web-dev-qa-db-ja.com

https://google.comとhttps://encrypted.google.comの違いは何ですか？

暗号化されたGoogle検索（ https://encrypted.google.com ）と通常のHTTPS Google検索（ https://google.com ）に違いはありますか=）？

セキュリティの観点から、暗号化されたGoogle検索をブラウジングするメリットは何ですか？

これは[〜＃〜] http [〜＃〜]と[〜＃〜] https [〜＃〜]。これらは2つのGoogleサービスです。

encryptiontlsweb-applicationprivacyhttp
234
BlueBerry - Vignesh4303

Googleによると 、広告をクリックしたときの違いは リファラー情報 の扱いです。

AviDからのメモの後に Xanderの助け を使用して、いくつかのテストを行いました。結果は次のとおりです。

1。広告をクリック：

  • https://google.com：GoogleがHTTP リダイレクトページ に移動し、参照クエリ情報に検索クエリを追加します。

  • https://encrypted.google.com：広告主がHTTPを使用している場合、Googleは広告主にクエリについて通知しません。広告主がHTTPSを使用している場合、通常はリファラー情報（検索クエリを含む）を受け取ります。

2。通常の検索結果をクリックすると：

  • https://google.com：WebサイトがHTTPを使用している場合、GoogleはHTTP リダイレクトページ に移動し、参照クエリに検索クエリを追加しません。彼らはあなたがグーグルから来ていることをウェブサイトに伝えるだけです。 HTTPSを使用している場合、通常はリファラー情報を受信します。

  • https://encrypted.google.com：結果でクリックしたWebサイトがHTTPを使用している場合、どこから来ているのか、または検索クエリが何であるかはわかりません。 HTTPSを使用している場合、通常はリファラー情報を受信します。

同じトピックが EFFブログ投稿 で取り上げられました。

[〜＃〜] edit [〜＃〜]：2018年4月30日をもって、Googleはencrypted.google.comを削除しました。 Googleによると 、このドメインは、インターネットを安全に検索する方法をユーザーに提供するために使用されました。現在、すべてのGoogle製品とChromeなどの最新のブラウザは、自動的にHTTPS接続を使用しています。

204
Adi

執筆時点（2013年7月）では、2つのサイトの鍵交換アルゴリズムの設定は異なります。 Chromeで検査するには、南京錠のアイコンをクリックし、[接続]タブを選択します。

Chrome 28に対して、Vanilla google.comはECDHE_RSAを使用し、encrypted.google.comはECDHE_ECDSAを使用します。どちらのアルゴリズムも機密性を提供します。 https://www.imperialviolet.org/2011/ 11/22/forwardsecret.html

詳細については、SSL Labsサーバーテストを使用して構成を比較してください。

  1. https://www.ssllabs.com/ssltest/analyze.html?d=encrypted.google.com
  2. https://www.ssllabs.com/ssltest/analyze.html?d=google.com
  3. https://www.ssllabs.com/ssltest/analyze.html?d=www.google.com
42
Colonel Panic

本日（2018年3月）、encrypted.google.comは 非推奨 であり、2018年4月30日以降、encrypted.google.comはwww.google.comにリダイレクトされます。

インフラストラクチャーの観点（サーバー、証明書、TLSパラメーター）の観点からは、これ以上大きな違いはありません。リクエストは同じサーバーで処理されますが（この回答の最後を参照）、2つのドメインにはまだいくつかの違いがあります。

  • ローカライズされたドメインのリダイレクト
    encrypted.google.comは他のドメインにリダイレクトしませんが、google.comは国固有のドメイン（ ccTLD ）にリダイレクトしようとします。
    このリダイレクトを回避するために、 https://google.com/ncr がしばしば提案されます。ただし、これはCookieが有効になっている場合にのみ機能します。 Cookieを必要とせずにリダイレクトが行われないようにするには、URLにgws_rd=crパラメータを追加します。

    （以下の点については、www.google.comとccTLDを区別しなくなります）

  • Google検索のブランディング
    google.comとは異なり、encrypted.google.comのUIには他のGoogle製品/アプリへのリンクは表示されません。例えば。 google.com（archived） のヘッダーを encrypted.google.com（archived） と比較します。これは、おそらく encrypted.google.comは暗号化された検索のために特別に導入された です（最近では、httpsサポートは確立されたデフォルトです。当時、httpsはオプション機能として導入されていました）。

  • リファラーリークとユーザートラッキング
    どちらの場合も、通常の検索結果の HTTPリファラー には、元の検索語がクリアテキストで含まれていません（ただし、ユーザーの追跡に使用される可能性のある不明瞭なURLパラメーターが多数あります） 、これは、サイトがGoogle AnalyticsなどのGoogleサービスを使用している場合にさらに発生しやすくなります。
    このキーワード非表示は、最終的な宛先に直接リンクするのではなく、中間リダイレクトURLを検索結果として使用することで実装されます（ブラウザー、デバイス、JavaScriptとしてのブラウザー機能によって異なります）。 [google domain]/url?q=[destination URL]（Googleドメインに関係なく、広告は複数のリダイレクトURLを介してルーティングされ、元の検索語が含まれます）。
    時々（これも、ブラウザなどによって異なります）、Googleは<meta content="Origin" name="referrer">を使用してHTTPリファラーを削除し、追跡のための別の方法（例： ビーコンまたはハイパーリンク監査 ）を使用します。

    （執筆時点では、encrypted.google.comは前者をGoogle Chromeで使用し、www.google.comは後者の方法を使用しています。しかし、これは実際にはそれほど意味がありません。たとえば、Internet Explorer 11では、前者の方法は両方のGoogleドメイン。）

    リファラーを漏らさずに元のリンク先URLを維持するには、「Do n't Track Me Google」ブラウザー拡張機能を使用できます。 https://github.com/Rob--W/dont-track-me-google

    （GoogleなどのWebサイトからの介入がなくても、HTTPリファラーもクリーンアップできます。たとえば、オリジネーターがHTTPSで宛先HTTPの場合、または Firefoxのプライベートブラウジングモードが使用されている場合 、またはユーザーは、リファラーを無効/ストリップするフラグまたは拡張機能を使用しています（ Chromeの例 、 Firefoxの例 ））。

以前は、HTTPリファラーを介した情報漏えいにも違いがありましたが、それはもう当てはまりません。 SSL検索のヘルプページを比較します。

次のテストは、2つの異なるGoogleドメインが異なるIPアドレスに解決される可能性があり、これらのIPアドレスが任意のGoogle検索ドメインの検索クエリを処理できることを示しています。

$ Host encrypted.google.com
encrypted.google.com is an alias for www3.l.google.com.
www3.l.google.com has address 172.217.20.78
www3.l.google.com has IPv6 address 2a00:1450:400e:80a::200e

$ Host www.google.com
www.google.com has address 172.217.20.68
www.google.com has IPv6 address 2a00:1450:400e:800::2004

$ curl -I https://encrypted.google.com/ --resolve encrypted.google.com:443:172.217.20.68

$ curl -I https://encrypted.google.com/ --resolve encrypted.google.com:443:172.217.20.78

$ curl -I https://www.google.com/?gws_rd=cr --resolve www.google.com:443:172.217.20.68

$ curl -I https://www.google.com/?gws_rd=cr --resolve www.google.com:443:172.217.20.78

$ curl -I https://www.google.nl/?gws_rd=cr --resolve www.google.nl:443:172.217.20.78

最後のcurlコマンドはすべて、それ以上リダイレクトせずに検索結果を受け取ります（この回答には出力を含めていません）。 SSLの詳細を表示するには、-Iを-vvvに置き換えるか、openssl s_client -connect google.com:443などを使用します。

9
Rob W

OPの質問によれば、「セキュリティの観点から、暗号化されたGoogle検索をブラウジングするメリットは何ですか？」

違いはありません。

詳細：2017年1月16日、両方を見ると、「暗号化された」ものの右上にGoogle Appsアイコンがないという唯一の違いがあります。

Www.google.comのDNSは74.xスペースの6つのエントリを指しますが、encrypted.google.comは216スペースの1つだけを指します。したがって、wwwは暗号化よりもロードバランシングの方が多い/優れているようです。

どちらも同じ証明書を使用するため、誰かが一方の秘密鍵の漏洩を心配している場合でも、両者は同じです。

Googleフォーラム を読むと、encrypted.google.comはテストと開発のために実装されたので、使用する必要はありません。 www.google.comがhttpsになったため、セキュリティ/暗号化に関してencrypted.google.comを使用する必要はありません。

「カール」からの応答を見ると、それらはほとんど同じであり、機能的な違いは見られません。

グーグルは彼らの終わりに別のスクリプトを持っている可能性がありますか？もちろん、それでもOPの質問に対する回答は変わりません。

3
MikeP

2010年のGoogle によると、これは、暗号化された検索が名前付きサブドメインを通過するための手段であり、検索をフィルタリングしたい組織（学校など）が引き続きSSLを通過する検索を検査してブロックできるようにしました検査できない暗号化された検索。

2
schroeder