アカウント名:
パスワード:
PageRankを見るためだけにWeb閲覧履歴を差し出しでいた人がどれくらいいるのかは存じ上げませんが、それと何が違うのでしょうか。平文かそうでないかの違いかな？あと、各社のブラウザに搭載されているフィッシング対策機能も閲覧履歴を送信しています。
＞各社のブラウザに搭載されているフィッシング対策機能も閲覧履歴を送信しています。
送信してないよ。
なかにはしてる特殊なやつもあるかもしれんがね。
じゃあ閲覧履歴を渡さずにどうやってフィッシング対策機能を実現しているのか説明してください。フィッシング対策機能って要するに「今から見ようとしてるこのURLは安全ですか？」と毎回問い合わせてる機能ですよ。
> アクセスするURLをハッシュ化し、リスト中の上位8桁とマッチすればGoogleのAPIに問い合わせる。
ハッシュ値が8桁となるようなハッシュ関数使ってる、ってことですよね、これ
> ハッシュ値が8桁となるようなハッシュ関数使ってる、ってことですよね、これブラウザ内部での「グレー」判定処理は実質そういうことになるけど、Google APIに「ブラック」かどうかを問い合わせるときのハッシュ値はそうではない。
でも、おそらくGoogleはこの世に存在するウェブページの過半のURLを知っているはずだから、よほど動的でない限り、ハッシュから復元できるはず。だから、やっぱり利用規約も大事だ。
>リスト中の上位8桁とマッチすればGoogleのAPIに問い合わせる。ここで Google に送られるのは、ハッシュの上位8桁のみ。この問い合わせに対して、フィッシングサイトと判断されている URL（とハッシュ全桁） リストが送り返されてくる。フィッシングサイト一覧に、アクセス先 URL が有るかどうかをクライアント側で判断する。
>この世に存在するウェブページの過半のURLを知っているは正しいけど、ハッシュの上位8桁に一致する URL は限りなく大きいので実質何も手に入らない。しかもこの API が使われるのは、フィッシングサイト群の URL ハッシュと、あなたの大切な URL のハッシュの上位８桁が一致したときだけ。
いまのところ、フィッシングサイトの存在確立は URL 全体の数よりかなり小さいので、google がこの API を使ってあなたの閲覧履歴を復元するのは不可能。
> じゃあ閲覧履歴を渡さずにどうやってフィッシング対策機能を実現しているの
馬鹿だろお前。ここはITの分かる者が集う場所だ。
スラドも情弱の集まる場所になったのか・・・
誰かおもしろおかしいつけてあげて。
URLを識別するのにURLその物を渡す必要はない。ある程度の識別性を担保できればよく、完全にユニークな情報である必要性はない。まして、クエリ文字列を渡す必要はかけらもない。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
長期的な見通しやビジョンはあえて持たないようにしてる -- Linus Torvalds
Googleと何が違うのか (スコア:0)
PageRankを見るためだけにWeb閲覧履歴を差し出しでいた人がどれくらいいるのかは存じ上げませんが、それと何が違うのでしょうか。
平文かそうでないかの違いかな？
あと、各社のブラウザに搭載されているフィッシング対策機能も閲覧履歴を送信しています。
Re: (スコア:0)
＞各社のブラウザに搭載されているフィッシング対策機能も閲覧履歴を送信しています。
送信してないよ。
なかにはしてる特殊なやつもあるかもしれんがね。
Re:Googleと何が違うのか (スコア:1)
じゃあ閲覧履歴を渡さずにどうやってフィッシング対策機能を実現しているのか説明してください。
フィッシング対策機能って要するに
「今から見ようとしてるこのURLは安全ですか？」
と毎回問い合わせてる機能ですよ。
Re:Googleと何が違うのか (スコア:5, 参考になる)
Google Safe Browsing APIを使っている場合（Firefox、Safari、Chrome）は
あらかじめフィッシングサイトの情報をダウンロードして、それと照合している。
ただ、すべてのフィッシングサイトのURLを事前に保持しておくのは効率が悪いので
URLをハッシュ化し、そのうちの上位8桁（だったと記憶してる）だけのリストを保持している。
そしてアクセスするURLをハッシュ化し、リスト中の上位8桁とマッチすればGoogleのAPIに問い合わせる。
そして全桁がマッチするようであれば、そのサイトをフィッシングサイトとしてブロックする。
上位8桁がマッチした場合でも、送られるのは生のURLではなくてハッシュ化されたURLなので
Googleは閲覧履歴を手に入れているわけではない。
（ハッシュ化された情報を元に戻すことは事実上できない）
Re:Googleと何が違うのか (スコア:2)
> アクセスするURLをハッシュ化し、リスト中の上位8桁とマッチすればGoogleのAPIに問い合わせる。
ハッシュ値が8桁となるようなハッシュ関数使ってる、ってことですよね、これ
みんつ
Re: (スコア:0)
> ハッシュ値が8桁となるようなハッシュ関数使ってる、ってことですよね、これ
ブラウザ内部での「グレー」判定処理は実質そういうことになるけど、Google APIに「ブラック」かどうかを問い合わせるときのハッシュ値はそうではない。
Re: (スコア:0)
ハッシュ関数にはAPI v2ではSHA 256を使っています。
しかし、何万、何十万とあるフィッシングサイト（とマルウェア配布サイト）のURLのハッシュ値を
256bit長ですべて取得、保持するのはネットワーク的にもディスク領域的にも無駄があります。
（しかも、この情報は刻々と更新されていて、時間が経てば価値のなくなる類のものです）
ですから、256bitのうち、先頭の32bit（16進数なら8桁）だけを切り出したリストを事前に取得することにしています。
こうすることで取得するデータは（ハッシュについては）1/8に抑えることができます。
も
Re: (スコア:0)
でも、おそらくGoogleはこの世に存在するウェブページの過半のURLを知っているはずだから、よほど動的でない限り、ハッシュから復元できるはず。だから、やっぱり利用規約も大事だ。
Re:Googleと何が違うのか (スコア:1)
>リスト中の上位8桁とマッチすればGoogleのAPIに問い合わせる。
ここで Google に送られるのは、ハッシュの上位8桁のみ。
この問い合わせに対して、フィッシングサイトと判断されている URL（とハッシュ全桁） リストが送り返されてくる。
フィッシングサイト一覧に、アクセス先 URL が有るかどうかをクライアント側で判断する。
>この世に存在するウェブページの過半のURLを知っている
は正しいけど、ハッシュの上位8桁に一致する URL は限りなく大きいので実質何も手に入らない。
しかもこの API が使われるのは、フィッシングサイト群の URL ハッシュと、あなたの大切な URL のハッシュの上位８桁が一致したときだけ。
いまのところ、フィッシングサイトの存在確立は URL 全体の数よりかなり小さいので、google がこの API を使ってあなたの閲覧履歴を復元するのは
不可能。
Re:Googleと何が違うのか (スコア:1)
> じゃあ閲覧履歴を渡さずにどうやってフィッシング対策機能を実現しているの
馬鹿だろお前。ここはITの分かる者が集う場所だ。
Re: (スコア:0)
スラドも情弱の集まる場所になったのか・・・
Re: (スコア:0)
誰かおもしろおかしいつけてあげて。
Re: (スコア:0)
URLを識別するのにURLその物を渡す必要はない。
ある程度の識別性を担保できればよく、完全にユニークな情報である必要性はない。
まして、クエリ文字列を渡す必要はかけらもない。