私たちは、常にセキュリティとユーザビリティのバランスを取ることを最優先し、絶えず進化する脅威の状況を把握しながら、使いやすいプロダクトを構築するよう努めています。これを実現するために、Chrome と Google セーフ ブラウジングの連携方法にいくつかの変更を加え、スムーズで中断のないウェブ ブラウジングを最適化しつつ、オンラインの安全性を確保できるようにしました。
非同期チェック
現在のセーフ ブラウジング チェックは、Chrome のページ読み込みのブロッキング パスで行われています。つまり、ユーザーは、チェックが完了するまでページを見ることができません。これは、セーフ ブラウジング API v4 で行われるようなローカル ファーストのチェックでは問題ありませんが、セーフ ブラウジング サーバーで直接行われるチェックでは、遅延が発生する可能性があります。そこで、Chrome 122 より非同期メカニズムの導入を開始します。これにより、セーフ ブラウジング サーバーでリアルタイム チェックが進行中でも、サイトを読み込めるようになるので、ページ読み込み時間が短縮され、ユーザー エクスペリエンスが向上することが期待されます。リアルタイムのサーバー側チェックでページ読み込みがブロックされることはなくなりますが、ページ読み込み後にサイトが危険であることが判明すると、警告が表示されます。
この変更によって向上するのは、パフォーマンスだけではありません。時間の経過とともに保護の質も向上します。リモート検索がページ読み込みのブロッキング パスの外側で行われるようになったため、AI や ML ベースの新たなアルゴリズムを実験して展開することで、より多くのフィッシング攻撃やソーシャル エンジニアリング攻撃を検出してブロックできるようになります。これまでは、ページ読み込みが遅くなる可能性があったので、このような実験は困難でした。
潜在的なリスクに関しては、次の点を評価し、十分な緩和策が講じられていると判断しました。
フィッシング攻撃とソーシャル エンジニアリング攻撃 : 非同期チェックに移行すると、サーバー側のセーフ ブラウジング チェックが進行中に、そのようなサイトの読み込みが開始される可能性があります。タイミングに関するデータを精査した結果、警告が表示される前にユーザーがそのようなサイトと重要なやり取りを行う（パスワード入力など）可能性は、極めて低いものと判断しました。
ブラウザに対するエクスプロイト : Chrome では、ブラウザのエクスプロイトを提供していることがわかっている一部のサイトを、ローカルのセーフ ブラウジング リストとして保持しており、これを同期的に確認する処理は今後も継続されます。また、オンラインの保護を維持するために、アップデートが利用可能になったらすぐに Chrome をアップデートすることを常にお勧めしています。
サブリソースのチェック
私たちが閲覧するほとんどのサイトには、さまざまなサブリソースが含まれており、それを使ってコンテンツがレンダリングされています。こういったサブリソースには、画像やスクリプトなどがあります。これまで、Chrome では、セーフ ブラウジングでトップレベルの URL とサブリソースの両方を確認し、害を及ぼす可能性があるサイトについて警告してきました。サブリソースの大部分は安全ですが、かつては、悪意のあるアクターによってサイトが不正使用され、大規模にマルウェアを配布したり、ブラウザを悪用したりするサブリソースが埋め込まれることもよくありました。
近年、攻撃者のそのような傾向は減少しています。サブリソースを悪用する大規模攻撃はもはや一般的ではなく、サブリソースのチェックはそれほど重要でなくなっています。さらに、インテリジェンス収集、脅威検出、セーフ ブラウジング API の進化により、サブリソース チェックを行わずに、他の方法でユーザーをリアルタイム保護することもできるようになっています。たとえば、Chrome のクライアント側ビジュアル ML モデルは、サブリソースの有無に関係なく、フィッシング ページの作成に使われる画像を特定できます。
以上を踏まえて、今後、Chrome はセーフ ブラウジングでサブリソースの URL を確認しなくなります。これにより、Chrome クライアントが Google に接続する頻度が減るので、ユーザーにとって不要なネットワーク帯域幅のコストが削減されます。セーフ ブラウジング側では、この変更によって検出ロジックと API を大幅に簡素化できるため、インフラストラクチャの信頼性と警告精度が向上し、全体的なリスクが軽減されます。
PDF ダウンロード チェック
最後に、Chrome が PDF ダウンロードを確認するためにセーフ ブラウジングにアクセスする頻度を大幅に減らしました。
かつて、PDF は人気が高く、広く使われていたファイル形式でした。時間とともに PDF ビューアが継続的に強化された（Chrome の PDF ビューアのサンドボックス化など）こともあり、PDF が広く悪用されるケースはなくなり、業界から危険なファイル形式であると報告されることもなくなっています。悪意のある PDF を閲覧してしまった場合でも、そこにはユーザーを Chrome にリダイレクトするリンクが含まれているため、ユーザーを保護する機会がもう一度得られます。
この変更の結果、Chrome のセーフ ブラウジングへのアクセス回数が毎週数十億回減少しています。
今後に向けて
以上の変更は、主に内部処理の変更です。これによって Chrome ユーザーのウェブ ブラウジング エクスペリエンスは快適になるはずですが、セキュリティが低下することはありません。私たちは、今後も脅威の状況をモニタリングし、オンラインの安全性を確保するための態勢を維持していきます。
