ブラウザーのセキュリティ設定と拡張機能

Webブラウザは最もよく使われるアプリケーションであり、最も攻撃対象になりやすいものの1つです。ブラウザは信頼できないソース（Webサイト）からコードを実行し、機密データを扱い、ユーザーの認証情報やセッションに直接アクセスします。

ブラウザベンダーは、セキュリティパッチを頻繁にリリースします。古いブラウザは、ドライブバイダウンロードやサンドボックスエスケープなど、既知のエクスプロイトに対して脆弱な可能性があります。自動更新を有効にし、ブラウザの更新を決して遅らせないでください。

最新のブラウザはHTTPSのみモード（またはHTTPS Upgrades）に対応しています。有効にすると、ブラウザはHTTPサイトへの接続を拒否し、読み込む前に確認を求めます。これにより、平文接続で機密データを誤って送信することを防ぎます。

ブラウザの証明書警告を決して無視しないでください。無効な証明書や一致しない証明書は、次のことを示している可能性があります。

• 期限切れまたは失効した証明書
• 自己署名証明書（MitMの可能性）
• ドメインの不一致（間違ったサイトやフィッシングサイトにアクセスしている）

回避するのは、安全であると確認済みの内部システムをテストするときだけにしてください。

設定すべき主なブラウザ設定：

• フィッシングおよびマルウェア対策を有効にします
• サードパーティCookieをブロックします
• セーフブラウジング（Chrome）／強化型トラッキング防止（Firefox）を有効にします
• ブラウザでのパスワード保存を無効にします（専用のパスワードマネージャーを使用します）
• Webサイトに対する不要な権限（カメラ、マイク、位置情報）を無効にします

推奨されるブラウザ拡張機能：

• uBlock Origin — 広告と悪意あるドメインをブロックします
• Privacy Badger — 目に見えないトラッカーをブロックします
• HTTPS Everywhere（現在はほとんどのブラウザに組み込まれています）
• Bitwarden — パスワードマネージャー

拡張機能が少ないほど攻撃対象領域は小さくなります。信頼でき、十分に評価されている拡張機能だけをインストールしてください。

ブラウザ拡張機能はWebページに対する広範なアクセス権を持ち、次のことが可能です。

• すべての通信とフォーム送信を読み取る
• 入力中のパスワードを盗む
• ページに悪意あるコードを挿入する

悪意ある拡張機能は、正規のものに見えることがよくあります。権限を慎重に確認し、使っていない拡張機能は無効化または削除してください。

最新のブラウザは、各タブと拡張機能を別々のプロセスのサンドボックスで実行し、侵害されたWebコンテンツによる被害を限定します。レンダラープロセスのバグによってブラウザ全体が破壊されたり、OSに脱出したりすることは本来ありません。ただし、高度なエクスプロイトではサンドボックスエスケープが発生することがあります。

サイト分離（Chrome、Firefox）は、各オリジンを別々のプロセスで実行します。これにより、あるサイトの悪意あるJavaScriptが別のサイトのプロセスのメモリにアクセスするのを防ぎ、SpectreクラスのCPU脆弱性やサイト間のデータ窃取を軽減します。

JavaScriptは最新のWeb機能の大半を可能にする一方、Web攻撃の大半にも利用されます（XSS、ドライブバイダウンロード）。Flash（非推奨）のようなプラグインは、主要な攻撃経路でした。NoScript系のツールはデフォルトでJavaScriptをブロックします。極端な方法ですが、高セキュリティ環境では強力です。

用途ごとに別のブラウザプロファイルやブラウザを使用すると、分離性を高められます。

• 仕事用プロファイル：企業サイト、オンラインバンキング
• 個人用プロファイル：ソーシャルメディア
• 調査用プロファイル：未知または疑わしいサイトへのアクセス

1つのプロファイルが侵害されても、他のプロファイルには影響しません。

設定なしで悪意のあるドメインや広告をブロックするために広く推奨されているブラウザー拡張機能はどれですか？

ブラウザーは主要な攻撃対象です。常に最新の状態に保ち、HTTPS専用モードを有効にして、プライバシー設定を構成してください。uBlock Originのような信頼できる拡張機能を使用してください。拡張機能にはページへの広範なアクセス権があることに注意してください。ブラウザーのサンドボックス化とサイト分離により、Webベースのエクスプロイトによる被害を抑えられます。