「Chrome」と「Firefox」のアドレスバーでEV証明書の情報表示を変更へ

　「Google Chrome」と「Mozilla Firefox」の開発者は、Extended Validation証明書（EV証明書）に関する方針を変更し、現在アドレスバーに表示されているHTTPSサイトの企業名表示を削除すると発表した。

　9月にリリースされる予定の「Chrome 77」では、EV証明書（Extended Validation証明書）を使用しているサイトに対してサイト所有者の名前を表示する欄が、アドレスバーから削除される。

　10月にリリース予定のデスクトップ版「Firefox 70」でも同様の措置が取られる予定であり、その目的は同じだという。

　MozillaとGoogleはどちらも、今後は「錠前アイコン」をクリックした際に表示される証明書情報にEV証明書の情報を含める方針だ。Mozillaは、今回の変更は「EV証明書に関する情報の露出を減らしながら、その情報には簡単にアクセスできる状態を維持するためのもの」だと述べている。

　EV証明書が使われて始めてから10年以上になる。ウェブの利用者の多くがモバイルではないデバイスを使っていた導入当初は、EV証明書によってオンラインショッピングに対する信頼を高められると言われていた。

　証明書発行機関は、厳格な認証プロセスにも応じる銀行やEコマースサイトなどのHTTPSサイトの所有者に、高い料金でEV証明書を発行することができた。

　またそれらのサイトは、アドレスバーに設けられた緑色のブロックにアドレスを表示できるようになり、のちには企業名も表示させられるようになった。ユーザーがサイトを運営している主体を確認しやすくすることで、フィッシング詐欺などを難しくするなどの狙いがあった。

　しかし、セキュリティ研究者のTroy Hunt氏は2018年に、現在規模の大きいサイトのトップ10はEV証明書を使用しておらず（これにはGoogle、YouTube、Twitter、Facebookが含まれる）、多くのユーザーには証明書の情報を表示するインジケーターを見る習慣がないと指摘した。

　Googleは、Chrome 77でEV証明書インジケーターに対して新しいアプローチを取った理由は、ChromeのセキュリティUXチームが「EVのUIは意図したようにはユーザーを保護できていないと判断した」ためだと説明している。

　「ユーザーはEVのUIが変更されたり削除された場合でも安全な選択（例えばパスワードやクレジットカード情報を入力しないなど）をしないと見られ、これではEVのUIは十分な保護を提供できない」というのが同社の主張だ。

　それに加え、EV証明書表示欄は、ChromeがHTTPSサイトを示すのに使用している錠前アイコンと同じ「肯定的な意味を伝えるインジケーター」の一種だ。

　Chromeでは将来的にHTTPSサイトに対する錠前アイコンも削除される予定になっており、すでにすべてのHTTPサイトに「安全ではない」ことを示す警告を赤色で表示している。

　Googleはさらに、「EVバッジは画面上の貴重な空間を専有している上に、むしろ目立つUIで紛らわしい名前を表示してしまう可能性もあり、安全な接続に対しては肯定的な表示ではなく中立的な表示を行うという、Chromeの製品としての方針とも矛盾する」と述べている。

　もう1つの問題は、現在ではスマートフォンからウェブを利用することが多くなっているが、モバイル用のウェブブラウザには通常、EV証明書のインジケーターは存在しないか、あっても目立たないことだ。

　Appleは2018年にすでに、「iOS 12」と「macOS 10.14」の「Safari」からEV証明書の企業名表示を削除している。