Appleの新プライバシー保護機能「プライベートリレー」はリスクベース認証を無力化させる

ネットサービスを利用するユーザーがいつもとは違う端末や場所からアクセスした時に、追加の確認を求める方法をリスクベース認証(RIBA)と呼びます。Appleは新たなプライバシー保護機能として「プライベートリレー」を発表していますが、プライベートリレーはユーザーのIPアドレスを暗号化するものであるため、IPアドレスを利用するRIBAを無力化させるのではないかとデジタルアイデンティティの専門家であるフロリアン・フォースター氏が指摘しています。

IMO - Risk Based Authentication is broken
https://zitadel.ch/blog/imo-rba-is-broken/

Appleは2021年6月8日に行われた開発者向けイベント「WWDC 2021」の中で新しいプライバシー保護機能「プライベートリレー」を発表しました。プライベートリレーはユーザーのウェブブラウジング行動を匿名化する機能。具体的な仕組みは以下の記事で読むことができます。

Appleの新しいプライバシー保護機能「プライベートリレー」は中国では使えない - GIGAZINE

Appleのプライベートリレーでは、まずユーザーのIPアドレスと「暗号化されたアクセス先のURL」がAppleに送信されるとのこと。次に、AppleがユーザーのIPアドレスを暗号化して、暗号化されたURLと共に提携したコンテンツプロバイダーが運営するリレーステーションへ送信します。そしてリレーステーションは暗号化されたURLを復号して、ユーザーに目的のウェブサイトへのアクセスを提供する仕組みです。

プライベートリレーの仕組みで重要なのは、「AppleはユーザーのIPアドレスを知っているが、アクセスするサイトは知らない」「提携したコンテンツプロバイダーはアクセスするサイトを知っているが、ユーザーのIPアドレスは知らない」という点です。ユーザーの正確なIPアドレスとアクセスするサイトの両方を知っている事業者が存在しないため、ユーザーのデータが悪用される危険性が非常に低くなります。

しかし、Appleのプライベートリレーが有効になることで懸念されているのが、RIBAのあり方です。RIBAは、ユーザーがログインを必要とするネットサービスを利用する際に、接続元のIPアドレス・OS・ブラウザなどの情報が通常時と異なると、なりすましの可能性があると判断して追加の本人確認を求める仕組みをいいます。RIBAではIPアドレスなどを用いて本人か否かを判断するため、コンテンツプロバイダー側にわたるIPアドレスが暗号化されてしまうと、RIBAそのものが機能しなくなってしまうというわけです。

実際に、フォースター氏が確認したところ、プライベートリレーの設定画面には「IPアドレス・ロケーション」の項目があり、この設定画面では、「プレイべートリレーは、ユーザーのインターネット上での活動を非公開にし、安全を確保することができます。完全なIPマスキングとウェブトラフィックの暗号化により、Safari上でのウェブブラウジングを保護します。さらに、アプリケーションを使用する際にもユーザーを保護することが可能であり、ISPがユーザーのプロファイリングを作成することを防ぐことが可能です」と説明されています。

また、IPアドレスに関する項目では、「ウェブサイトがSafariでローカルコンテンツを提供できるように、『Approximate Location(おおよその位置情報)』を使うことを推奨します。『Broader Location(より広範な位置情報)』を使用することもできますが、その場合はコンテンツの検索結果に影響を与える可能性があります」と記されており、選択により検索結果に影響が出ることが示唆されています。

ユーザーのフィンガープリントを利用すればRIBAを利用し続けることは可能という主張もありますが、Cookieやその他フィンガープリントは規制されつつあります。このため解決策としてはRIBAを利用することから離れ、パスワードを利用しない新たなセッション管理方法について検討することをフォースター氏は提案。実際に、Appleはパスワード不要でFace IDやTouch IDだけでウェブサービスにログインできる「パスキー」機能を開発していると報じられています。

Appleがパスワード不要でFace IDやTouch IDだけでウェブサービスにログインできる「パスキー」機能を開発中 - GIGAZINE