セキュリティ
Glassboxの開発者、ローカルで動作するツールの構築にClaudeの助けを借りたことを明かす
人気記事
テック企業がいかに簡単にブラウザやデバイスをフィンガープリント（指紋照合）し、人混みの中からピンポイントで特定できてしまうのか気になる方に向けて、自分の環境がどれほど識別されやすいかを示す新しいツールが登場しました。
この新しいツールはGlassboxと呼ばれています。公開されている位置情報APIへの問い合わせを除けば、すべてユーザーのブラウザ内で完結して動作し、情報をウェブ上に送信することはありません。それでいて、ネット上でよく遭遇するさまざまなトラッカーや不正検知スクリプト、その他のブラウザフィンガープリント手法と同じように振る舞います。
同様の機能を持つ他の既存ツールとは異なり、Glassboxは加工されていない生のデータを大量に提供してくれるため、自分のブラウザの何が特徴的なのかを詳しく調べることができ、フィンガープリントがどれほど識別されやすいかの推定値も併せて確認できます。
本記者がテストしたところ、Glassboxが示した推定値は、普段仕事で使っているChromeウィンドウでは99パーセントに達した一方、アクティブな回線を使ったTor Browserでは56パーセントと低い数値になりました。
Glassboxの開発者David Dale氏は、Hacker Newsのスレッドで自身のツールについて次のように述べています。「『識別可能性』の数値は誠実なモデルであって、実測値ではありません。公開されているシグナルごとのエントロピーを合算し、ブラウザのマスキングによって値を割り引いた上で、地球上の一人を特定するのに必要な約33ビットを上限としています」
Dale氏はこのスレッドでさらに、ツールがローカルで動作する以上、この識別可能性の数値はあくまで推定値であり、Glassboxには照合対象となるリアルタイムの母集団データがないと付け加えています。前述の他のツールであるAmIUniqueやEFFのCover Your Tracksは、実際の母集団に基づく数値を提供していると同氏は指摘しました。
Dale氏がGlassboxを思いついたきっかけは、Alibabaの通販サイトAliExpressに埋め込まれたフィンガープリントコードが、音声を使ってブラウザを識別するために無音のこぎり波（サウトゥース波）を利用していると知ったことでした。
既存のオープンソースツール（EFFのCover Your TracksとAmIUniqueはいずれもGitHubにリポジトリを公開しています）をフォークするのではなく、同氏はAIの助けを借りながら独自にツールを構築することにしました。
「私は一人で活動するアントレプレナーであり、長年セキュリティエンジニアをしてきました。Claude Codeのようなツールのおかげで、アイデアを磨き上げ、有用なものをより多くの人に届けることがずっと簡単になりました」とDale氏はメールで本誌に語りました。
「フィンガープリント手法についてはかなり詳しいつもりでしたが、この手法は知りませんでした。すべてを一箇所にまとめて、自分のブラウザに対して実行してみたいと思ったのです」と同氏はHacker Newsで述べています。
つまりGlassboxは、Alibabaのこの手法も、ユニークなブラウザデータを検出する他の30種類のプローブと並んで識別可能性の推定に組み込んでいます。プローブにはCanvas、WebGL、フォントライブラリ、WASM機能、APIマトリクス、クロスサイトログイン状態などが含まれます。
Glassboxによれば、本記者が仕事で使っている特定のChromeセッションは、およそ76億分の1のブラウザにしか存在しない一意なものであり、IPアドレスによってさらに絞り込まれます（本記者の契約するISPはどうやらIPv6を使用しているため、識別されやすさが一段と高まっています）。
どのブラウザがより安全に見えるかという点については、本記者の端末にはChromeのほかSafari、Edge、Firefox、Torが入っています。「実質的に一意」と判定されなかったのはFirefoxとTorだけで、識別可能性の推定値はそれぞれ89パーセントと56パーセントでした。
これが意味するのは、本記者はFirefoxユーザー6億8,100万人に1人、Torユーザー40万8,000人に1人と同じフィンガープリントを共有しているということです。これでネット上で完全に匿名の存在になれるわけではありませんが、少なくともChrome、Edge、Safariに比べればはるかに大きな母集団に紛れ込めることは確かです。ただしこれもあくまで推定値であるとDale氏は改めて釘を刺しています。同氏いわく、「サーバーを使わないツールでは、真の希少性を測ることはできない」からです。
「最も効果の高い単一の対策は、大きく均質な集団に紛れ込めるブラウザを使うことです」とDale氏はメールで説明しています。「直感に反するかもしれませんが、大幅にカスタマイズした『堅牢な』設定は、かえって識別されやすくなることがよくあります。なぜなら、まったく同じ設定を使っている人がほとんどいないからです。目立つよりも紛れ込む方が有効です」
ユーザーをうまく紛れ込ませてくれるブラウザを使うことに加えて、Dale氏はVPNやTorの利用も必須だとし、多くのウェブブラウザでデフォルトで有効になっているために長年ネットユーザーを悩ませ、一部のVPNを使っていてもブラウザを識別可能にしてしまうWebRTCの情報漏洩を塞ぐ方法を見つけることも重要だと述べています。
Glassboxには、ネット上で自分を匿名化する方法についての提案をまとめたページも用意されています。実際のところ、目に見えないピクセルから無音の音波に至るまで、ブラウザの向こう側にいる人物を特定して金儲けに利用しようとするあらゆる手口が存在する今、こうした対策はかつてないほど重要になっています。®
