web-dev-qa-db-ja.com

「chrome：// settings」ページに関するセキュリティメッセージの競合。安全ですか？

chrome://settingsページにアクセスすると、互いに矛盾する2つのことがわかります。

chrome settings page

  • アドレスバーの下のリボンには、「安全なChromiumページを表示しています」と表示されます。

  • 一方、Chromium開発者ツールの[セキュリティ]タブにあるセキュリティの概要には、「このページは安全ではありません」と表示されます。

ここで何が起こっているのか誰か誰かが知っていますか？

  1. なぜこれら2つの矛盾するメッセージなのか？ここに脆弱性はありますか？
  2. chrome://settingsページは本当に安全ですか？
  3. 安全ではない場合、ブラウザなどに影響はありますか？
  4. 可能な解決策は何ですか？

編集：私の質問がWhy these two conflicting security messages ?であることを明確にしたいと思います。それから初めて、質問によってよく答えられているセキュリティに関するものは、誰もがこの質問を重複としてマークしているようです：

ブラウザは設定ページが安全であることをどのように確認しますか？

したがって、OPの質問1に回答することを検討してから、残りに従ってください。

それでも質問が重複していると思われる場合は、最初に以下の回答を読んでから、この質問が重複の可能性があると思われる質問に対する回答と比較してください。

ありがとう。

web-browserchromechromium
29
C0deDaedalus

はい、設定ページは安全です。表示されているのは、Chrome側の不整合です。

開発ツールでは、有効なHTTPS接続のみに「安全」というラベルが付けられています。ローカルファイルや設定ページなどの他のドキュメントは、ネットワークを経由していなくても、「安全ではない」と表示されます。 「安全な接続」の概念は、ローカルリソースには適用されません。 （設定ページもローカルです。）

どうして？ラベルはサイトの SecurityState に基づいているため、プレーンHTTPサイト、ローカルファイル、設定ページのいずれでも「中立」に設定されます。そして、「中立的な」セキュリティ状態は「安全でない」と言葉で表現されます：

 const summaryExplanationStrings = {
 'unknown'：Common.UIString（ 'The security of this page is unknown。'）、
 'insecure'：Common.UIString（ 'This page安全ではありません（HTTPSが壊れています）。）、
 'neutral'：Common.UIString（ 'This page is not secure。'）、
 'secure'：Common.UIString（ 'This page is secure（valid HTTPS）。'）
};

（ソース）

ただし、アドレスバーでは、Chromeには内部ページを表示するための特別なラベルがあります。

<message name="IDS_PAGE_INFO_INTERNAL_PAGE" desc="Message to display in the page
 info bubble when the page you are on is a chrome:// page or about:something.">
    You are viewing a secure Google Chrome page.
</message>

（ソース）

したがって、テキストは異なります。結局のところ、アドレスバーのセキュリティインジケータは、確認のための推奨手段です。 devtoolsなどの他の場所では、UIがそれほど明確でない場合があります。

46
Arminius