セキュリティ証明書の警告が機能しない、研究者が言う

すべてのWebサーファーが見ています。

「このWebサイトのセキュリティ証明書に問題があります」などのようなものがあります。あなたが大部分の人のような人ならば、あなたは漠然とした気持ちになるかもしれません。カーネギーメロン大学の研究者の新しい論文によれば、警告を無視してとにかくクリックするチャンスがあります。

研究者の実験によると、55％から100％の参加者が証明書のセキュリティ警告を無視していることがわかりました。ブラウザによっては、使用しているブラウザによって異なります（ブラウザごとに異なる言語を使用してユーザーに警告します）。あなたのWindows PC]

「誰もがこの警告に問題があることを知っていました」と、カーネギーメロンの大学院生であり論文の共同執筆者の1人であるJoshua Sunshineは語っています。 「私たちの調査によれば、問題の大きさは劇的に分かりました」。

それはすばらしいニュースではありません。多くの場合、警告はWebサイトの技術的な問題のためにポップアップしますが、Webサーファーが何らかの形で偽のWebサイトにリダイレクトされている可能性もあります。安全なWebサイトのURLは「https」で始まります。研究者は、400人以上のWebサーファーのオンラインサーベイを行い、証明書の警告について考えたことを学びました。彼らは実験室に100人を連れて行って、Webサーフィンの仕方を研究しました。彼らは多くの場合、証明書の警告が混ざっていることを知っていました。たとえば、多くの人は、信頼できるサイトを訪れたときにメッセージを無視できると思っていたが、信頼性の低いサイトでは注意が必要だったと考えられていた。

「これはメッセージの意味を後に理解するものだ。 「このメッセージは、サイトが信頼できるものではなく、訪れていると思っているサイトを訪問していることを検証しています」。銀行Webサイトにセキュリティ証明書が無効であるというメッセージが表示された場合、セキュリティ専門家は言う。これは、Webサーファーにいわゆる中間者攻撃が行われていることを意味する可能性があります。この種の攻撃では、犯罪者が情報を盗もうとしてウェブサーファーと訪問しているサイトの間に自分自身を挿入します。

セキュリティ専門家は、これらのセキュリティ警告が無効であることは長い間知られていたと、Jeremiah Grossman WebセキュリティコンサルタントWhite Hat Security。これは、ユーザーが「セキュリティ上のリスクが何を意味するのか本当に分からないからです」と彼はインスタントメッセージで語った。 Firefox 3のブラウザでは、Mozillaは簡単な言語を使い、悪い証明書を警告しました。そして、ブラウザは、証明書の不正な警告を無視するのをより困難にします。 Carnegie Mellonの研究室では、Firefox 3のユーザーは、警告が表示された後でクリックする可能性が最も低くなりました。

研究者は、自分自身で書かれたいくつかの再設計されたセキュリティ警告を実験しました。彼らはモントリオールのUsenix Security Symposiumで8月14日の調査結果を報告する予定です。

しかし、Sunshineは、より良い警告がそれほど大きな助けになると考えています。警告の代わりに、ブラウザはエラーメッセージを分析できるシステムを使用する必要があります。 「このシステムが攻撃の可能性があると判断した場合、ユーザーを完全にブロックするだけでよい」と述べた。銀行などの重要なWebサイトを訪問しても、人々は依然として警告を劇的に無視している。