AppleのSafari（https://www.pcworld.com/video/id,531-page,1-bid,0/video.html?tk=rel_news、2007年6月）は、WindowsではGoogle Chromeに次いで2番目に新しいブラウザです。（当然のことながら、Appleのブラウザ（https://www.pcworld.com/article/id,138910/article.html?tk=rel_news）は、iPhoneおよびiPod Touchデバイス向けのモバイル版として提供されています。）Safariはフィッシング対策フィルタリングとポップアップブロック機能で他社をリードしていますが、https://www.pcworld.com/article/id,145122/article.html?tk=rel_news
SafariはAppleのウェブサイトから無料でダウンロードでき、iTunesやQuickTimeなどの他のAppleソフトウェアと一緒にインストールされるAppleのソフトウェアアップデートプログラムを通じてデフォルトのオプションとして提供されます。
Safariのデフォルトインストールはエンドユーザーがソフトウェアアップデートから簡単に選択解除できるため、多くの批評家は、本来パッチやアップグレード専用であるべきプロセスにおいて、潜在的に不要なソフトウェアをインストールしているとAppleを非難しています。一方、Appleがオプトアウト製品を自動的にプッシュすることは、無料のブラウザ代替を提供するための完全に正当な手段だと反論する声もあります。
[ Firefox、Internet Explorer、Google Chrome、Opera のセキュリティレビューもご覧ください。ブラウザのセキュリティと Web を介した脅威からの保護に関する詳細は、Security Adviser ブログと「テストセンター：ブラウザセキュリティツールと悪意ある Web の対決」をご覧ください。 ]
Safariインストーラは、Bonjourと呼ばれるサービスもインストールします。このサービスにより、Appleプログラムは自身をアドバタイズし、ローカルネットワーク上の他のBonjour対応プログラムを検出できるようになります。Bonjourは、プリンタの自動設定、ファイル共有の検索、インスタントメッセージの相手探しに使用され、SafariはBonjourを通じてローカルネットワーク上の他のWebページを検出できます。一般的に、多くのセキュリティ専門家はBonjourのような自動検出プログラムに警戒感を抱いており、Bonjour自体も少なくとも3件の既知の脆弱性攻撃に関与しています。BonjourはSafariの機能に必須ではないため、無効にすることができます。
ウィンドウズサファリ
Safari 実行ファイルは、Windows Vista コンピュータではユーザー アカウント制御 (UAC) に対応していませんが、名前に「setup」という語が含まれているため、Vista ではインストールの権限が自動的に昇格されます。そのため、Vista のヒューリスティック検出機能が無効になっている場合は問題が発生する可能性があります。Windows Vista では、Safari は単一プロセス (Safari.exe) として実行され、DEP (データ実行防止) は無効 (Opera のみに共通するセキュリティ上の欠点)、ASLR (アドレス空間レイアウトのランダム化) は有効、ファイル システムとレジストリの仮想化は有効、MIC (強制整合性制御) レベルは「中」となっています。これに対し、Internet Explorer と Google Chrome のレンダリング プロセスはどちらも、より安全な MIC 設定の「低」で実行されています。Apple のソフトウェア アップデートは、タスク スケジューラ ジョブを使用して、週に 1 回 Safari のパッチをチェックします。
Safariは、ポップアップブロック、プライベートセッションブラウジング、フィッシング対策フィルターなど、一般的なセキュリティ機能を備えたフル機能ブラウザです。ポップアップブロックは最高レベルで、フィッシング対策フィルターは私がテストしたブラウザ（Internet Explorer、Firefox、Google Chrome、Opera）の中で最も精度が高いです。Java、JavaScript、プラグインはブラウザ全体で無効にできます。IEを除くほとんどのブラウザと同様に、Safariには、信頼性の異なるWebサイトを配置したり、サイトごとに機能を有効または無効にしたりするためのセキュリティゾーンが用意されていません。
Safariはファイルをダウンロードする前に常に自動的に承認を求め、リスクの高いファイルがダウンロード前に実行されるのを防いでいます。Safariはデフォルトで優れたCookie制御機能も備えています。私がテストしたブラウザの中で、サードパーティCookieの書き込みをデフォルトですべてブロックしているのはSafariだけであり、これはプライバシー保護の面で大きなメリットです。
Mac OS Xシステムでは、SafariのパスワードはAppleのキーチェーンパスワード管理システムによって保護されています。Windowsでも、Safariのローカルに保存されたパスワードはしっかりと保護されています。Internet Explorerと同様に、保存されたWebサイトのパスワードは決して表示されません。しかし、Safariはリモートパスワード処理において最下位にランクされており、Password Manager Evaluator Webサイトで行われた21のテストのうち、わずか2つしか合格していません。
設定と暗号
オプションメニュー「開発」（以前の「デバッグ」メニューオプションに代わる）をメニューバーに追加することで、Webページの開発テストを高速化できますが、セキュリティ全体に大きな影響を与えます。「開発」メニューを使用すると、現在のWebページを別のインストール済みWebブラウザで開いたり、ユーザーエージェント文字列を即座に変更してWebページのレンダリングにどのような影響があるかを確認したりできます。インストールされたプラグインは、Safariの「ヘルプ」メニューのオプションから表示できますが、管理はできません。
ダウンロードしたコンテンツのローカルキャッシュを無効にして、Webページを再度訪問した際にすべてのコンテンツを強制的に再ダウンロードさせることもできます。また、画像を無効にしたり、CSS（これは数々の脆弱性攻撃に利用されています）を無効にしたり、JavaScriptをグローバルに無効にしたりすることも可能です。JavaScriptを無効にすると、多くの悪質なWebサイトの動作を阻止できますが、万能薬ではありません。私が試した中で最も厄介な悪質なWebサイトの一つは、JavaScriptを無効にしても、数秒のうちにSafariのインスタンスを40以上も起動し、テストマシンに事実上のDoS攻撃を仕掛けることができました。
Safariは、デジタル証明書とSSL/TLS（Secure Sockets Layer/Transport Layer Security）トラフィックに関して、いくつかの点で競合製品よりも劣っています。SSL/TLSネゴシエーションでは、RSAと弱い128ビットRC4鍵を使用したTLSが、暗号方式の優先順位で最初と2番目に提示されます。さらに悪いことに、ECC（楕円曲線暗号）、AES（高度暗号化標準）、そして256ビット鍵は、暗号方式の選択肢として提示されることがありません。さらに、MD5がSHA-1よりも最初に、そして頻繁に提示されるはずですが、本来は逆の順序であるべきです。Appleはここ数年、暗号技術の開発に注力していないように思われます。
Safariは無効なデジタル証明書について警告を発しますが、他の主要ブラウザほど「露骨」ではありません。Safariは小さなポップアップメッセージで一度だけ警告するのに対し、競合他社はウェブページ全体を赤や多色の警告で表示します。考えてみれば、Safariの判断は正しいのかもしれません。単一の問題に対して複数の警告を表示するよりも、一つの警告を表示する方が良いのです。しかし、Safariは他の競合ブラウザとは異なり、EV（Extended Validation）証明書を指摘したり、Internet ExplorerやIEのように実際のドメイン名を強調表示したりしないため、フィッシングサイトと本物のサイトを見分けるのが難しくなっています。
ハンティングとフィッシング
Safariは、私が設定したすべてのブラウザおよびJavaScriptセキュリティ試験に合格しました。事前に設定したラボテスト、インターネット上のテストスイート（scanitやJason's Toolboxを含む）、そして既知の悪質なWebサイトへの実環境への露出をクリアし、マルウェアの自動インストールは一切発生しませんでした（Safariの競合ブラウザも同様の結果を残しています）。最も悪質なDoS Webサイトは、他のブラウザと同様にSafariとホストマシンをロックしましたが、Safariは他のブラウザよりも早くロックダウンされました。また、Safariは、攻撃者が悪用を企むヘルパーアプリケーションを自動的に起動するために使用する、悪質なURLモニカーの起動を阻止できません。
Safariが初めてリリースされた際、Appleはこの新しいブラウザをInternet Explorerの安全な代替ブラウザとして宣伝しました。他のInternet Explorer代替ブラウザと同様に、SafariはActiveXコントロールをネイティブサポートしていないため、ユーザーに一定の保護を提供しています。Safariの強力なフィッシング対策フィルターもプラス要素です。
しかし、セキュリティはSafariの強みではありません。残念ながら、2008年3月以降、26件もの脆弱性が公表されており、そのうち3分の1はシステムへの完全なアクセスを許すものです。さらに、Safariのセキュリティ設定は粒度が浅いのも事実です。セキュリティを重視するユーザーは、Safariの暗号サポートの貧弱さ、セキュリティゾーンの欠如、そして大規模導入と管理のためのエンタープライズ機能の欠如といった欠点を、その美観によって克服できるかどうか判断しなければなりません。
