URL バーの表示の変遷 | blog.jxck.io
Intro ついに URL バーから EV 証明書の組織表示が消されるアナウンスが、 Chrome から発表された。 思えば、 URL バーの見た目も、だいぶ変わってきたように思う。 URL バーの表示の変遷を一度まとめておく。 URL バーの再現 本当なら古いブラウザのスクショを集めたいところだったが、これは非常に難しい。ネットで色々落ちてるものをかき集めても、ライセンスや解像度や表示されている URL などを考えると、使い勝手は決して良くない。 試しに古い Chromium をビルドしてみたが、一定より古いものはうまく開くことすらできなかった。開くことができたバージョンもあったが、どうやらそれだけでは当時の URL バーの UI までは再現されないようだ。 そこで、実物のスクショはあきらめ「一般的な URL バーのイメージ」を書いた図で、おおまかな変遷を辿る。あくまで架空の図であること
Cross Origin iframe からの alert/confirm/prompt 呼び出しの無効化 | blog.jxck.io
しかし、実際に M92 がリリースされてからは、この機能が壊れたことによる影響が多数報告されていたため、実装者が想定していた以上に影響はあったといえるだろう。 他のブラウザの反応 実際にロールアウトしたのが Chrome/Edge であったため、いつものように「また Google が勝手にやっている」と思う人もいるようだが、実際には他のブラウザも Positive を表明している。 Firefox: https://github.com/whatwg/html/issues/5407#issuecomment-606417807 Safari: https://github.com/whatwg/html/issues/5407#issuecomment-760574422 また、この合意が取れているため、既に仕様にもマージされている。 Add early return to JS dia
Safariは危険なJavaScriptに対応しない - Qiita
Firefox / Safari 先日Appleが、Safariは幾つかのWebAPIに対応しないと公言しました。 日本語記事も幾つか出ています。 しかし、どのサイトも対応しないAPIの一覧を並べてはいるのですが、それぞれのAPIが具体的にどのようなものなのかを記載した記事が見当たらなかったので、以下はそれらについて調べてみたものです。 対応しない理由 a threat to user privacy、すなわち、あくまでブラウザフィンガープリントなどの手段によって個人を特定・追跡できてしまうからという理由です。 セキュリティ的にも問題なAPIが並んでいるのですが、そちらは理由ではありません。 対応しないWeb API Web Bluetooth caniuse RFC 非公式日本語訳 解説 ブラウザからBluetoothを通して接続先のデバイスにアクセスすることができます。 データ転送形式
Periodic Background Sync 及び Web を Install するということ | blog.jxck.io
Intro メールクライアントや RSS リーダーのようなユースケースを PWA で実装する場合、バックグラウンドで定期的にタスクを実行したいケースがある。 このユースケースに特化した API として提案されているのが、 Periodic Background Sync(PBS) だ。 しかし、この API を取り巻く議論は「Web にアプリのような API を持ち込む上での難しさ」を物語っている。 この API が Web において正当化できるかどうかは、 Project Fugu に代表される Application Capabilities を Web に持ち込む場合の試金石になりそうだ。 現時点での、仕様、実装、議論について解説する。 Periodic Background Sync Web で定期的なタスクを実行する場合、タブが開いていれば setInterval() などで行う
WebRTC の機能を利用した悪意あるローカル IP 取得を防ぐ
WebRTC の機能でローカル IP アドレスを含んで IP アドレスを収集するという機能がある。それを悪用することでローカル IP アドレスを知ろうとするウェブサイトがある。 最近見つけたサイトだと、えきネットがやっている。えきネットは早めにこの仕組を撤廃したほうがいい。 JavaScript を見たところ見事に IP アドレスを収集している部分でなにかしようとしている。 WebRTC を悪用するのを本当にやめてほしいのだが、どうせ悪用するサイトは減らないだろうし、その絶対的な対抗策を書いていきたい。 技術的な話は一番下にリンクを張ってあるので興味がある人は読んでもらいたい。 mDNS 機能を利用して防ぐChrome M73 から入った機能で mDNS 対応というのが WebRTC の機能として入る。これはローカル IP アドレスはすべて UUID.local と変換してしまう機能だ。
Google Takes Its First Steps Toward Killing the URL
Google wants to get rid of URLs. But first, it needs to show you why. In September, members of Google's Chrome security team put forth a radical proposal: Kill off URLs as we know them. The researchers aren't actually advocating a change to the web's underlying infrastructure. They do, though, want to rework how browsers convey what website you're looking at, so that you don't have to contend with
Improving extension transparency for users
$200K 1 10th birthday 4 abusive ads 1 abusive notifications 2 accessibility 3 ad blockers 1 ad blocking 2 advanced capabilities 1 android 2 anti abuse 1 anti-deception 1 background periodic sync 1 badging 1 benchmarks 1 beta 83 better ads standards 1 billing 1 birthday 4 blink 2 browser 2 browser interoperability 1 bundles 1 capabilities 6 capable web 1 cds 1 cds18 2 cds2018 1 chrome 35 chrome 81
Chromeの広告ブロッカー拡張機能を装ったマルウェアの存在が判明、すでに2000万回以上ダウンロード済
Googleのウェブブラウザ「Chrome」の拡張機能としてリリースされている広告ブロック機能の中に、ひっそりと不正なマルウェアが忍び込まされているケースがあることが判明しました。この事実が明らかになった広告ブロッカー「AdRemover extension for Chrome」(以下「AdRemover」)は、これまでに2000万回以上もダウンロードされています。 Over 20,000,000 of Chrome Users are Victims of Fake Ad Blockers https://blog.adguard.com/en/over-20-000-000-of-chrome-users-are-victims-of-fake-ad-blockers/ Millions of Chrome Users Have Installed Malware Posing as
パスワードに依存しない認証「WebAuthn」をChrome/Firefox/Edgeが実装開始、W3Cが標準化。Webはパスワードに依存しないより安全で便利なものへ
Google、Mozilla、マイクロソフトが「WebAuthn」の実装を開始。これによって「FIDO2」の普及が期待され、Webブラウザから指紋認証や顔認証などで簡単にWebサイトへのログインや支払いの承認といった操作が実現されそうだ。 多くのWebアプリケーションは、ユーザーの認証にユーザー名とパスワードの組み合わせを用いています。 しかしユーザー名とパスワードの組合わせを用いる方法にはさまざまな問題が指摘されています。身近なところでは、安全なパスワードを生成することの手間や、安全性を高めるためにパスワードの使い回しを避けようとした結果発生する多数のパスワードを管理することの手間などがあげられます。 そしてこうしたパスワードの不便さが結果としてパスワードの使い回しを引き起こし、いずれかのサイトで万が一パスワードが流出した場合にはそれを基にしたリスト型攻撃が有効になってしまう、などの状況
「ブラウザが覚えた全パスワードを出力する」chromeの新機能 その利便性とリスク
「ブラウザが覚えた全パスワードを出力する」chromeの新機能 その利便性とリスク：半径300メートルのIT（1/2 ページ） Google Chromeに実装されるとみられる「Webブラウザが覚えているパスワードの書き出し」機能。この機能を使って分かる“セキュリティ対策の教訓”とは。 その昔、PCを買い換えるとデータ移行があまりにも面倒で、買った喜びが悲しみに変わるようなことすらありました。それが最近では、サクッとデータが移行できるようになってうれしい限りです。昔は大抵、何らかのデータを移行し損ねて苦労していましたから……。 私の経験から振り返ると、“移行し損ねることが多い情報”の代表格は、「ブラウザが覚えているパスワード」です。これも今や、「Google ChromeはGoogleアカウント」に、「iOSを含むSafariはiCloudアカウント」にひも付いていて、クラウドで同期できる
アンインストールを困難にする機能を備えたブラウザー拡張機能 | スラド セキュリティ
Webブラウザーの拡張機能管理画面の表示を妨げ、削除されにくくするという拡張機能(マルウェア)が発見された(Malwarebytes Labsの記事、 Ars Technicaの記事)。 Google Chrome向けの拡張機能「Tiempo en colombia en vivo」は、複数のYouTube動画を勝手に開き、クリックして再生回数を水増しするというものだ。Malwarebytesによれば、この拡張機能をインストールすると拡張機能管理画面「chrome://extensions/」へのアクセスが「chrome://apps/?r=extensions」にリダイレクトされるという。 Chromeはコマンドラインスイッチ「--disable-extensions」を付けて起動することで拡張機能を無効にできるが、この状態では管理画面に拡張機能が一切表示されない。この拡張機能の.jsフ
Awesome Screenshot が閲覧したサイトのURLを収集している疑い
ブログ mig5.net のMiguel Jacqさんの記事によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページ […] ブログ mig5.net のMiguel Jacqさんの記事によると、Chromeブラウザ用のスクリーンショット・ツールとして有名な Awesome Screenshot 拡張に、ユーザーの同意無しにユーザーがどのページに訪問したかをネットのどこかに送信する機能があるようです。 Jacq さんは、自分が管理するOSSECのサーバー上の Drupal の、ログインしないとアクセスできない管理画面の複数のURLに対して、”niki-bot”という名前のbotがアクセスしてくるのをアクセスログから発見しました。 外部から知りえないURLがアクセスされるからには、メンバー
HTTP Headers という 5万人が使っている Chrome 拡張のマルウェア疑惑。セッション盗まれて BTC も盗まれそうになった話。 - clock-up-blog
疑惑どころか 99.99% くらい黒な話。 （後記：セッション盗まれたと思ってたけど、よくよく考え直してみると生パスワードごと盗まれてる可能性もあるしやばい） 追記：続報 11月3日 今回指摘した HTTP Headers 以外にも、「Tab Manager」「Give Me CRX」「Live HTTP Headers」等で同様（？）の問題が報告されています。第三者が元の作者からソフトウェア権利を買い取って悪用する、というケースが割とある模様（？）。皆さま情報ありがとうございます。 11月4日 Zaif については、「不正な Chrome 拡張」と「スクリプトから保護されていなかったクッキー」のコンボによりセッションが盗まれていた可能性あり。 Zaif のセッション情報が盗まれた原因のひとつについて。JavaScript からクッキー値を取得させない方法。 - clock-up-blog
グーグルChrome、2016年4月にXP、Vista、Mac OS X 10.6のサポートを終了
グーグルChrome、2016年4月にXP、Vista、Mac OS X 10.6のサポートを終了2015.11.11 12:19 これで本当にさよならだね。 グーグルは、公式のサポートが終了したOSのサポートを来年4月に終了すると発表しました。対象となるのはマイクロソフトのWindows XP、Vista、アップルのMac OS X 10.6〜10.8です。どれも公式からの積極的なサポートが終了したOSです。 今年の4月にマイクロソフトがXPのサポートを終了させた時、｢2015年いっぱいまではChromeのサポートをします｣というアナウンスがありましたから、予想よりも少し延長したところでしょうか。特にWindows XPは異例の長寿OSでしたが、これを機にOSを最新のものに変えた方がよさそうです。 サポートが終了したOSは、マルウェアなどへの対策も不十分。さらにサポートが終了したChro
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Google Chrome 91」でSharedArrayBufferの制限が強化 ～COEP/COOPヘッダーの明示的な指定が必要に【5月26日追記】／ユーザーからのフィードバックなどを考慮し「Google Chrome 92」まで制限強化を延期
「Google Chrome 69」にセキュリティ更新 ～物議を醸していたサブドメインの省略は無効に／深刻度“High”および“Medium”の脆弱性2件を修正
「Google Chrome 68」公開、HTTPサイトには容赦なく警告を表示する仕様に 
不正な処理を行っているGoogle Chromeの拡張機能を見つけるには？
TechCrunch
GitHub - e2email-org/e2email: E2EMail is a simple Chrome application - a Gmail client that exchanges OpenPGP mail.
