家の「勝手口」を物理的に塞ぐ。Permissions-Policyでブラウザを守る方法
こんにちは！日々、システムの要塞化と格闘しているセキュリティエンジニアです。
今日は、Web開発を始めたばかりの方や、セキュリティって何から手をつければいいの？と悩んでいる皆さんに、「Permissions-Policy（パーミッションズ・ポリシー）」という、ちょっと地味だけど非常に強力な防犯ツールについてお話しします。
いきなり難しい専門用語を並べるのはやめましょう。まずは、皆さんの身近な「家」に例えて考えてみますね。
—
ブラウザの機能は「家の便利な道具」
Webサイトを作るとき、カメラで写真を撮ったり、マイクで音声を拾ったり、位置情報を使ったりしますよね。これらは、言ってみれば「カメラ」や「マイク」といった、家にある便利な道具です。
しかし、もし泥棒（悪意ある攻撃者）があなたの家の窓から侵入（XSS攻撃など）したとき、この便利な道具が誰でも自由に使える状態だったらどうなるでしょう？
泥棒は、あなたの家のカメラを勝手に使って部屋を覗き見たり、マイクで会話を盗聴したりするかもしれません。これが、Webサイトにおける「セキュリティインシデント」の正体です。
Permissions-Policyは「持ち出し禁止リスト」
この被害を防ぐための最強の防犯対策が、Permissions-Policyです。
これはブラウザに対して、「このサイトでは、カメラもマイクも位置情報も、そもそも使う予定がないから、誰がなんと言おうと絶対に使わせないでね！」と指示を出す仕組みです。
たとえ、攻撃者があなたのサイトに悪意のあるコードをねじ込んだとしても、ブラウザが「いや、このサイトではカメラは禁止されているので動きません」と門前払いしてくれるようになります。これが「被害を最小化する」という考え方です。
—
さあ、実際に設定を書いてみましょう！
設定はとても簡単です。Webサーバー（NginxやApacheなど）がブラウザに送る「HTTPレスポンスヘッダー」というものに、一行書き加えるだけです。
設定例：全部の権限をオフにする（一番安全！）
多くのWebサイトでは、カメラやマイクを使う機能なんてそもそもありませんよね。その場合は、こう書きます。
すべての機能を「なし（none）」にする設定
Permissions-Policy: camera=(), microphone=(), geolocation=(), usb=(), payment=()
- `camera=()`：空っぽのカッコは「誰も使っちゃダメ」という合図です。
- これだけで、泥棒が侵入してカメラを起動しようとしても、ブラウザがガッチリガードしてくれます。
設定例：特定の機能だけ許可する
もし、どうしても位置情報だけは使いたいという場合は、こう書きます。
自分自身のドメイン（self）だけ位置情報を許可し、他はすべてオフ
Permissions-Policy: geolocation=(self), camera=(), microphone=()
- `self` と書くと、「このドメインのページからなら許可するよ」という意味になります。
—
なぜこれが「プロの守り方」なのか？
セキュリティの世界には「多層防御」という言葉があります。
1. 入り口を塞ぐ（XSS対策など、攻撃されないようなコードを書く）
2. 万が一入られても暴れさせない（Permissions-Policyで機能を制限する）
たとえ完璧なプログラムを書いたつもりでも、世の中には思いもよらない脆弱性が見つかることがあります。そんな「万が一」の事態に備えて、「そもそもその機能自体をブラウザ側で無効化しておく」という考え方は、現場で戦うエンジニアにとって、最後の砦とも言える重要なテクニックなんです。
一歩ずつ、強固なサイトへ
まずは今のWebサイトで「本当にカメラやマイクが必要かな？」と確認してみてください。もし不要なら、今すぐこのヘッダーを追加しましょう。
セキュリティ対策は、一気にすべてを完璧にする必要はありません。このように、小さな設定を一つずつ積み重ねていくことが、結果として最も堅牢なシステムを作り上げる近道になります。
今日から皆さんも、ブラウザの「勝手口」をしっかりロックして、安心できるサイト作りを目指していきましょう！応援しています。
コメント