Brave Browser の新機能：ローカル・リソース制限でプライバシー保護を強化

Brave Browser boosts privacy with new local resources restrictions

2023/06/28 BleepingComputer — Brave の開発チームは、そのプライバシー重視のブラウザに対して、新しい制限コントロールを近々導入すると発表した。この新機能により、ローカル・ネットワーク・リソースにアクセスできるサイトの期間を、ユーザーが設定できるようになる。ローカルにホストされたリソースには、ユーザーのデバイス上において、Web プログラムが使用する画像やファイルが含まれる。その他のローカル・リソースには、NAS インスタンス／ローカルにホストされたサーバ／共有ネットワーク・プリンター・ファイル／共有ネットワーク・デバイス／共有コンピューター・データなどがある。

Web サイトや、ローカル Web アプリが、ユーザーの指紋を採取する場合や、ユーザーのマシン上で実行されているソフトウェアに関する情報を収集する場合に、ローカル・リソースへのアクセスを要求することはよくあることだ。

Brave は、「意外かもしれないが、多くのブラウザは、Web サイトが Web 上の他のリソースにアクセスするのと同じくらい簡単に、これらのローカル・リソースへアクセスすることを許可している」と説明する。

このやり方は、遅くとも 2020年以降から文書化されており、eBay／CitiBank／Chick-fil-A などの Web サイトで、関連するサイトでの詐欺防止スクリプトの一部として使用されている。

Brave によると、Chrome や Firefox などの、すべての主要な最新ブラウザは、 Web サイトがローカル・リソースへのアクセスを要求し、制限なく使用することを許可しているという。Safari の場合は、この危険な行為を止める特別な設計としてではなく、セキュリティ対策の副次効果として、安全な公開 Web サイトからのリクエストであっても、ブロックするようになっている。

この問題に対処するために、Brave はローカル・ホストへのアクセス制限を導入した。それ同時に、信頼できるサイトからのローカル・リソースへのアクセスは、制限つきで許可するようになった。

Brave チームは、「Brave は、ユーザーが信頼するサイトとの、互換性を維持する一方で、安全なサイトと安全ではないサイトの両方からの、ローカル・ホストのリソースへのリクエストをブロックする、唯一のブラウザである。現行のバージョンは 1.52だが、バージョン 1.54 からは、デスクトップ用と Android 用のBrave は、どのサイトがローカル・ネットワーク・リソースにアクセスできるのか、そしてどのくらいの期間アクセスできるのかを制御するための、より強力な機能が追加される」と述べている。

デフォルトでは、どのサイトに対しても、ローカルホストのリソースへのアクセス権限は付与されない。そのため、デスクトップ用では “brave://settings/content/localhostAccess“、Android 用では、”設定 > サイト設定 > ローカルホストのアクセス” から、ユーザーが手動で権限を付与できるようになる。

Brave では、この新しい許可メカニズムに加えて、フィルター・リスト・ルールを用いて、ローカルホスト・アクセスを悪用するスクリプトやサイトを、ブロックするようになる。さらに、信頼できるサイトの許可リストを維持／更新し、初回訪問時にローカル・ネットワーク・リソースへのアクセスを許可するよう、ユーザーに促すようになる。なお、ローカルホスト・コンテキストからローカルホスト・リソースへのリクエストは、特別なパーミッション無しで許可されるとのことだ。

これまでの Web ブラウザに与えられている機能などに対して、Brave は積極的に制限を強化し、安全なインターネット利用へと向けて、ゼロトラスト化を進めているようです。前回のトピックは、2023/05/14 の「Brave の Forgetful Browsing という新機能：ファーストパーティ追跡を Stop！」であり、ユーザーが訪問したサイトから特定されることを防ぐ Forgetful Browsing の導入というクッキー制限でした。よろしければ、Brave で検索も、ご利用ください。