px)が置かれていることよって生じたマイナーエラーは事実上の危険はなく「普通の錠アイコン」の場合と同等の安全性ですが(同一ドメインなら不正なCookieの操作が可能だけど外部ドメインならトラッキングシステムの運用サーバのCookieをセット・読み取ることしかできないし、1pxなら目に見えないので見た目を改変して悪用することもできない)、暗号化されたページに非暗号のJavaScriptコードが含まれている場合にはなんでもできてしまうので(Cookieを他のサーバに送信することも、フォームの送信先を書き換えることも可能)平文のHTTP接続と同じだけの危険があります。安全性が(普通の錠アイコン)≒(警告マーク付きの錠アイコン)のケースも、(警告マーク付きの錠アイコン)≒(平文のHTTP接続)のケースの両方があって、HTMLのソースを読める人じゃないとどっちのケースだか判別できないという状況でした。表示されたとしても、自分でHTMLのソースを読める人じゃないと何の役にも立たなかったので、それを廃止して平文のHTTPと同じ扱いにしたのは最善の方法だったと思います。解釈するので問題ないと思います。通信より危険な状況だと誤認させるので好ましくありません。ユーザーを警告表示に慣れさせるのも好ましくないと思います。17時10分(#2901720)この時点で,間違ってますよ確かに、ブラウザに脆弱性があるならば、悪意のある画像によってスクリプトが実行されてしまうといった問題が生じるかもしれません。したところで、スクリプトは実行されません。Cowardなぜimg要素限定なのでしょうか。script要素だってクロスドメインが前提だと思いますが。なければ、JSONPが流行るわけもないし。実際、地図業界ではJSONPが流行り過ぎて、セキュリティの整合性を取るのに苦労すると思います。いうか、フィッシングサイトのことを考えるとimg要素だけでもわりと危険ですよ。人間は字と画像しか見てないので。Cowardいや、多分、あってる。その段落は、「危険はない」と主張してるんではない。そこでの主張は、「ユーザがソースを全部精査すれば、そのページがクリティカルな部分にhttp接続相当の危険性を孕んでいるのか、事実上、https接続相当の安全性が保てているのかは、ある程度は(*)判断可能」とかそういうこと。決定不能問題を持ち出して判断不可能な実例を作る事は可能だけど、「大丈夫だと確信できる」/「もしかしたらヤバいかも」より詳細な厳密な分類が絶対必要というわけでもない。Cowardセキュリティの知識のある人:なぜ当該サイトがSSLじゃないのか理解できずに戸惑う知識のある人は詳細を確認するから戸惑わないと思うが?知識のない人:問題があることに気づかないたとえばここでログインするのにこれまでも警告マークでない。Coward詳細を調べればわかるのはあたりまえ。それ以前の、情報の伝達方法を言っている。SSLを使うのをやめたのか?2知識がない人:HTTPSの意味をよく理解していないし、おそらくURLバーの表示をきちんと見ない。その場合、ただ鍵マークが消えるより、警告マークが表示された方が、「何か異常が起きている」ことに気づく可能性が高い。ある日三菱東京銀行のサイトの鍵マークが消えたとして、一般ユーザーがはたして気づくだろうか?いずれのケースでも、情報伝達方法としてどちらが優れているかは明らかだと思う。Cowardうっかりの可能性があるから、つまり悪意があると決まったわけではない、ってことはHTTPに比べて危険性が有意に高いわけじゃないからね。銀行にとってみても、「金を出してるのに何で評価されないのか」ってのは当然監査の対象になってくると思うので、そっちの方が話が早い気がする。Coward別のケースがあるのを忘れてる。「慎重に設計してhttpとhttpsを使い分けてあるサイトなので、深刻な問題はない」というケースで、いかにもエラー表示っぽいのが出るのは、そのサイトの設計者が可哀想。今時見かけないけど、画像だけはhttpで送る設定のブログなり掲示板なりで、通信路上で通信が乗っ取られて攻撃者に変な画像に差し替えられる危険性は残るけど、それ以上に深刻なトラブルには繋がらないから、サーバの負荷低減とのトレードオフで、まあいいか、と言うような。その他、トラッキング被害(?)に逢うとか問題が起こる可能性はちらほらあれど、アカウントが乗っ取られるような絶対避けなきゃならない事態には陥らないしー、みたいな。深刻な被害が出る設計かどうかはブラウザには判断しようがないので、せめて、エラーっぽくない見た目にしたげましょう、と。マズいの強調してもいいと思うというか素HTTPと同じだと、セキュリティの度合いが「不明」感があって(もちろんなにもないことは理解してます)、いまいちマズいかわかりにくい。(暑いか寒い)気持ちはわかるが、正直迷惑。8時09分(#2901462)2016年中にはSHA-1は淘汰されるのに、現時点で警告を出したり、平文と同様の表示にするのは、少しやりすぎ。CowardタレコミがSHA-1にばかり注目してるけど、この変更は「黄色い三角アイコンそのものを廃止して、平文と同様の表示に統一した」だからな。混在コンテンツ等も同様に変更された。CowardAndroid版Chrome46だとTLS接続しているのにSHA-1証明書を使っていた場合その接続ステータスプロトコルや暗号スイートなど)を確認するすべがない。証明書がSHA-1かどうかとTLSの接続状況は独立だろう。Cowardお気に入りのブラウザ使ってる人が、他のブラウザでどうだろうなんて検証することないから、サイト管理者に問い合わせるに一票。Coward本当の門外漢はサイト管理者やブラウザ作成者に問い合わせたりしません。Cowardまあ原因の切り分けができるのもITリテラシーの一部だからねえ。いうことができる人は初歩的なトラブルなら自己解決するので、サポートにはアホな質問か、とてつもなく高度な(場合によってサポの権限ではどうしようもない)質問ばかりが押し寄せると。Cowardおま環のようなので、調べなおしたところ自己解決しました。SSD環境なのでRAMディスクにクロームの作業フォルダを移動していましたが、マウントオプションにnoexecをつけていたためFLASHプラグインが動作してなかったようです。プラグインファイルの場所を変更して治りました。19時22分(#2901784)forkして教祖様になるという手もありますな。シェア親コメントより多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。service.閉じるスラド読み込み中...。