HTTPS by Default

Braveの新しいプライバシー機能を紹介する継続的なシリーズの22回目の投稿です。今回は、リサーチ＆プライバシーエンジニアのArthur Edelsteinによる対応について紹介します。この投稿は、プライバシーエンジニアリングVPのPeter Snyderが執筆したものの日本語訳です。

Braveはバージョン1.50より、HTTPSの利用を増やすことでWebセキュリティとプライバシーを向上させる新機能 “HTTPS by Default” を搭載します。Braveは、すべてのサイトをHTTPSにアップグレードし、サイトがHTTPSに対応していない場合や、HTTPSで読み込むと正しく機能しないことが分かっている稀なケースに限り、HTTPにフォールバックします。この機能は、一般的なブラウザの中で最も安全で強力なデフォルト使用のHTTPSポリシーであり、まずAndroid版とデスクトップ版のBraveブラウザに搭載され、iOS版にも追って実装される予定です。

HTTPS by Defaultは、サイトへのアクセスを向上させるBraveの既存のリストベースのアプローチを改良するものになります。

HTTPSはWebのセキュリティとプライバシーに欠かせません

HTTPSは、プライベートで安全なWebを実現するために不可欠な要素です。HTTPSでサイトを読み込まない限り、ISP（またはその他の組織）は、あなたのアクセスしたWebサイトや、発言や送信の内容を見ることができてしまいます。HTTPSのサイトが必ずしもプライバシーを尊重しているとは限りませんが、HTTPSを使用していないサイトがプライバシーを危険にさらしていることは確かでしょう。

たとえば、携帯電話からexample.siteにアクセスすると、リクエストは携帯電話から携帯電話会社に送られ、example.siteのサーバーに送られるかもしれません。サイトのサーバーは、携帯電話会社を経由してWebページをあなたの携帯電話に返すことになります。サイトがHTTPで読み込まれる場合、携帯電話会社は、あなたがexample.siteのサーバーに送信した内容と、それに対するexample.siteの応答を正確に把握することが可能です。しかし、example.site がHTTPSで読み込まれる場合、携帯電話会社はこのような詳細を確認することはできません。

つまり、HTTPSは、Webの世界においてプライバシーとセキュリティを保護するために不可欠なものなのです。

HTTPからHTTPSにアップグレードするタイミングを見極めるという課題

HTTPSはプライバシーとセキュリティにとって重要であるため、Braveのようなブラウザは、可能な限りHTTPSでサイトを読み込もうとします。また、今日では多くのサイトが HTTPS にのみ 対応しているため、このようなのサイトをプライベートかつ安全な方法で読み込むことは簡単です。そして、より多くのサイトがHTTPSのみをサポートするようになりつつあります（secure web socketsのような他のTLS保護プロトコルを使用するケースもあります）。

残念ながら、Web上にはまだHTTPをサポートしているサイトが多数あり、 安全でないHTTP接続のみ サポートしている時代遅れのサイトもあります。Braveの目標は、可能な限りこのようなサイトを（HTTPSで読み込んだときにサイトが正しく読み込まれ、機能するすべてのケースにおいて）自動的にHTTPSに「アップグレード」することです。

しかし、サイトをHTTPSにアップグレードするタイミングを決定するのは難しいことなのです。WebサイトがHTTPSに対応していない場合、HTTPからHTTPS へのアップグレードを試みると、明らかなエラーが発生します。また、HTTPS と HTTPの両方をサポートしているサイトでも、ドメインが異なるために（例：http://example.site と https://secure.example.site）自動アップグレードが困難な場合があります。また、HTTPS で取得した場合に正しく読み込まれまれても、機能的に問題があるサイトもあります。

最もよいのは、ブラウザは決して HTTP でサイトを読み込まず、安全でないリクエストはすべて自動的にHTTPSにアップグレードできることです。しかし、実際には、HTTPから HTTPSにアップグレードした際に、サイトがどのように、いつ、正しく機能するのかを把握することは困難です。

“HTTPS By Default” はBraveでどのように機能するのか

Braveブラウザは、バージョン1.50から、安全でないHTTP接続を安全でプライベートなHTTPS接続にアップグレードする新しい機能を使用します。“HTTPS By Default” と呼ばれるこの新機能は、以下のように機能します。

1. HTTPで読み込まれたページを閲覧しようとしている場合、Braveは、HTTPSで読み込むと壊れるサイトのリストに移動先が含まれているかどうかを確認します。Braveは、この “break-over-http” サイトのリストをメンテナンスしており、誰でも閲覧・使用することができます¹。リクエストされたサイトがリストに含まれている場合、BraveはそのサイトをHTTPで読み込むことを許可します。

2. サイトがこのリストに存在しない場合、Brave はサイトを HTTPSで読み込もうとします（ナビゲーションのリクエストを HTTPから HTTPS にアップグレードするのです）。サーバーがHTTPSリクエストの置き換えにエラーで応答した場合、BraveはサーバーがHTTPSをサポートしていないとみなし、HTTPでサイトを読み込むことになります。

3. そうでない場合は、BraveはHTTPSでサイトを読み込み、よりプライベートで安全な接続を確保します。

Braveの新しい “HTTPS By Default” は、Braveが開発開始当初から使用していたリストベースのアプローチに代わるものです。このアプローチでは、BraveはHTTPS Everywhereリスト（EFFによって保守されている素晴らしいパブリックリソースです）を使用して、HTTP接続をHTTPSにアップグレードするタイミングを決定していました。しかし、HTTPS Everywhereのリストは便利ですが、2つの重要な欠点があります。

• まず、HTTPS Everywhere のリストはもはや保守されておらず、リストは日に日に過去のものへとなっています。

• 第二に、EFFの最善の努力にもかかわらず、どのサイトをアップグレード すべき かのリストを使用するアプローチは、Web上のサイト数が膨大で、リストの管理が困難であるため、限界があります。これに対し、Braveのアプローチは、より小さな（そしてより管理しやすい）アップグレード しない サイトのリストを保守するものです。

より広く言えば、Braveの新しい “HTTPS by Default” の主な利点は、デフォルトがより優れていることです。HTTPS Everywhereのデフォルト設定では、未知の（つまりリストにない）サイトがHTTPで読み込まれるようになっていましたが、Braveの新しい “HTTPS by Default” のアプローチでは、サイトが新しい場合や未知の場合でもHTTPSでサイトが読み込まれるようになっています²。

Brave独自のプライバシー機能における新たなアプローチ

新しい “HTTPS by Default” はBraveが普段開発しているプライバシー機能とは異なる種類の機能となり、皆様に提供できることをとても楽しみにしています。Braveのプライバシー機能のほとんどは、Webアプリケーション・レイヤーで動作します。例えば、Webサイトの実行方法をブラウザが変更し、サイトがユーザーを再特定できないようにします。

これに対して “HTTPS by Default” は、Webサイトへのアクセス方法について（つまり、ブラウザで読み込む前に）プライバシーを向上させることで、皆様のプライバシーを保護します。どちらの種類のプライバシー機能も重要であり、互いに補完し合っています。Braveは、一般的なブラウザの中で最も多くのプライバシー保護機能を（それぞれの種類において）デフォルトで備えていることを嬉しく思います。

BraveはTorでプライベートウィンドウを使用する場合、さらに強力な保護機能を適用します。このような場合、BraveはHTTPS-Onlyモードとなり、HTTPS経由でのみ確認なしにページを読み込むことができます（HTTPSで接続できなければ、HTTP接続で続行するかどうかの確認が表示されます）。これは “HTTPS by Default “ よりもさらに強力な保護を提供しますが、一部のページが正しく動作しないリスクがあり、Torネットワークを使用する際に生じるトレードオフであると私たちは考えます。brave://settings/shields でHTTPS-Onlyモードを有効にすると、(Torを用いたプライベートウィンドウだけでなく)Braveの全てのウィンドウでこの機能が有効になります。

“HTTPS by Default“ は、BraveがWebアプリケーションレベルを超えてWebプライバシーを改善するために今後予定している多くのシステムや提案の1つです。例えば、最近のSTARプロトコルは、製品分析（私たちは、privacy-protecting product analytics(プライバシーを保護した製品分析)、またはP3Aと呼んでいます）においてプロトコルベースの保護を可能にします。同様に、FrodoPIRの提案は、URLが悪意のあるものであるかどうかを問い合わせるためのプロトコルレベルの保護を提供します。

まとめ

Braveは、ユーザー中心のWebを促進すると同時に、ユーザー保護機能を提供することを約束します。それは、ブラウザスタックのすべてのレベルにおいて、常に新しい保護機能を開発することを意味します。私たちは、専門家から初心者まで、すべてのWebユーザーが安全にWebを利用できるよう、強力なプライバシー機能がデフォルトで有効であるべきだと考えています。 “HTTPS by Default“ は、他のいくつかの新しいプライバシー機能とともに、今後数週間のうちに展開される予定です。