トップ > security

Firefox 2.0.0.12とプラグインのアップデート

browser firefox security plugins

既に自動的に更新された方も多いと思うが、Firefox 2.0.0.12が公開されている。修正内容の詳細についてはMozilla Japan - Firefox 2.0.0.12 リリースノートを参照のこと。

Firefox本体ではないが、QuickTimeやAdobe Readerのプラグインも先週の段階でアップデートが公開されている。まだ適用していない場合には速やかに更新を行うのがよいだろう。

「SSL2.0をわざわざ使わせようとする銀行」のその後

security browser

以前インターネットバンキングでのFirefox推奨状況を確認していた時に書いた、IE7ユーザーにいまさらSSL2.0を使わせようとする銀行の内容に関して、6月頃に高木浩光氏のブログで取り上げていただいた。

前回調査時にはIE7ユーザーに対してわざわざSSL2.0を使わせようとする銀行がいくつかあったが、今回再度確認したところ、それらについては軒並み修正されていた。また、IE7には言及していないがSSL2.0にチェックを入れるように説明していた銀行についても、いくつかの銀行は修正を行っている。

前回調査時はSSL2.0にチェックを入れるように説明していたが、修正された銀行

修正されたとはいっても、ほとんどの銀行は単にSSL2.0への言及を消しただけでチェックを外すべきなのかどうかが分からないままだが、八十二銀行の修正は「SSL2.0を使用する」のチェックが不要である事に触れており、非常に分かりやすい。


※八十二＜インターネットバンキング＞では「SSL2.0」を使用しての接続はできませんので「SSL2.0を使用する」のチェックは不要です。

まだ「SSL2.0にチェックを入れるように説明している」銀行等の一覧。

以下は残念ながらまだ修正がなされていない銀行の一覧。

関連：Web業界人向けのSSL特集記事がWeb Site Expertに出るらしい

高木浩光＠自宅の日記 - 銀行2.0はまだ来ないの内容について、水無月ばけらのえび日記で銀行に限らず一般のWeb 業界にもHTTPSの知識は必要だとする指摘がなされていたが、同じ方がWeb Site ExpertにSSL特集の記事を書かれたらしい。記事内容はWeb業界の人向けとのことなので、Web標準の日々に参加された方などはおそらく該当するかと思われる。また、Webサイト上に推奨ブラウザの項目やブラウザ設定のガイドラインを作成されるような場合には、基本的な項目として確認しておくとよいのではないだろうか。

IE7ユーザーにいまさらSSL2.0を使わせようとする銀行

browser security SSL

インターネットバンキングでのFirefox推奨状況を確認していた時に気が付いたのだが、Internet Explorer 7ユーザーに対して、SSL2.0を使うように設定変更を促している銀行が目に付いた。これらの銀行では注意書きとして『Internet Explorer7の場合は「SSL2.0を使用する」がチェックされていない場合が多いのでご注意ください。』などと書かれているので、一般ユーザーならばチェックしなければならないものと思ってしまうのではないだろうか。

Internet Explorer 7 における HTTPS セキュリティの強化点 (Windows IETechCol)にも記述があるように、SSL2.0はセキュリティの問題が理由でIE7の標準設定から外されたのだが、このような銀行の対応は問題を全く無視しているとしか思えない（それとも、問題自体を知らない？）。もうちょっとまともな対応は出来ないのだろうか？

マイクロソフトによるWeb開発者への説明はどうなっているか、アプリケーションおよび Web 開発者、IT Pro 向け Internet Explorer 7 互換性チェック リストを確認したところ、確認項目として「 SSL2.0 より上のプロトコルを利用する」と書かれていた。この記述だと2.0が利用プロトコルに含まれているようにも読めてしまう。正しくは「（SSL2.0は利用せずに）SSL2.0よりも上位のSSL3.0プロトコル等を利用する」ではないだろうか？マイクロソフトの説明がこれでは銀行側が間違えるわけだ（涙）。

数年前に高木浩光＠自宅の日記 - SSL 2.0をオンにしろと指示するサイトなどでも同様の指摘があるだけに、銀行はもうちょっと頑張ってコンテンツ内容の見直しをした方がよいのでは？と感じた。

なお、サーバ側でSSL2.0を使えなくしてしまうことの意義、SSL通信での暗号強度のチェック方法については、高木浩光＠自宅の日記 - Mozillaで弱い暗号を使わない設定と銀行サイトで利用可能な暗号が参考になる。

IE7ユーザーに対してSSL2.0を使わせようとする銀行一覧（記述はリンク先を参照）。

IE7への言及はないが、SSL2.0にチェックを入れるように説明している銀行等の一覧。

（SSL3.0が必要になった頃の説明と思われる）

SSL2.0の利用を制限（SSL3.0へ移行）していることを明示している銀行一覧

推奨環境にFirefoxを明記する銀行が急激に増えている理由

browser security firefox

昨年「個人向けインターネットバンキングの推奨環境にFirefoxを記載する銀行は二行」とスラッシュドット・ジャパンに書き込んだが、一年近く経ったので今現在どの程度の数の銀行が推奨ブラウザとしてFirefoxを明記しているか改めて調べてみた。調査の対象は全銀協の名簿(全銀協の概要｜全国銀行協会：全銀協の会員一覧)に記載の銀行のうち、正会員（128会員）と準会員（55会員）。準会員のうち半数以上は外国の銀行である為、実際には正会員＋10行程度が調査の対象となる。

結果、Firefox対応を明記している銀行数は2007年4月21日現在で16行である*1。

調べてみて分かったのは、推奨環境にFirefoxを明記する銀行が急に増えているという事、そのほとんどが地方銀行である事、である。

ここで疑問。なぜ地方銀行ばかりなのだろうか？

答えは簡単。「システムを開発運用している会社が同じだから」である。

今回Firefox推奨の記述を確認した銀行のうち、ほとんどがインターネットバンキングのログオン画面でib-center.gr.jp、またはfinemax.netというドメインのページを利用している。これは特定のベンダーが開発したシステムであるという事を示している。高木浩光氏の過去記事によると、このURLは日立インターネットバンキングシステム（FINEMAX center）によるシステムであるとのこと。

なお、地方銀行が利用するシステムベンダーのサービスにはFINEMAXのほかにも、anser.or.jp(NTTデータ 金融ANSERシステムサービス)や、cyber-biz.ne.jp(日本IBM 地銀サイバープロジェクト(地銀ITソリューション))等がある。ちなみに、信用金庫などもシステムベンダーのサービスを利用することが多いようだ。

このように、地方銀行のインターネットバンキングではシステムをベンダーに丸投げしていることが多いため、おそらくベンダー側が対応させたブラウザ名を記載しているのだと思われる。というよりシステムを丸投げしている銀行ではそれしかできない。現時点では推奨環境にFirefoxを明記したのは単一のシステムベンダーだけという事なのだが、それでも対応を明記する銀行が一度にこれだけ増えるとインパクトがある。

では、なぜこれらの地方銀行（またはベンダー）はFirefoxに対応させる事にしたのか？あくまで推測だが、今まで無視する程度の存在であったFirefoxが、ユーザー数が増えて無視する事が難しくなってきたというのが一番の理由かもしれない。そして、IEとNetscapeだけを明記しておく事のデメリット*2を理解するようになった、ということも理由だと思われる。メンテナンスもされずセキュリティ面で問題を放置したままのNetscapeを推奨する事は、一般ユーザーに対する背信行為とすらいえる。だからといって、IEのみ対応とすることはリスクヘッジの観点から避けたい。

おそらく他の銀行も（ベンダーも）この辺りの事は理解しているのではないだろうか？

あとは「IE7の登場に伴う混乱（未対応等）をフォローする為の代替手段*3」という側面もあるものと思われる。代替手段が存在すれば、システムがIE7に対応するまではFirefoxを利用してもらう、という事が可能になるからだ。実際に、IE7の代替手段としてFirefoxを紹介している金融機関もいくつか存在している。これはこれでIEユーザーにとってもメリットとなるし、Firefoxユーザーにとってもメリットとなる。

ただ、残念なのはMac版のFirefoxを推奨環境に明記しているところが少ない事。おそらくユーザー数が少ない、Windows版との差異などがネックになっているのだろう。MacOSXでFirefox対応を明記しないということは引き続きNetscapeを使わせ続けることになるが、Netscape利用によるリスクを考えるとMacOSX版も推奨ブラウザとして明記してほしいのはいうまでもない。

いずれにせよ、インターネットバンキングにおけるFirefox対応を明記する銀行が増えてきたわけで、上記のような流れやメリットを考慮するとこれからも対応を明記する銀行は増加するものと思われる。これだけの数の銀行が明記をしたともなれば、大手都市銀行や他の地方銀行、ネット専業の銀行等もFirefoxを推奨環境に明記しないわけにはいかなくなるだろう。Mozilla Japanからの働きかけ*4も含め、今後の動きに期待したい。

Firefox推奨を明記している銀行一覧

前述のように、Firefox推奨を明記している銀行は2007年4月21日現在で16行である。
（○はfinemax.net、◆はib-center.gr.jp）

シティバンク - ご利用環境・ブラウザ設定

おまけ：Firefox対応を検証中

2007年12月28日追記：全銀協の会員一覧ページのURL変更に伴い、リンク切れを修正。

*1:推奨を明記していないだけで、問題なく動作する銀行は多数あり。詳細はMozilla Firefox でのインターネットバンキング対応状況を参照のこと（対応明記の銀行については後述）。

*2:デメリットの詳細は「 Firefox ×？＝！」を考えてみる、ブログ。 - NetscapeユーザーがWebブラウザを乗り換えた方がよい10の理由や推奨ブラウザを参照のこと

*3:代替手段については「 Firefox ×？＝！」を考えてみる、ブログ。 - セカンドブラウザが必要な理由。も参照のこと。

*4:Mozilla Japan ナレッジベース - 取引銀行のオンラインバンキングが利用できない

目的は違うが中身は似ているのか？

browser firefox security

以下の二つのニュースを読んで思ったこと。「もしかして仕組み似ているのか？」

似てるんなら前者を後者の目的に転用する事も可能なわけで。実際どうなんだろうか？

共有データはどこにあるべきか？

browser security P2P

サイボウズ・ラボが公開しているFirefox向けの拡張機能「Japanize」に、スパイウェアでは？という批判が上がっている。

Japanizeに限らず、Google ToolbarのセーフブラウジングやMcAfee SiteAdvisorなどでも、サーバにデータを送信するという点では同じ問題を抱えている。共有に必要なデータ量が大きくなれば、ローカルに全データを保存させる手法はとれなくなるため、アクセス先のデータをサーバに送信しなければならなくなるからだ。

この手の問題は、「サーバを介してデータを共有」する際にデータをサーバ側に送信する必要があるから問題視されるわけで、「サーバを介さずデータを共有」できればデータをサーバ側に送信する必要はないのでは？という気もしている。

その視点で考えた時「共有するデータはサーバ上に無ければならないのだろうか？サーバでなくても、ネットワーク上にあれば十分機能するのでは？」という疑問も成り立つ。

そう、P2Pネットワーク上に共有データをおき、それにアクセスして確認するようにしてしまえばサーバにアクセスする必要はかなり減らせる(完全には無くせないかもしれない)。

データ自体の整合性・正当性などを確保したいのであれば、BitTorrentのようにデータの出元がわかるタイプのP2Pを使えばいいのではないだろうか。

「P2Pネットワーク上にデータを置いて、それを皆で共有する」というのは著作権無視のデータのためにあるわけでなく、こういうものに適用できるのではないか？と思ったりもするのだが、どうだろうか？

セカンドブラウザが必要な理由。

browser rescue security

「インターネットが普通に使えれば何も問題無いから、他のソフトは入れるつもりがない」という人をたまに見かける。確かにOSに付属しているブラウザ（Internet Explorer？）が使えている間は問題ないだろう。つかえている間は。

だが、IEが使えなくなったとき、他のブラウザが手元に無かったら、どうするのだろうか？それも、他人に頼らず自力で情報を探して解決しなければならないような状況だとしたら？

そう、OS付属のブラウザ以外に、もうひとつ別にWebブラウザを入れておけばいいのだ。

OSに標準付属するブラウザとは違う仕組みを使っているがゆえに、標準のブラウザがトラブルを起こした時にも、セカンドブラウザを利用することで情報収集ができたり、復旧に必要なツールを入手する事が可能になる。

この時重要なのは「OSに標準付属するブラウザとは違う仕組みを使っている」ということを忘れないことだろう。仮に別のブラウザをセカンドブラウザとして導入したとしても、セカンドブラウザがOSに標準付属するブラウザと同じ仕組みを利用しているのであれば、標準付属するブラウザの不具合に引きずられる可能性は否定できないからだ。

例えばWindowsOSなら、IEコンポーネントを利用するブラウザはIEの不具合に引きずられる場合がある。このような理由から、IEコンポーネントを利用するLunascapeやSleipnirなどは、非常時に使うセカンドブラウザとしては不適切ということになる。

だからこそ、Internet Explorerを常用している人は、セカンドブラウザとしてFirefoxやOperaを導入しておくべきなのだ。OperaやFirefoxのようにIEコンポーネントを利用しないブラウザを予備のブラウザとしてインストールしておけば、いざというときの代替手段として非常に役立つ。

そして、代替手段は初心者にこそ必要である。標準ブラウザのトラブル時に自分の知識で解決することが困難な初心者であっても、セカンドブラウザが使るのなら情報を探す事も可能になる。いざという時になってから慌てないためにも、セカンドブラウザを前もって導入することはとても大切なことではないだろうか。

まだセカンドブラウザを用意していないのなら、今こそ手に入れるべきなのだ。