Google Chromeが「混合コンテンツ」をブロックへ――ブラウジングセキュリティ強化の全貌を徹底解説

Googleはユーザーのセキュリティとプライバシー保護に向けて、厳格な対策を進めています。最近では、YouTubeやMaps、Googleアシスタントの音声コマンドに関する検索を保護する新しいプライバシー機能が発表されたばかりです。そして今度は、Chromeのブラウジングセッションにおける「混合コンテンツ（Mixed Content）」のブロックによって、ユーザー保護を一段と強化しようとしています。Googleでは、検索結果の上位に表示されるサイトにはSSL証明書が導入され、サーバーがHTTPSという安全な通信プロトコルで動作していることを保証しています。

しかし、サイバー犯罪の増加や過去に発生したセキュリティ侵害を受け、ハッキング攻撃、パスワード漏洩、なりすまし被害をさらに防ぐため、Googleは取り組みを拡大しつつあります。これまでもChromeでは「混合コンテンツ」の一部をブロックしてきましたが、今後はあらゆる種類の安全でないコンテンツをブロックする計画です。

混合コンテンツとは何か？ 安全なブラウザセッションでの検索にどのような影響を与えるのか？ そしてGoogleはそれをどのようにブロックするのでしょうか？ 詳しく見ていきましょう。

混合コンテンツとは？

Chrome上で配信されるコンテンツには、大きく分けて2つの形式があります。1つはHTTPSによる暗号化で保護された「安全なコンテンツ」、もう1つは暗号化されていないHTTP接続経由で配信されるコンテンツです。HTTPSの「S」は「Secure（安全）」を意味し、ネットワーク接続と対象サイトのサーバー間の通信が暗号化されていることを示します。ログイン情報を含むやり取りされるすべてのデータが暗号化されるため、ハッカーが盗み見たり侵入したりすることが難しくなります。

一方、HTTP接続では暗号化が一切保証されません。つまり、そのようなサイト上ではログイン認証情報やインターネット上の活動が保護されない可能性があります。このためGoogleは以前から、Chromeで安全でないウェブサイトを開いた場合に警告を表示しています。該当するサイトでは「https://」の表示が隠れ、アドレスバーに「保護されていません（Not Secure）」という警告が表示されます。

ところが、一部のウェブページでは、HTTPS接続でコンテンツを配信しながらも、画像・スクリプト・広告をHTTP接続のソースから読み込んでいるケースがあります。このように安全な接続を通じて安全でないコンテンツを配信するページは、「混合（Mixed）」コンテンツを含む状態であると言われます。混合コンテンツは完全には保護されていないため、ウェブページ自体が改ざんできなくても、悪意ある活動につながる恐れがあります。

混合コンテンツはブラウザのセキュリティにどう影響する？

前述の通り、混合コンテンツはウェブページ自体のセキュリティには直接影響しません。つまり、そのChromeセッション上に安全でない画像・スクリプト・動画・広告が存在しても、ウェブページのサーバーとの接続自体は安全なまま維持されます。ただし、こうした安全でないスクリプトや画像は、公衆Wi-Fiなどの公共ネットワークでインターネットを利用している場合により大きな脅威となります。ハッカーがセッションに侵入し、さまざまな悪事を働くことで、ブラウザのセキュリティが深刻なレベルで損なわれる可能性があるからです。

例えば、HTTP接続経由で画像を読み込むウェブページを訪れたとします。まず、その画像は接続の確立時に改ざんされる可能性があり、画像にマルウェアが仕込まれている危険性が高まります。さらに、その接続を通じてハッカーがブラウザのセキュリティを突破し、あなたの活動を盗み見ることも可能になります。これにより、どのようなデータを検索しているか、どのサイトにログインしたか、どんな情報を見ているかが追跡されてしまいます。結果としてプライバシーが侵害され、接続中のマルウェア注入やデータ窃取のリスクが高まるのです。

安全なウェブページになぜ混合コンテンツが存在するのか？

混合コンテンツは、ウェブが進化し続ける中で生じる構造的な問題です。初期のサイトやウェブページはHTTPプロトコルを使用しており、SSL証明書やHTTPSセキュリティは後から登場しました。主要なドメインの多くは信頼性向上のためにSSL証明書を導入していますが、依然としてサーバーに証明書を設置していないソースも残っています。

また、SSL証明書を取得した後でも、サイトがすべてのリソースにHTTPSを使用するとは限りません。加えて、サイトが追加の画像やスクリプトを読み込むサードパーティのリソースが、HTTPS接続を備えているとは保証できないのです。

こうした背景から、GoogleはChromeでの混合コンテンツのブロックを推進しています。すべての混合コンテンツをブロックすることで、より安全なブラウジング接続を実現できるとGoogleは述べています。同社によれば、Google検索に表示されるウェブページの90%はすでにHTTPS接続を採用しています。今回のChromeの新アップデートは、他のブラウザにも混合コンテンツを抑制する動きを促すとともに、ウェブサイト運営者に対して安全でないリソースからの画像やスクリプトの利用をやめるよう促す効果が期待できます。

GoogleはChromeで混合コンテンツをどうブロックするのか？

Googleの公式ブログによると、混合コンテンツをブロックする新機能は3つの段階で展開される予定です。12月から開始し、今後リリースされる3つのバージョンのChromeに順次実装されます：

• Chrome 79：

第一段階では、混合スクリプトおよびiframeをChromeセッション上でブロックします。混合スクリプトについてはすでにブロック済みです。Googleがこのようなコンテンツをブロックすると、「保護されていないコンテンツはブロックされました（Insecure Content Blocked）」というメッセージが表示され（下図参照）、URLアドレスバーに盾のアイコンが表示されます。

Chrome 79では、このようなコンテンツがデフォルトでブロックされます。混合コンテンツのブロックを解除したい場合は、「サイトの設定」から操作する必要があります。手順は以下の2ステップです：

ステップ1： アドレスバーの左端にある「鍵」アイコンをクリックします。

ステップ2： 「サイトの設定」を開き、権限を切り替えて、セッション上でブロックされた混合コンテンツを許可します。

• Chrome 80：

Chrome 80では、音声や動画形式で読み込まれる混合コンテンツがブロックされます。これらのリソースはHTTPS接続経由で配信される必要があり、https://で読み込めない場合、Chromeはデフォルトでブロックします。ユーザーは下図のように鍵アイコンをクリックすることで、ブロックされた混合コンテンツの解除を選択できます。

Googleによると、Chrome 80の時点では画像形式の混合コンテンツはまだブロックされません。ただし、ウェブページが混合画像を読み込んでいる場合、そのページには「保護されていません（Not Secure）」のラベルが付けられます（下図参照）。

• Chrome 81：

2020年2月にリリースされる最終バージョンでは、混合画像もついにブロックされ、ウェブサイトとブラウザセッションの完全なセキュリティが確保されます。

Googleは、Chromeセッション上のすべての混合コンテンツをブロックするという目標を達成する前に、その効果を段階的にテストしようとしているようです。だからこそ、この機能は3段階に分けてChromeの設定に実装されます。Googleの公式ブログでは、開発者に対し、新しいルールに対応できるようウェブページを整理し、サイト上のコンテンツを修正するよう呼び掛けています。

広告による混合コンテンツ

画像やスクリプトは混合コンテンツの一般的な形態ですが、ウェブページは安全でないリソースから広告を読み込むこともあります。これらの広告も混合コンテンツに該当します。広告ベースの安全でないコンテンツをChromeセッションでブロックしたい場合は、専用の拡張機能を追加するとよいでしょう。

StopAll Adsは、ブラウジングセッション中の広告やポップアップをブロックできる優れたChrome拡張機能です。多くのブログやウェブサイトは、Google AdSenseを通じて広告を掲載し、アフィリエイト収益を得ています。この戦略はGoogleが長年採用してきたものであり、同社の主な収入源となっています。だからこそ、Googleが混合コンテンツの一環としてウェブページ上の広告をブロックすることは決してありません。自社のビジネスモデルが崩壊してしまうからです。

そのため、感染した可能性のある広告から身を守るには、外部ツールのサポートが必要です。StopAll AdsはChrome上で広告ブロッカーとして機能し、ウェブページのあらゆる場所に表示される広告をブロックします。Chrome上で広告を掲載している通常のウェブサイトは次のように表示されます：

StopAll Adsを有効にすると、拡張機能がすべての広告をブロックし、広告のない快適な閲覧環境を提供します：

StopAll Ads拡張機能は、他のChrome拡張機能と同様に、アドレスバーの横にアイコンが表示されます。StopAll Adsによる広告ブロックとGoogleの新しい混合コンテンツブロック機能を併用すれば、セッションからあらゆる種類の安全でないコンテンツを排除できます。

混合コンテンツをブロックするGoogleの試みは、数々の批判を受けてきた同社がユーザープライバシーに本気で向き合っていることを示しています。しかし一方で、混合広告のブロックに対する消極的な姿勢には、ビジネスモデルが最優先であることが透けて見えます。Googleがユーザーのセキュリティとプライバシーに沿ってビジネス手法を見直すには、まだ時間がかかりそうです。それでも、この機能は世界中のChromeユーザーにとって役立つものになるでしょう。ただし、混合コンテンツから完全に身を守るためには、Chrome上で広告もブロックし、不安を感じることなくウェブページを閲覧することをおすすめします。

Googleの混合コンテンツブロックに関する新しい取り組みについて、ぜひご意見をお聞かせください。この機能があなたのブラウジングにどのような影響を与えると思うか、この機能があればどの程度安心できるか、ぜひ教えてください。

最新のテクノロジー情報をお届けするSystweakのニュースレターをご購読いただき、TwitterやFacebookでもフォローして、最新アップデートを見逃さないようにしてください。