【ITニュース解説】Browser Fingerprinting Protection: Randomize, Blend In or Block

ウェブサイトを閲覧する際、私たちのブラウザはさまざまな情報をウェブサイトに伝えている。例えば、どのOSを使っているか、どのブラウザのバージョンか、画面のサイズはどうかなど、たくさんの情報だ。この情報の組み合わせを「ブラウザフィンガープリンティング」と呼ぶ。まるで人間の指紋のように、これらの情報から個人を特定しようとする技術のことだ。ウェブサイト側は、私たちがどんなグラフィックカードを使っているか、といった詳細な情報まで、ブラウザの3Dグラフィックス機能であるWebGLを通じて尋ねることができる。保護されていないブラウザは、その情報をそのまま返してしまうため、個人のデジタルな「指紋」ができてしまう。

このデジタルな指紋が、私たちを追跡する（トラッカー）側にとって役立つのは、それが「識別性」と「安定性」という二つの特徴を持つ場合だ。識別性とは、その指紋が他の多くのブラウザと異なる、つまりユニークであるということ。安定性とは、ブラウザを閉じたり開いたりしても、その指紋が変わらないということだ。これらの特徴があると、トラッカーは私たちがどのサイトを訪れても、同じ人物として認識し続けることができる。ブラウザの保護機能は、この識別性か安定性のどちらか、あるいはその両方をターゲットにして、指紋が使われないようにする。

ブラウザフィンガープリンティングから身を守る方法は、大きく分けて三つの種類がある。一つ目は「群衆に紛れる（Blend in）」という方法だ。これは、多くのブラウザが同じ値を報告するようにすることで、私たちの指紋が特別なものではなくなるようにする。つまり、特定の個人を指し示すのではなく、「たくさんの人の中の一人」として認識させるイメージだ。Tor BrowserやMullvad Browserといったプライバシー重視のブラウザがこの考え方に基づいて作られている。例えば、グラフィックカードの情報を尋ねられても、特定のモデル名を返すのではなく、「Brave」のように汎用的な名前を返すことで、他のBraveユーザーと同じ指紋を持つようにする。

二つ目は「常に変化させる（Keep changing）」という方法だ。これは、ブラウザが返す情報に、人間には気づかない程度の小さなランダムなノイズを加えることで、指紋の安定性をなくす。同じコンピュータでも、アクセスするサイトごとに、あるいはブラウザを再起動するたびに異なる指紋を持つように見せるのだ。Braveブラウザはこの方法を中心に採用している。例えば、Canvas（ブラウザ上で図形を描画する技術）から取得できるピクセルデータや、Web Audioの出力、WebGLの値などに、気づかない程度のわずかな変更を加える。このノイズは、セッションごと、サイトごとに異なる種（シード）から生成されるため、同じトラッカーが異なるサイトで私たちを追跡しようとしても、異なる値を受け取り、追跡が難しくなる。

三つ目は「ブロックする（Block）」という方法だ。これは、既知のフィンガープリンティングスクリプトのリストに基づいて、それらのスクリプトの実行を停止したり、そもそもデータを返さないようにしたりする。Firefox、Safari、Edge、DuckDuckGoといったブラウザは、このリストベースのアプローチを採用している。既知の悪意あるスクリプトからの読み取りを制限することで、指紋を採取させないようにするのだ。例えば、Tor Browserは、キャンバス画像データ自体を渡さないようにすることで、フィンガープリンティングを防ぐ。

これらの保護策は、情報の内容によって使い分けられる。例えば、画像や音声のデータにノイズを加えても、見た目や音に大きな影響はないため、ランダム化しやすい。しかし、グラフィックカードの名前のような特定の情報の場合、ノイズを加えるのではなく、汎用的な名前に置き換える「群衆に紛れる」方式が適している。Braveブラウザの場合、CanvasやWeb Audio、WebGLの値には小さなノイズを加え（これを「ファーブリング」と呼ぶ）、GPU（グラフィック処理装置）の名前については「Brave」という一つの名称を返すことで、多くのユーザーが同じGPUを使っているように見せている。

FirefoxやSafariも独自の保護策を取り入れている。Firefoxは、デスクトップ版のバージョン151以降、スクリプトがエクスポートするキャンバス画像をブラウジングセッションごとに、またウィンドウごとに変更している。また、標準のトラッキング保護機能として、既知のフィンガープリンターをブロックする。プライベートウィンドウや厳格モードでは、さらに多くの保護が追加され、CPUコアの数もざっくりとした値で報告される。Safariは二つの方法を取る。プライベートブラウジングモードでは、2DキャンバスやWebGLの読み取り、Web Audioのサンプルに小さなノイズを加え、画面サイズをウィンドウサイズと同じように報告する。通常のウィンドウでは、既知のフィンガープリンティングスクリプトに対して、画面サイズ、CPUコア数、音声の種類、オーディオ、2Dキャンバスといった情報の読み取りを制限し、長期間データを保存させないようにする。これはリストに基づいて機能するため、リストにないスクリプトは通常のウィンドウでは依然として情報を読み取ることができる。

他の多くのブラウザも、様々な方法でフィンガープリンティング保護を提供している。Tor BrowserやMullvad Browserは「群衆に紛れる」ことを主眼に置き、多くのユーザーが似たようなブラウザの特性を持つように調整する。DuckDuckGoやEdgeは、既知のフィンガープリンティングスクリプトやトラッカーのリストを基にブロックする。Chromeは、ユーザーエージェント文字列（ブラウザの種類やOSを識別する情報）の詳細を減らす取り組みをしているが、CanvasやGPUなどの値はそのまま報告されることが多い。

しかし、これらの保護策にも限界がある。「群衆に紛れる」方法は、その群衆が十分に大きい場合にのみ効果的だ。例えば、ほとんどのサイトで一般的な英語設定は多くの人の中に埋もれるが、非常に小さな外国語サイトでは、その設定がかえって私たちを特定する要因になることがある。また、珍しい設定や、たくさんの拡張機能を積み重ねることは、かえって私たちのブラウザをユニークにしてしまい、プライバシーを向上させるどころか、目立たせてしまう可能性がある。Braveブラウザが厳格なフィンガープリンティングモードを廃止したのも、それがサイトの動作を妨げ、利用者が少なすぎてかえって目立ってしまうためだった。

「ランダム化」の方法も万能ではない。これはウェブ規模のトラッカーに対しては効果的だが、特定の個人を狙う悪意のある攻撃者は、ノイズを除去しようと試みる可能性がある。

「シークレットモード」や「プライベートウィンドウ」といった機能や、VPN（仮想プライベートネットワーク）も、フィンガープリンティングの保護とは異なる役割を持つことを理解しておくべきだ。Chromeのシークレットモードは、CanvasやGPUの値には影響を与えない。FirefoxやSafariでは、プライベートウィンドウが上記で説明した追加の保護機能を有効にする。VPNは私たちのIPアドレスを隠す役割を果たすが、ブラウザ内部で測定される値、例えばCanvasやGPUの情報そのものには影響を与えない。また、ブラウザの下層にあるTCPパケットは、OSのネットワークスタックに関する情報を伝えることがあり、これはブラウザの設定では変更できない情報だ。

自分のブラウザが実際にどのように保護されているかを確認するには、「Privacy & Trust Index」のようなツールを利用するのが良い。このツールでスキャンを実行し、「Canvas Fingerprint」や「Graphics & Media Fingerprint」の「WebGL renderer」の項目を確認する。Canvasのハッシュ値が安定しているかどうかもここでわかる。一度スキャンした後、ブラウザを閉じたりプライベートウィンドウを使ったりして再度スキャンし、ハッシュ値が変化していればランダム化されている証拠だ。もし変化していなければ、それは安定したIDとして使われる可能性がある。レポートの項目をよく読むと、「CANVAS LEAK」（常に同じ描画でプライバシースコアを低下させる）、「IDENTITY SHIFTING」（読み取りごとに変化する）、「PROTECTED」（軽いノイズがある）、「CANVAS INTERCEPTED」（ツールによって処理されている）、「CANVAS BLOCKED」（キャンバス機能が無効になっている）といった結果が表示される。これらの結果は、私たちのブラウザがどれだけフィンガープリンティングから保護されているかを示す指標となる。

フィンガープリンティング保護は、私たちがインターネット上で安心して活動するために非常に重要だ。ブラウザの進化とともに、この保護技術も日々進歩している。システムエンジニアを目指す上で、このようなプライバシー技術の理解は、セキュアなシステム設計や開発において不可欠な知識となるだろう。