Chromeのシークレットモードを使えば、端末に閲覧履歴を残さずに済むが、新たに発見された悪質なウェブサイトの認識は遅くなる可能性がある。
Googleは、Chromeのシークレットモードとゲストモードにもリアルタイムのセーフ ブラウジングチェックを拡張する変更を開発しており、プライベートセッションと通常のブラウジングの間にある隔たりを埋める可能性がある。
この区別が重要なのは、悪質なウェブサイトが従来の脅威リストの更新よりも速く出現・消滅する可能性があるためだ。Digital Trendsが引用した報道によると、Googleは、悪質なウェブサイトの大半が10分未満しか活動を続けない一方、端末に保存された脅威リストの更新には30～60分かかるとしている。
Windows Reportは、この変更を最初に発見して報じた媒体だが、Googleは、そもそもシークレットモードやゲストモードを魅力的なものにしているプライバシー保護を損なうことなく、こうしたプライベートセッションにリアルタイムのセーフ ブラウジングチェックを導入しようとしているという。
この変更はまだ開発中で、提供時期や提供方法は明らかになっていない。
シークレットモードにセキュリティ上の抜け穴、Chromeが修正へ
Windows Reportの報道では、同誌はChromiumの開発ノートを引用し、GoogleがChromeのシークレットモードとゲストモードにリアルタイムのセーフ ブラウジング保護を導入しようとしていると伝えている。
ユーザーは、通常のChromeプロフィールとは別にプライベートブラウジングを利用すれば、より強固なセキュリティ保護も得られると考える可能性があるため、これは歓迎すべき変更だ。
シークレットモードでは、プライベートセッション終了後にChromeが閲覧履歴やCookie、サイトデータを保持せずにブラウジングできる。一方、ゲストモードは似た機能だが、異なる状況を想定して設計されている。訪問者にメインユーザーのChromeプロフィールへのアクセスを与えず、独立したブラウジング環境を提供する。
どちらも便利なプライバシー機能だが、今回明らかになったように、従来のブラウジングより悪質なウェブサイトに対する優れたセキュリティを保証するものではない。
しかし、Chromeの現在の実装では、より新しい脅威情報ではなく、端末に保存された悪質なウェブサイトのリストに依存する可能性があり、新たに特定されたフィッシングサイトやマルウェアサイトをすり抜けさせてしまうおそれがある。
保護機能は実際にどのように働くのか？
まず理解しておきたいのは、Chromeのセーフ ブラウジングには単一の保護レベルしかないわけではないということだ。Googleは標準保護と強化保護の2つを提供しており、後者は追加のチェックを行い、脅威を特定する際により積極的なアプローチを取る。
両者の違いは次のとおりだ。
| 機能 | 標準保護 | 強化保護 |
|---|---|---|
| 既知の悪質なウェブサイト | 既知の脅威情報と照合してウェブサイトをチェックする。 | 既知の脅威をチェックし、新たに出現する脅威に対する追加の保護を提供する。 |
| フィッシングとマルウェア | 既知の危険なウェブサイトやダウンロードについてユーザーに警告する。 | 不審なウェブサイト、ダウンロード、拡張機能をより積極的に検出する。 |
| 共有される情報 | Googleが受け取る情報を抑える、プライバシーに配慮したチェックを使用する。 | URLやダウンロード、不審なコンテンツのサンプルなど、セキュリティ関連の情報をGoogleとより多く共有する |
| 保護レベル | Googleのデフォルトの保護設定。 | Googleのより包括的な保護オプション。 |
重要な違いは、強化保護がより積極的なのに対し、標準保護はそうではない点だ。
ここで、Googleが提案するシークレットモードの改善に話を戻そう。その構想は、プライベートブラウジングのセッションにもリアルタイムの脅威チェックを拡張し、より新しいチェックが利用できる場合には、端末に保存された脅威情報に頼らずに済むようにするものだ。
この改善が実施されても、ユーザーはシークレットモードが提供するものと提供しないものを理解しておく必要がある。
シークレットモードでは、次のことはできない。
- 匿名になる：ウェブサイトは、IPアドレスやアカウントへのログイン情報など、他の識別情報を通じてユーザーを特定できる。
- ISPからアクティビティを隠す：インターネットサービスプロバイダーは、ネットワーク接続やその他のトラフィック情報を引き続き監視できる。
- 雇用主やネットワーク管理者から見えなくなる：ネットワークを管理する組織は、ネットワーク上のアクティビティを監視できる場合がある。
- ウェブサイトによる追跡を防ぐ：シークレットモードは端末に保持される閲覧データを制限するが、追跡技術やブラウザーフィンガープリントなどを排除するわけではない。
- あらゆる悪質なウェブサイトから保護する：脅威インテリジェンスが100%包括的であることはないため、悪質なウェブサイトがすり抜ける可能性は依然としてある。
- ウイルス対策ソフトやエンドポイントセキュリティに取って代わる：悪質なダウンロード、感染、脆弱性の悪用をすべて防ぐことはできない。
要するに、シークレットモードは主にプライバシー機能であり、セキュリティ製品ではない。Googleが提案する改善はセキュリティ保護の一部を強化するものだが、ユーザーは通常のブラウジングと同じように注意を払う必要がある。
Googleがアップデートを開発する間にChromeユーザーがすべきこと
Googleは、提案されているセーフ ブラウジングの改善がChromeでいつ利用可能になるかを発表していない。Chromiumの開発ノートでも、他のChromiumベースのブラウザーが同じ変更を採用するかどうかは明らかになっていない。
それまでは、Chromeを最新の状態に保ち、セーフ ブラウジングの設定を確認するとともに、シークレットモードやゲストモードをセキュリティ保護の代わりとして扱わないようにすべきだ。
ユーザーは、Chromeの設定を開き、「プライバシーとセキュリティ」を選択して「セキュリティ」に移動すれば、保護レベルを確認できる。
Chromeの導入環境を管理する組織にとって、今回提案された変更は、ブラウザーのセキュリティポリシーを見直し、プライベートブラウジングの限界をユーザーが理解していることを確認する、もう1つの理由となる。
シークレットモードはローカルでの閲覧アクティビティを非公開にするのに役立つが、フィッシングやマルウェアなど、オンライン上の脅威から保護されることを保証するものではない。
関連記事：Androidスマートフォンでは、最新アプリが動作していても、重要なセキュリティ修正がひそかに適用されていない可能性がある。新しい Androidのセキュリティパッチレベルに関するガイドでは、端末の保護状況を確認する方法やパッチの日付を理解する方法、古くなったスマートフォンを使い続けるのが危険になる時期を解説している。