|
検証 IE 6のプライバシ管理機能 3．Cookieフィルタリングの基礎デジタルアドバンテージ2001/10/24 |
 |
|
|
|
IE 6には、Webページ・データの取得時、相手のWebサイトから送られるP3Pコンパクト・ポリシーを認識し、その内容と、IE 6側での設定を照らし合わせて、当該Webサイトに関するCookieの取り扱い方法（受け入れるか、一部制限するか、拒否するか）を自動的に切り替える機能が搭載されている。IE 6で新しく搭載されたプライバシ管理機能とは、このCookieの自動フィルタリング機能のことだ。P3P本来の目的は、Cookie管理にとどまるものではないが、IE 6が対応しているのは、あくまでP3Pコンパクト・ポリシーをベースとするCookieフィルタリングのみである。
基本的にIE 6は、Cookieを要求するサイトを次のように分類し、Cookieの処理を切り替える。
コンパクト・ポリシーが提供されないサイト
コンパクト・ポリシーは提供されるが、収集するプライバシ情報や情報の用途、情報の受領先からみて、注意が必要なポリシーを持つサイト（要注意サイト）
コンパクト・ポリシーが提供され、受け入れ可能なポリシーを持つサイト
ただしここで言う「サイト」とは、あるWebサーバによって実装されたWebサイト全体を示すものではない。同じWebサイトであっても、例えばトップ・ページと、検索ページでポリシーを切り替えることが可能である。以下本稿では、便宜上Webページを提供するサーバ側を「サイト」と呼ぶが、それは特定のWebサイト全体を指すわけではないので注意されたい。
IE 6は、現在のプライバシ設定と、上の条件を比較して、Cookieを制限すべきか、拒否すべきか、受け入れるかを自動的に判定し、Cookieの取り扱いを切り替える。IE 6を使用して、初めてCookieのフィルタリング機能が働いたときには、次のようなダイアログボックスが表示される。
 |
||||||
| プライバシ管理機能により、Cookieが制限されたときに表示されるダイアログ | ||||||
| IE 6のプライバシ管理機能により、Cookieの使用が制限されると、このようなダイアログが表示され、ユーザーに警告を促す。 | ||||||
|
IE 6のプライバシ管理機能については、付属のヘルプで説明されている。しかし残念ながら、説明は十分とは言えない。実際にIE 6は、コンパクト・ポリシーの有無だけでなく、さまざまな条件を加味してCookieの自動処理を行っている。
IE 6のプライバシ管理機能を理解するために、米Microsoftは以下のような詳しい技術ドキュメントを公開している。
以下本稿では、このドキュメントを元に、IE 6のプライバシ管理機能の詳細を解説するとともに、実際に編集部でサンプル・サイトを構築して、IE 6の挙動（さまざまな条件下でのCookieの取り扱い方法）について検証する。
ファーストパーティとサードパーティ
今ご覧のアットマーク・アイ・ティ（以下@IT）を含め、商用サイトの多くは、広告収入を得るために、ページ内の一部の領域を広告スペースとして提供し、ここに広告主が小さなビットマップを表示できるようにしている。
 |
|||
| サードパーティによるバナー広告が入ったatmarkITのトップページ | |||
| 商用サイトの多くは、広告収入を得るために、広告用の小さなビットマップをページ内に配置している。これらの広告は、コンテンツを提供しているサイトからではなく、広告代理店などの別サーバから表示されている場合が多い。 | |||
|
このようなビットマップは、バナー広告と呼ばれ、広告主のメッセージをビットマップとしてビジュアルに表現すると同時に、たいていはそれをクリックすると、商品解説やサービス解説などのページにジャンプするようになっている。
初期のWebサイトでは、こうしたバナー広告も本文と同様に自サイトで管理しているところもあった。しかし現在では、バナー広告を取り扱う広告代理店に、広告の管理や表示をまかせるのが一般的である。つまり、コンテンツを提供する商用サイト（例えば@IT）は、広告スペースとなる場所だけを用意し、そこへのバナー広告の表示は、代理店に任せるわけだ。ブラウザから見ると、1つのページに見えているが、前出の@ITのトップページにおいても、コンテンツ部分は@ITのサーバから、バナー広告部分はDoubleClick社の広告配信サーバから提供されている。IE 6で新たに追加されたプライバシ情報のレポート機能（詳細は後述）を使えば、それらが別々にCookieを要求していることを確認できる。
 |
|||
| 上のページで使われているCookie一覧 | |||
| IE 6で新しく追加されたプライバシ情報の表示機能を利用すれば、今までは目に見えなかったCookieの要求状況を確認することができる。 | |||
|
このように1つのWebページに見えても、複数のサイトからコンテンツが供給されており、さらにそれらが別々にCookieを要求するケースがある。ここでは典型的な商用サイトの例として@ITを取りあげたが、オンライン・ショッピング・サイトなどでは、ショッピング・カートの機能を別サイトにしている場合もあるようだ。
これに対応するために、IE 6は、ユーザーが明示的にアクセスを指示したサイト（@ITの例でいえば、@ITのサイト）と、そのページ内部に含まれており、ユーザーからは暗黙的にアクセスするサイト（この例でいえばDoubleClick社のサイト）を明確に区別して取り扱う。前者はファーストパーティ（first-party）、後者はサードパーティ（third-party）と呼ばれ、どちらのサイトが要求するものかによって、Cookieの処理を切り替える。
ファーストパーティ／サードパーティは、サイトのURLのドメイン名部分によって識別される。したがってファーストパーティと共通のドメイン名を持ち、ディレクトリが異なるだけなら、同じくファーストパーティとして認識される。また、ホスト名が異なるだけのドメイン名（例えば、「www.atmarkit.co.jp」と「ad.atmarkit.co.jp」など）も同一とみなされる。
ただし、セキュリティで保護されたHTTPSプロトコルを用いるページ内に、HTTPSを使用しないコンテンツが含まれた場合には、上記ドメイン名の規則を満たしていても、サードパーティとして識別される。
改めて言うまでもなく、ユーザーが明示的にアクセスを指示しているファーストパーティよりも、暗黙にアクセスするサードパーティについて、より強いプライバシー制限を加えるべきだ。IE 6は、ファーストパーティが要求するCookieより、サードパーティが要求するCookieに対し、より強い制限を加えるようになっている。
Unsatisfactory Cookie（「不用意なCookie」）
すでに述べたとおり、IE 6は、HTTPヘッダとしてサーバから送られるP3Pのコンパクト・ポリシーを認識する。この際、サーバがP3Pに対応したHTTPヘッダを送信してくれなければ、IE 6はそのサーバがどのようなポリシーでCookieを処理するのか分からないので、最も厳しい制限を加ることになる（残念ながら、多くのサーバはまだP3Pには対応していない）。
コンパクト・ポリシーが与えられた場合、IE 6はその内容から、サイトがCookieによって収集・管理する個人情報の種類や、その用途、情報の受領者を評価し、Cookieを無条件で受け入れられるか、制限を加える必要があるか、拒否するかを判定する。要注意と評価される条件は、「ポリシーが以下の表中の『カテゴリ（category）』、『目的（purpose）／受領者（recipient）』からそれぞれ1つ以上の項目を含み、かつ『目的（purpose）／受領者（recipient）』項目がオプトイン／オプトアウト属性を持たない」である。
| カテゴリ（category） | 目的（purpose）／受領者（recipient） |
| PHY（Physical location） ONL（Online location） GOV（Government ID） FIN（Financial information） |
IVA（Individual Analysis） IVD（Individual Decision） CON（Contact Information） TEL（Telephone Promotion） OTP（Other Purposes） SAM（Same policies） OTR（Other Recipients） UNR（Unknown purposes） PUB（Publicly available） |
ざっと表を眺めると、カテゴリとしては、住所（PHY）や電子メール（ONL）、社会保障番号（GOV）、銀行口座情報（FIN）を収集するもの、目的としては個人の趣味や嗜好性を調査するもの（IVA、IVD）、商品プロモーションを目的とするもの（CON、TEL）、受領者としてはサイト運営者自身と配送業者以外の組織に情報が与えられる可能性のあるもの（SAM、OTR）などが、要注意と評価される条件になっている。なおオプトイン／オプトアウト属性が指定された場合は除外されるので、上記の条件を満たすものであっても、ユーザーが明示的にプライバシ情報の使用を許可したり、禁止したりする明確な場面（入力を求めるページなど）が用意されれば、要注意対象からは除外される。具体的に言えば、例えばコンパクト・ポリシーが
PHY OTR
を含むなら要注意サイトで、
PHY OTRo
を含むなら受け入れ可能なサイトということになる。
マイクロソフトは、今述べた要注意対象のCookieをUnsatisfactory Cookieと呼んでいる。「Unsatisfactory」には「不十分な」「不満足な」「意に満たない」という意味がある。IE 6付属のヘルプを見ると、どうやらUnsatisfactory Cookieを「不用意なCookie」と訳しているようだ（これでは何かネガティブなイメージが連想されてしまうだろう）。訳語の善し悪しはともかく、少なくとも技術者にとってこの訳語は分かりにくいので、本稿では誤解を避けるために、「Unsatisfactory Cookie」をそのまま使うことにする。Unsatisfactory Cookieを一言で表現すれば、「ユーザーの明示的な許可または禁止の指示がないのだが、重要な個人情報を収集・調査したり、アクセスしているサイト外の組織に対して収集した情報を提供する可能性があるCookie」ということになるだろう。
 |
 |
 |
検証 |
- Azure Web Appsの中を「コンソール」や「シェル」でのぞいてみる （2017/7/27）
AzureのWeb Appsはどのような仕組みで動いているのか、オンプレミスのWindows OSと何が違うのか、などをちょっと探訪してみよう - Azure Storage ExplorerでStorageを手軽に操作する （2017/7/24）
エクスプローラのような感覚でAzure Storageにアクセスできる無償ツール「Azure Storage Explorer」。いざというときに使えるよう、事前にセットアップしておこう - Win 10でキーボード配列が誤認識された場合の対処 （2017/7/21）
キーボード配列が異なる言語に誤認識された場合の対処方法を紹介。英語キーボードが日本語配列として認識された場合などは、正しいキー配列に設定し直そう - Azure Web AppsでWordPressをインストールしてみる （2017/7/20）
これまでのIaaSに続き、Azureの大きな特徴といえるPaaSサービス、Azure App Serviceを試してみた！ まずはWordPressをインストールしてみる
 |
|
|
|
|
注目のテーマ
Windows Server Insider 記事ランキング
転職／派遣情報を探す
