ブラウザ使い分けセキュリティ｜仕事と私用を分けて守れる範囲

仕事用と私用でブラウザを分けたほうがいい、という話は方々で見かける。ただし何がどこまで守られるのかを説明したものは少なく、分けた側は「たぶん安全になったはず」という感覚だけを持つことになる。ブラウザ使い分けセキュリティで実際に減るリスクは限られていて、増えない部分もはっきりしている。この記事では、分けることで減る事故と、分けても減らない事故を並べて、どこまでを手当てとして期待してよいのかを整理する。

分けることで実際に減る事故は3つ

プロファイルやブラウザを分けたときに、目に見えて減るのは次の3つになる。

• 宛先と身元の取り違え。仕事のアカウントで私用のフォームを送る、私用のアカウントで取引先の共有ファイルを開くといった誤りが減る
• 画面共有時の露出。仕事用の窓しか映さないと決められるので、私用のブックマークや開きっぱなしのタブが会議に映り込む可能性が下がる
• 拡張機能の巻き込み。ページの内容を読む権限を持つ拡張機能が、仕事のデータまで見に行く経路が切れる

逆に、分けても減らないものもある。フィッシングのリンクを踏む確率、パスワードの使い回し、端末そのものを盗まれたときの被害、公衆Wi-Fi上の通信の扱い。これらはブラウザの区切り方とは別の層にあり、分けたこととは無関係に残る。

期待の置き所を間違えないことが、この話でいちばん大事な部分になる。ブラウザを分けるのは、外からの攻撃を止める壁ではなく、自分の操作ミスと巻き込み事故を減らす仕切りだと考えたほうが実態に合う。

プロファイルは仕切りであって壁ではない

Chromeのプロファイルは、Cookie・履歴・保存したパスワード・拡張機能・設定をそれぞれ別の場所に持つ。保存場所そのものが分かれるという点で、切り替えメニューで並べるだけのマルチログインとは性質が違う。

Each profile is stored in a separate directory inside the user data directory. 出典: chromium.org

ただし、分かれているのはデータの置き場所であって、実行しているプロセスやOSから見た身元ではない。ここから次のことが導かれる。

• 同じアプリの権限で動いているので、macOSがアプリに与えた権限（カメラ・マイク・画面収録・ファイルへのアクセス）はプロファイルをまたぐ
• ブラウザ本体に脆弱性があった場合、影響はプロファイルの境界で止まらない
• ダウンロード先のフォルダを既定のままにしていれば、仕事のファイルと私用のファイルは同じ場所に落ちる

つまりプロファイルは、間違いを防ぐための仕切りとしては十分に働くが、悪意のあるコードを閉じ込める壁としては設計されていない。会社の情報を扱う端末で本当に閉じ込めが要るなら、macOSのユーザーアカウントごと分けるか、業務用の端末を別に持つかという、もう一段上の分け方になる。

拡張機能が、分けたはずの境界をまたぐ

分けた効果をいちばん壊しやすいのが拡張機能になる。便利さを理由に、両方のプロファイルへ同じものを入れてしまう場面が多いためだ。

拡張機能は、インストール時に求める権限の範囲でページの内容を読み書きできる。「すべてのサイトのデータの読み取りと変更」を許可した拡張機能は、そのプロファイルで開いたすべてのページの内容を扱えることになる。仕事側にも私用側にも同じ拡張機能を入れると、分けた意味のかなりの部分が消える。

運用として決めておくとよいのは次の3点になる。

• 仕事側のプロファイルには、業務に要るものだけを入れる。数を5個以内に抑えると棚卸しが続く
• 権限の表示を入れる前に読む。「すべてのサイト」を求めるものは、用途がそれを必要としているかを確かめる
• 使わなくなったものを消す。開発元が入れ替わって挙動が変わる例があるため、放置した拡張機能は棚卸しの対象にする

Firefoxのコンテナを使う場合も同じ話になる。コンテナはCookieの保管場所を分けるが、拡張機能はブラウザ全体に効く。

Multi-Account Containers lets you keep parts of your online life separated into color-coded tabs. Cookies are separated by container, allowing you to use the web with multiple accounts. 出典: support.mozilla.org

パスワードと自動入力を、どこに置くか決める

分けたあとに一番よく起きるのが、パスワードの置き場所が二重になることだ。ブラウザ内蔵の保存機能に入れた分はプロファイルごとに分かれるが、キーチェーンやiCloudパスワードに入れた分は、どのブラウザからでも候補として出てくる。

結果として、仕事用のプロファイルで私用のサービスの認証情報が候補に出る、という状態が普通に起きる。ここは分ける前に方針を1つに決めておくほうが安全になる。

• 仕事の認証情報は会社が指定する管理ツールに置き、ブラウザには保存しない
• 私用は端末のキーチェーンに寄せる
• 二段階認証のコード生成は、ブラウザの外（スマートフォンや専用アプリ）に置く

二段階認証をブラウザの拡張機能で完結させると、パスワードとコードが同じ場所に集まる。分けた効果を打ち消す配置になるので、別の場所に置いたほうがよい。

会社の管理と個人アカウントが混ざる場所

業務用のGoogleアカウントやMicrosoftアカウントでブラウザにサインインすると、組織側の管理ポリシーが適用されることがある。適用範囲はサインインしたプロファイルになるため、私用のプロファイルまで管理下に入るわけではない。ただし逆向きの混ざり方には注意が要る。

• 私用のプロファイルで業務用アカウントにサインインすると、そのプロファイルが管理対象になり得る
• 端末そのものが管理対象（MDM）の場合、ポリシーはプロファイルの区別なく端末全体へ効く
• 同期を有効にしたまま個人の端末で業務用アカウントを使うと、ブックマークや履歴が組織側の設定に従う

自分の端末で仕事もする場合は、「業務用アカウントは仕事用プロファイルの中だけで使う」という一行を決めておくと、後から切り分けが効く。退職や契約終了のときに、消す範囲がプロファイル1つで済むという実務上の利点もある。

画面共有と、見分けの付かない窓

オンライン会議で画面を共有した瞬間に事故が起きるのは、技術ではなく見分けの問題になる。macOSでは、同じブラウザの2つのプロファイルは同じアイコンで並び、ウィンドウの切り替えでも同じ名前で出る。仕事用のつもりで私用の窓を共有した、という事故はここから生まれる。

対策は地味だが効く。

• プロファイルごとに名前・色・アイコンを変える。作った日にやっておくと、後から悩まなくて済む
• 共有するときは画面全体ではなくウィンドウ単位を選ぶ
• 私用の窓は、会議の前に閉じるか別のデスクトップへ移す

通知の扱いも同じ層の問題になる。macOSの通知はアプリ単位で並ぶため、プロファイルを分けても差出人はブラウザの名前になる。会議中に私用の通知の中身が画面に出る事故を防ぐには、集中モードでアプリごと止めるか、通知の届く主体そのものを分ける必要がある。

棚卸しを、いつ・何に対して行うか

分けた状態は放っておくと崩れる。仕事側に私用のサービスが1つ入り、私用側に業務のブックマークが1つ入り、半年後には両方に同じものが並んでいる。防ぐには、見直す日を先に決めておくのがいちばん効く。

見る対象は4つに絞ってよい。

• 拡張機能。使っていないものを消す。開発元が変わっていないかも一緒に見る
• 保存したパスワード。どちらのプロファイルに何が入っているかを確かめ、置き場所の方針から外れたものを移す
• サインインしたままのアカウント。使わなくなったサービスからはサインアウトしておく
• 許可した権限。通知・位置情報・カメラ・マイクを許可したサイトの一覧を見て、心当たりのないものを取り消す

頻度は、業務で使う端末なら3か月に1回で足りることが多い。四半期の区切りに合わせると忘れにくい。作業自体は慣れれば15分ほどで終わるので、時間より「いつやるかを決めていない」ことのほうが障害になる。

もう1つ、棚卸しと合わせてやっておくとよいのが、ブックマークの書き出しになる。分け方を変えるときも、端末を入れ替えるときも、控えがあれば作業が短くなる。控えの置き場所は、仕事の資料と同じ扱いにする。

端末を手放すときに効いてくる分け方

分けておいてよかったと分かるのは、たいてい終わりの場面になる。退職、契約の終了、端末の入れ替え、修理への持ち込み。このときに「どこまで消せばよいか」が即答できるかどうかで、作業の重さが変わる。

仕事の情報を1つのプロファイルに閉じておくと、消す作業はそのプロファイルの削除で終わる。Cookie・履歴・保存したパスワード・拡張機能の設定が同じ場所にまとまっているためだ。分けていない場合は、履歴の一部を選んで消し、保存したパスワードを1つずつ確認し、拡張機能ごとに残っているデータを調べることになる。同じ作業でも、かかる時間が桁で変わる。

端末を手放す前に確かめる項目は次の3つになる。

• 同期を切ってから消す。同期を有効にしたまま削除すると、削除の操作が他の端末へ伝わることがある
• ダウンロードフォルダを見る。分けていても既定のままなら、ここには両方のファイルが落ちている
• キーチェーンを見る。ブラウザではなくmacOS側に保存された認証情報は、プロファイルを消しても残る

修理に出す場合は、消すのではなく別のユーザーアカウントを用意して渡す方法もある。この判断ができるのも、どこに何が入っているかを分けて把握できているからになる。

窓の単位で分けたときに変わること

ここまで見ると、ブラウザ使い分けセキュリティの弱点は、仕切りが「ブラウザ」か「プロファイル」という粗い単位でしか作れない点にあると分かる。1つのサービスを1つの窓として置き、アプリごとに独立したワークスペースを持たせると、Cookieの保管場所と通知の出所が同時に分かれ、見分けも窓の見た目で付くようになる。

どこまでを窓の単位で分けられるのかは、機能の一覧を見ると輪郭がつかめる。サービスごとの置き場所と権限の扱いをまとめているのができることで、仕事と私用のように用途ごと切り替える単位を扱っているのがワークスペースになる。自分が業務で使っているサービスが対象に入っているかどうかは使えるアプリで先に確かめておくと、導入してから引き返す手間が減る。

同種の道具は複数あり、分離の粒度と料金が違う。会社の費用として通すなら料金と、既存の製品との違いを並べたWaveboxとの比較やRamboxとの比較が判断材料になる。ソースが公開されていることを条件に入れる組織であればFerdiumとの比較が近く、運用上の細かい確認事項はよくある質問に寄せられている。

最後に順番の話をしておく。分ける前に決めるべきなのは道具ではなく、「何を守るか」の一行になる。誤操作を減らしたいのか、画面共有の事故を防ぎたいのか、退職時に消す範囲を明確にしたいのか。守りたいものが決まれば、仕切りをどの単位で入れるかは自動的に決まる。