正規のサイトに導くと見せかけて、獲物となるユーザーを自動的にフィッシングサイトに誘導する。
本物そっくりのURLをもつ偽サイトの作成もお手のもの。「Google」ならぬ「G00gle」のページに誘導されても、カモたちは気づくまいと踏んでいるのだ。退治し切れないほどの偽造URLの多さに、Chromeチームはふたつのプロジェクトを立ち上げ、ユーザーの不安を取り除くための対策を始めた。
「サイトを識別する方法を変えましょうと言っているのです」と、スタークは『WIRED』US版の取材に語る。「自分はいま何のサイトを見ているのか、簡単にわかるようにすべきです。別のサイトに迷い込んでいるのではないかとユーザーを不安がらせてはいけません。高度な知識を要さずにこの点を解決できるよう、インターネットを機能させるべきです」
鍵を握るヒューリスティクスの手法
Chromeチームは現在、標準仕様とは異なるURL表示の検出に注力している。主に使用しているのは、カンファレンスでスタークが発言したのと同じころにリリースされた「TrickURI」と呼ばれるオープンソースツールで、ソフトウェアが一貫して正確なURLを表示するかどうかチェックするプログラムである。さまざまな状況下でURLがユーザーの目にどう見えているかを確認できるよう、開発者にデータを提供するのが狙いだ。
TrickURIとは別に、スタークらのチームは、フィッシングサイトの疑いがあるURLが表示されたときに、Chromeユーザーに警告を発するシステムの開発にも取り組んでいる。これについてはまだ社内テストの段階だ。正規のサイトには反応せず、不正サイトのみを正確に検出するヒューリスティクス（学習によって自ら問題を解決する手法）の開発に手間取っているのだ。
フィッシングその他のオンライン詐欺からグーグルユーザーを守る最初の防護壁は、いまだにグーグルの自前のプラットフォームである「セーフブラウジング」である。しかし、Chromeチームはこれを補うものとして、不審なURLを検出してフラグを立てる機能に特化したシステムの開発に取り組んでいる。
IMAGE COURTESY OF GOOGLE
スタークは言う。「わたしたちは偽サイトへの誘導を狙うURLを検出するために、ヒューリスティクスの手法を使っています。同じ文字が並んでいるように見えるURL同士や、ほんの数文字が違うだけの似たようなドメイン同士を比較しているのです。わたしたちが目指すのは、ハッカーたちに悪質な誘導URLをつくらせないようにするヒューリスティクスの開発です。そこでは、正しいドメインを容疑者扱いしてフラグを立ててしまわないようにすることが重要な課題となります。そのため、この警告システムの開発には時間をかけながら、実験的手法で取り組んでいるのです」
検出精度の向上が水面下で進む
グーグルによると、Chromeチームは検出機能の精度向上を進めているが、一般ユーザーにはまだ何の通告も行っていない。また、URLそのものが近々どうにかなるということもない。
ユーザーたちが、URLの肝心の役割のみに目を向けていられるようにするにはどうすればいいのか。そのためにChromeの機能を充実させるにどうすればいいか。やるべきことはたくさんあると、スタークは力説する。
URLの文字列の一部がセキュリティやオンラインでの意思決定にかかわる場合にはそれを表示し、余分な文字列のせいでURLが判読しづらいなら、その部分をすべて除外するというのは非常に難しい。ユーザーのトラブルを解決するために、ブラウザーがURLを短縮化したりカットしたりする必要も出てくる。
スタークは言う。「本当に難事業です。URLは使う人や事例によっては非常にうまく機能しており、現状に満足している人も多いからです。でもURLの表示状況をチェックするTrickURIのおかげでプロジェクトは順調に進んでいて、わたしたちの士気は上がっています。紛らわしいURLに注意を促す新たな方法の探求もうまくいっています。
グーグルの動きを危惧する声も
Chromeのセキュリティチームは以前にも、インターネット全体のセキュリティ問題に取り組んだことがある。Chromeでさまざまな問題を解決できるようにしたことでグーグルは大いに存在感を増し、当時は誰もがこぞってChromeを導入した。
過去5年ほどはこの戦略が当たり、HTTPSを使ったウェブ暗号化の普及に向けた動きが加速した。だが、Chromeが独占的な力をもつことによる弊害を恐れ、グーグルのやり方に批判的な立場をとる人々もいた。ポジティヴな変化を生むことに使われてきたグーグルの影響力は、行き先を誤ったり、悪用されたりする可能性も同時にはらんでいるのだ。
URLのように根本的なものが対象であるだけに、Chromeチームが他者の利益を無視し、自分たちだけに都合のいいやり方で、ウェブサイトを識別するディスプレイ方式を採用しようとしているのではないかと危惧する声も上がっている。プライヴァシー保護やセキュリティ確保に関するChromeの体制に何らかの変化が生じれば、小さな変化に見えても、ウェブコミュニティに重大な影響を及ぼす可能性がある。
責任感だけではない
さらに、リスクを回避したい法人顧客によって、グーグルに影響力が偏在している状況は変わりつつある。「現在のURLはサイトの危険度を示してくれないため、多くの場合ユーザーはリスクを素早く感知できません」とケイティ・ムソリスは言う。彼女はシステムの脆弱性に関する情報開示サーヴィス企業のルータ・セキュリティ（Luta Security）の創業者である。
「しかしChromeは、一般消費者より企業に多用されることで成長してきました。このため企業からの圧力に押されて、目に見えるインターフェイスや、セキュリティ関連の基本構造を大幅に変更することは難しいでしょう。圧倒的な支持を得るために必要なのは、一般の人たちの安全を守ろうとする偉大な責任感だけでなく、機能やユーザビリティ、旧システムとの互換性にまつわる混乱を最小限に抑えることなのです」
ずいぶん複雑で面倒な作業だと思われたかもしれない。まさしくその通りだ。次に浮かぶ疑問は、Chromeチームが繰り出す新たなアイデアが、実際にどんな成果を生み出すのか、結局のところ本当にウェブ上の安全向上に役立つのか──ということだろう。
