Mozillaのプロアクティブなセキュリティ対策――サイレントインストールされるプラグインからFirefoxユーザーを守る

Mozillaのプロアクティブなセキュリティ対応――筆者はこの姿勢を心から高く評価しています。

更新日:2009年10月19日

本記事では、MicrosoftがFirefoxに対して.NETコンポーネントなどのブラウザプラグインを、ユーザーの同意なしに「サイレントインストール」する問題と、それによってもたらされる脆弱性に対し、Mozillaがいかに先手を打って対処しているかを解説します。さらに、各プラグインが何をするものなのか、そしてユーザー自身が取れる対策についても詳しく触れていきます。

ファンだと言われようとも構いません。自社製品に関わるセキュリティ問題を真剣に受け止めるソフトウェア企業を目にするとき、それはいつも新鮮で心地よいものです。オンラインセキュリティは今や最も注目される話題の一つであり、インターネット上の英雄と悪党が鍛えられる「評判の金床」と言えるでしょう。

Mozillaのチームは間違いなく群衆の中で際立っています。攻撃的かつ先回り的なアプローチでセキュリティに取り組んでいるからです。ここ数週間で、MozillaはFirefoxをより良く、より安全な製品へと進化させる新しいサービスを立ち上げました。

Plugin Check ―― プラグインを常に最新の状態に保とう

(公式ページ)

Mozilla Plugin Checkは非常に便利なサービスで、ブラウザにインストールされているすべてのプラグインをチェックし、古いバージョンや既知のセキュリティ脆弱性を持つものがないかを教えてくれます。該当するプラグインが見つかれば、Plugin Checkがアップデートを検索し、インストールまで自動的に行ってくれます。

このサービスはまだ始まったばかりで、一部の項目の検出に不具合があるものの、近いうちに解消されることは間違いないでしょう。

Plugin Checkは、直近のFirefoxアップデートとともにパイロット版としてスタートしました。ブラウザの再起動後、古く脆弱なバージョンのAdobe Flash Playerプラグインを使っていたユーザーの画面には、Flashプラグインが古くなっていることを知らせるページが表示されました。一般の反応は熱狂的で、Adobeのウェブサイトへの訪問数は1,000万件を突破。クリック率も約30%と驚異的な数字で、同種のバナーメッセージが通常5%程度しか獲得できないことを考えれば、その効果は歴然です。このシンプルなチェックは多くのFirefoxユーザーにより高いレベルのセキュリティをもたらしただけでなく、Firefoxユーザー層のセキュリティ意識の高さをも証明する結果となりました。

将来的には、このサービスはブラウザ本体に統合される予定です。そうなれば、ブラウザやアドオンのアップデートに加えて、プラグインの自動・無人セルフアップデートも実現します。ユーザーの操作や習慣に頼らずに最新の状態を維持できるため、ブラウザのセキュリティ基準はさらに強固なものになるはずです。

ぜひPlugin Checkのページにアクセスして、ご自身のプラグインの状態を確認してみてください。

アドオンブロックリスト

(公式ページ)

.NET Frameworkに関する記事をお読みになった方ならご存じの通り、サードパーティ企業――今回はMicrosoftですが――は、いわゆる「強化されたWeb体験」を名目に、自社のプラグインをFirefoxに追加しようとしてきました。つまり、アプリケーションをインストールすると、求めてもいない関連オンライン技術用のブラウザプラグインまで一緒に組み込まれてしまうのです。

Microsoftはその後、アンインストールできなかったアドオンを削除可能にするなど、ある程度是正しました。しかし、それでもFirefoxユーザーのブラウザが、望まない「筋肉増強剤」で勝手に改造されてきたという事実は変わりません。最悪なのは、こうしたアドオンの多くがセキュリティホールだらけで、まともなブラウザをチーズのように穴だらけの状態にしてしまうことです。

さすがのMozillaも我慢の限界に達したようです。そこで登場したのが「アドオンブロックリスト」です!仕組みはこうです。既知の未修正脆弱性を持つプラグインをインストールしようとすると、そのプラグインはブロックリストに登録され、デフォルトで無効化されます。あなたのブラウザは安全なまま。実に称賛に値する対応です。

ブロックリストの中身を見てみましょう。主にさまざまな役立たずのツールバー、いくつかのダウンロードマネージャー、さらにはアンチウイルスコンポーネントまで、そしてMicrosoft .NET Framework Assistantが含まれています。

実際、.NET 3.5 SP1をインストールしてFirefoxを起動すると、次のようなプロンプトが表示されます。

また、すでに該当するプラグインがインストール済みの場合は、「安定性またはセキュリティの問題により、脆弱なプラグインが無効化されました」というポップアップが表示されることがあります。この場合は、Firefoxを再起動すれば、そのまま通常どおり作業を続けられます。

筆者としては大いに満足しています。

実はこの措置はMicrosoftとの調整のもとで行われたものであり、今後プラグインがブロック解除されたり、再びブロックされたりする可能性もあります。それでも、正しい方向性の思考と、ユーザーセキュリティへの真剣なコミットメントを示すものとして高く評価できます。

その他のプラグイン

ブラウザ内には、Microsoft DRM関連のアイテムをはじめ、他にもいくつかのMicrosoftプラグインが存在しているかもしれません。大きな疑問は、これらが問題を引き起こすのか、無効化すべきなのかという点です。

まずはMozillaのナレッジベース記事を参照してみましょう。

これらのプラグインはすべてWindows Media Playerに関連しています。2つのDRMプラグインとダイナミックライブラリは標準プラグインであり、「Windows Media Player Firefox Plugin」は、Windows OSとFirefoxブラウザの比較的新しいバージョン向けに提供されている新しいプラグインです。

筆者の意見としては、古いレガシープラグインは安心して無効化し、様子を見ればよいでしょう。ブラウザ内でのWindows Media形式の再生に問題は生じないはずです。万一機能の低下に気づいたら、いつでも元に戻せます。最も重要なのは、両方を同時に必要とする場面は決してないという点です。古いものは過去の遺物であり、新しいプラグインに取って代わられています。さらに言えば、メディアコンテンツの99.9%はFlashで提供されているため、おそらく何も失うことはないでしょう。

まとめ

筆者はこのアプローチが本当に気に入っています。ユーザーが松明とピッチフォークを持って城に押し寄せるのを待つのではなく、Mozillaは三歩先を行き、混沌としたブラウザ市場の移ろいやすいニーズを先読みしようとしています。ユーザー体験を損なわずにセキュリティを最優先する姿勢は、Firefoxの利用をできる限りスムーズにするために数々のサービスを作り上げ、活用しているところからも明らかです。

さらに、これは重大な問題に対する正しい向き合い方でもあります。もしブラウザが侵害されれば、人々はプラグインのベンダーに文句を言いに行ったりしません。「自分のブラウザが侵害された」という事実だけを知るのです。Mozillaはそんな事態を許すわけにはいきません。だからこそ、自らの「子供」であるFirefoxに対して、これほど大胆かつ徹底した管理を行っているのです。

Plugin Checkとアドオンブロックリストの登場により、Firefoxのセキュリティは一気に二段階レベルアップしました。セキュリティを愛するすべてのFirefoxファンにとって、朗報と言えるでしょう。

それでは、また。