■ Cookie（クッキー）は危険？ （2010年10月28日）Yahoo! などの会員制のネットサービスにおいて、あるユーザが IDおよびパスワードを入力し、そのサービスへログインしたとします。すると次回以降の訪問時には IDやパスワードを入力せずに、自動的にログイン状態になりこのサービスを利用できます。これはCookie（クッキー）の便利な機能です。一方、ウイルスバスターなどのセキュリティ対策ソフトの検索で、スパイウェアとして多くのCookieが検出されます。Cookieは個人情報を収集する邪悪な方法であるような気もします。今回はCookieとは何なのかを考えてみることにします。 ＜Cookie の仕組み＞ そもそもCookieとは、広義にはWebサイトを提供するサーバとユーザのブラウザとの間で情報を送受信するとき、その交信の効率を上げる仕組みです。 ただ、普通にCookieという場合は、少し狭義の意味に使うことが多いようです。 ショッピングなどのWebサイトでは、入力したユーザIDやパスワードなどの情報、さらに名前や住所などの個人情報を、ユーザのコンピュータに記憶させるようになっています。ユーザがWebサイト上で入力した内容を、次回訪問時にもう一度入力する手間を省くためです。この入力情報を保存しておくファイルを一般に Cookie といいます。 下図で Cookie の仕組みを簡単に説明します。Webサイトに訪問してきたユーザが IDおよびパスワードを入力し、サイトへログインしたとします。このときサーバはログインユーザと対になるような「識別 ID」を発行し、これをCookieとしてそのユーザのコンピュータに保存させます。  そして次回訪問時にこの識別IDがサーバへ送信され、サーバ側で識別 IDに対応するユーザをデータベースより見つけ出し、自動的にログイン状態にさせることで、ユーザは二回目以降の訪問時にパスワードなどを入力せずに、各種サービスを利用できるようになります。 Cookieの仕組みはJavaScript を使って、Webページ作成者がHTMLファイルに作り込こんでおきます。JavaScript はHTML内にプログラムを埋め込むことで、Webページに動的な機能を付加できる簡易プログラム言語です。 ＜Cookieの由来＞ Cookieの仕組みはNetscape Communication社によって開発された「状態管理」のための技術ですが、その「状態管理」のために保持される情報そのものを一般にCookieといいます。誕生当時は Netscape Navigator というブラウザにのみ実装された独自仕様でしたが、非常に有用な技術であったため、Internet Explorer など他のブラウザにも順次実装され、現在では広く知られた技術となっています。 Cookieの仕組みはサーバ上のある「状態」における情報をブラウザに保存させ、次回の交信（セッション）時に、それをブラウザがサーバに送り返す技術です。この技術の本質は、本来なら全てサーバ側で保存すべき情報の一部を、クライアント側に保存させることで交信の効率を上げることです。 大きなサイトには文字通り年間に何百万人もの人が訪れます。しかし、多くの人はそのサイトに一度きりしか行かない、あるいはめったに再訪しないので、すべての訪問者に関する情報をサイト側で保存するのは、無駄が多く高価なものになります。 Cookieのコンセプトはユーザ情報を自パソコンに保存させ、そのサイトに訪れたユーザの情報を効率的に得る目的で考えられました。Cookieそのものは、下図のように「インターネット一時ファイル」（Temporary Internet Files）フォルダに保存される小さなテキストファイルです。  Cookieの情報は、Webサイトが設定した有効期限を過ぎると消滅します。もし有効期限が設定されていなければ、情報はかなりの短期間で消えます。また、これは最も重要なことですが、個人の Cookieから他人がその情報を入手することはできません。そういう仕組みではないのです。Cookieは基本的には安全なファイルです。 ＜セキュリティの問題＞ インターネットにおける個人情報の漏洩などのセキュリティ問題を考えるとき、Cookieに疑心を持つ人がいるかもしれません。しかし、Cookieでは前回アクセスした人と今回アクセスした人が同一であるかどうかしかわかりません。 あるWebサイトでユーザが個人情報を入力した場合、そのサイトにCookieの仕組みがあれば、その情報はCookieとしてユーザのパソコンに保存されます。では、第三者がそのユーザのCookieを見ることができるのでしょうか？ 例えば、悪意あるサーバ管理者が、そのCookieを読もうとした場合はどうでしょうか？ それぞれのCookieは、それを作成したサーバでなければ受け取ることができないのでこれは不可能です。つまり、abc.com が作成したCookieは、 xyz.com に返されることはないのです。 しかし、いいかげんな仕様で作成されたCookieは、盗み読まれる可能性があります。これはCookieの作成者の問題です。Cookieの作成者はセキュリティを考えて、Cookieを作成しなければいけません。ただ、実際問題としてCookieの安全性に神経質になるならば、サイト上のクイズに応募したり、オンラインショッピングをすることはできなくなるでしょう。 プライバシー漏洩の可能性としては、たとえCookieを用いなかったとしても、情報を得た第三者はそれをデータベースとして他社に売るようなことも考えられます。つまり、そのCookieを信用するかどうかは、結局その先に居るCookieの管理者を信用するかどうかということに他なりません。 ＜トラッキングCookie＞ セキュリティ対策ソフトでシステムの完全スキャンを実行すると、下図のように「スパイウェア」として Cookie が検出されることがあります。これはトラッキングCookie（Tracking Cookie）と呼ばれ、Webページに埋め込まれたバナー広告の発行元が、ユーザのWebアクセス履歴を収集するために利用するものでCookieの一種です。  トラッキングCookieは、多くのWebサイトに同じバナー広告を出して、訪問したユーザのアクセス履歴を追跡（Tracking）するという意味からそう呼ばれます。また、メインのHTMLではなくバナー広告の提供元が設定するという意味から、サードパーティCookie（Third-party Cookie）とも呼ばれます。 さて、バナー広告をクリックしてその広告会社のサイトに行き商品を購入すると、CookieのIDと名前や住所などの個人情報が結び付けられる心配はないのでしょうか？ その答えは、広告を表示するサイトと販売を行うサイトとは別なので、名前・住所などの販売情報と CookieのIDを結びつけることはできまません。つまり広告サーバが知っているのは、ID番号と訪問履歴だけです。 トラッキングCookie自体はソフトではなく単なるデータですが、セキュリティ対策ソフトの多くはスパイウェアとして、トラッキングCookieを検出・除去する機能を備えています。多くのユーザはそのことを正しく理解しているとは限らず、ウイルスと誤解して戸惑うといった状況も散見されます。 ただ、トラッキングCookieはその性質上、ユーザの追跡・嗜好などの調査に使われますから、これに嫌悪感を持つ人はいるでしょう。セキュリティ対策ソフトで削除しても構いません。 ＜Cookieの削除＞ Cookieはユーザにとって不要なものも多いので、削除しても基本的には構いません。Cookieをすべて削除するには、Internet Explorer（Ver.7,8）の「インターネットオプション」画面の「全般」タブで、「閲覧の履歴」の「削除」ボタンを押し、「Cookie」にチェックして「削除」します。 ただ、Yahoo! やオンラインショッピングなどの自動ログインの情報や、個人情報を覚えてくれる役割も果たしていますので、削除するとこれらの情報は消えてしまいます。 Cookieを削除した場合は、再びそのサイトに訪問するときこれらを入れ直す必要があります。 よくあるのが、自動入力に頼りすぎてユーザIDやパスワードをきれいさっぱり忘れてしまっている場合です。ただ、大概どのサイトでも「パスワードを忘れた場合」というのがあるので何とかなるでしょう。 また、「******」のように見えないパスワードを読みとるフリーの「パスワード解析ソフト」もありますので、Cookieを削除する前にパスワードを確認する手もあります。例えば、PasswordEyeはその左方にあるファインダーを、マウスを押したまま目的の「******」の場所までドラッグします。黒枠線がパスワードの四角を囲った状態でマウスを離すと、ファインダーが元の位置に戻りパスワードが表示されます。 |