「すべてのWeb閲覧を平文で送信するTポイントツールバーの危険性」記事へのコメント

Googleと何が違うのか

[Anonymous Coward]

PageRankを見るためだけにWeb閲覧履歴を差し出しでいた人がどれくらいいるのかは存じ上げませんが、それと何が違うのでしょうか。
平文かそうでないかの違いかな？
あと、各社のブラウザに搭載されているフィッシング対策機能も閲覧履歴を送信しています。

Re:

[Anonymous Coward]

＞各社のブラウザに搭載されているフィッシング対策機能も閲覧履歴を送信しています。

送信してないよ。

なかにはしてる特殊なやつもあるかもしれんがね。

Re:

[Anonymous Coward]

じゃあ閲覧履歴を渡さずにどうやってフィッシング対策機能を実現しているのか説明してください。
フィッシング対策機能って要するに
「今から見ようとしてるこのURLは安全ですか？」
と毎回問い合わせてる機能ですよ。

Re:

[Anonymous Coward]

#2210165 を補足しておくと
Google Safe Browsing APIを使っている場合（Firefox、Safari、Chrome）は
あらかじめフィッシングサイトの情報をダウンロードして、それと照合している。

ただ、すべてのフィッシングサイトのURLを事前に保持しておくのは効率が悪いので
URLをハッシュ化し、そのうちの上位8桁（だったと記憶してる）だけのリストを保持している。
そしてアクセスするURLをハッシュ化し、リスト中の上位8桁とマッチすればGoogleのAPIに問い合わせる。
そして全桁がマッチするようであれば、そのサイトをフィッシングサイトとしてブロックする。

上位8桁がマッチした場合でも、送られるのは生のURLではなくてハッシュ化されたURLなので
Googleは閲覧履歴を手に入れているわけではない。
（ハッシュ化された情報を元に戻すことは事実上できない）

Re:

[minz (3213)]

> アクセスするURLをハッシュ化し、リスト中の上位8桁とマッチすればGoogleのAPIに問い合わせる。

ハッシュ値が8桁となるようなハッシュ関数使ってる、ってことですよね、これ

--
みんつ

Re:Googleと何が違うのか

[Anonymous Coward]

えー、違います。
ハッシュ関数にはAPI v2ではSHA 256を使っています。

しかし、何万、何十万とあるフィッシングサイト（とマルウェア配布サイト）のURLのハッシュ値を
256bit長ですべて取得、保持するのはネットワーク的にもディスク領域的にも無駄があります。
（しかも、この情報は刻々と更新されていて、時間が経てば価値のなくなる類のものです）

ですから、256bitのうち、先頭の32bit（16進数なら8桁）だけを切り出したリストを事前に取得することにしています。
こうすることで取得するデータは（ハッシュについては）1/8に抑えることができます。

もしも、ハッシュ先頭の32bitがマッチした場合は、Googleにその先頭の32bitだけを送ります。
（生のURLを送るわけでも、256bitすべてを送るわけでもありません）
そうすると、先頭の32bitが同じ256bitのハッシュがすべて送られてきます。
そして今度はその256bitのハッシュリストを比較して、すべてマッチするハッシュ値が存在すれば
そのサイトはフィッシングサイト or マルウェア配布サイトだ！ということが分かります。