JavaScriptCSSによるWeb訪問履歴の漏洩に具体的対策、楽天ad4Uなど無効化へ2010年4月1日Mozillaは、CSSを利用することで利用者の訪問履歴が漏洩する可能性のあるWebブラウザの機能を改善することを明らかにしました。これは、楽天ad4Uのような、CSSやJavaScriptを用いて利用者の履歴を取得しているインターネット広告への対策として考えられたものです。利便性のための機能から訪問履歴が漏洩Webブラウザ上のリンクは、訪問したことのあるリンク先に対して色や文字の大きさなどのスタイルを変更することができます。これは、Webブラウザの画面上でどのリンクが訪問済みなのかを知らせるための、ユーザーの利便性を想定して作られた機能です。一部のインターネット広告では、これを利用して広告の中に大量のリンクを埋め込み、そのリンクの中から訪問済みのスタイルになっているリンクを自動的に探しだすことでユーザーの訪問履歴を取得。履歴情報をいわゆる行動ターゲティング広告の手段としているものがあります。具体的にはドリコムが開発した「ad4U」がこの仕組みを利用していることを明らかにしており、楽天がそれを採用して「楽天ad4U」という名前で展開していることが知られています。利用者のWebサイト訪問履歴はプライバシー情報に相当するものであり、このような方法でその履歴を取得することについては反発する意見が多数ありました。オルタナティブ・ブログところがプライバシーを優先してこの機能を削除してしまうと利用者の利便性が損なわれることになるため、どう両立すべきなのか、Firefoxのこの部分の実装については以前から議論されていました。よる履歴の漏えいを防ぐ取り組み」ではその議論に決着が付き、利便性を保ったままプライバシーの保護を実現するために、今後のFirefoxでは以下の3つの変更を加えると伝えています。訪問済みと未訪問リンクの表示にかかる時間の違いを最小限にするため、処理プロセスを均一化JavaScriptによる、実際に適用されているスタイルの取得が制限される1つ目の、訪問済みと未訪問の区別をするのに使用できるスタイルを制限することは、文字の位置やサイズの情報から履歴を取得することの対策となります。2つ目の、訪問済みと未訪問リンクの表示にかかる時間の違いを最小限にすることは、表示のタイミングの違いによって履歴を取得することの対策となり、3つ目のJavaScriptによるスタイルの取得の制限も、文字通りJavaScriptを用いた履歴取得に対する制限となります。他のブラウザでも同様の実装を!技術的に可能であるからといって、それを利用者が想定していないことまで含めて何でも実現していいとは思いません。技術者は技術に詳しいがゆえに、その利用についても高いモラルが求められるはずです。僕はMozillaが今回の機能を脆弱性と判断し対策したことを支持しますし、Mozillaの今回の説明に含まれている次の一文に強く同意します。私たちはこれがこの問題に対する最善の解決策であると考えており、他のブラウザも同様の取り組みを行ってもらえれば嬉しく思います。ちなみに、楽天ad4Uの現在の履歴取得対象から、Firefoxは外されています。楽天ad4Uでは次のように説明しています。Firefoxでは該当機能の改修が検討されており、将来的に利用出来なくなる可能性があるため、対応ブラウザから外すことに致しました。本記事のタイトルにある「楽天ad4Uなど無効化へ」は、すでにFirefoxでは無効化されているという意味で正確ではありません。今後Firefox以外のブラウザにもこの実装が広まってほしいという願いを込めて、あえてこのようなタイトルを付けました。Niino(jniino)IT系の雑誌編集者、オンラインメディア発行人を経て独立。2009年にPublickeyを開始しました。Studioのロードマップを解説。「質とスピード」(後編)。「質とスピード」(前編)。2.7サポートを発表Google、Lookerの買収完了を発表。Enterprise、BtoBスタートアップ向け支援プログラムで無料提供と発表。usPublickeyについて/運営者についてお問い合わせ広告についてプライバシーポリシ。