[news] Cookie 関連

Cookie は、web server が web browser に対して指定したデータを保存しておく仕組みです。

このデータを使用することで web server は、接続している web browser を識別・管理することが可能になります。特にオンラインショップの決算では必要不可欠な技術とされています。

Cookie の特徴としては以下の通り。

幅広い使用用途
Cookie は特定の web browser を認識出来る特徴を生かし「安全なオンライン決算（認証システム）」、「ユーザーの固有情報の保存（サービスのパーソナライズ）」等に利用されています。
サーバー管理者なら誰でも読み書きできる情報
web browser は、接続した web server からの要求を全て聞き入れ、Cookie の情報を web server へ渡します。例えば example.com が読み書きした情報は example.com だけが操作できるというわけではなく、他のサイト (examle.net) からも example.com の Cookie を読み書きすることが可能なのが Cookie の仕様です。
悪意のあるユーザーのサーバーに接続することによる「Cookie の盗難」やユーザーの情報を常に追いかけたいマーケティング会社による「ネット上でのスパイ行為」等、多くの問題点が指摘されています。
Cookie の安全性はサイト運営側次第
Cookie には様々な情報が記載されていますが仮に悪意のあるユーザーから Cookie が盗まれた場合、Cookie の安全性はそのサイト運営次第になります。例えば、Cookie 内の情報にパスワード等のユーザー情報が暗号化されていない状態で運用されていたり、Cookie が一致すればいつでもログインできる状態で運用されていたりすると Cookie が盗まれたときの被害は甚大になります。
web browser での制御は必須
最近の web browser では Cookie の取扱についての設定が可能になっています。例えば Internet Explorer 6 では『ツール(T)』→『インターネットオプション(O)...』→『プライバシー』で Cookie の受け入れについての制御が可能です。どの web browser もデフォルトの状態では Cookie が守られていない設定になっていることが多いです。これはユーザーへの簡便さに拠るものと考えています。セキュリティ面が疎かになっても普段動作する web サイトが見れなくなるよりマシ、と考えるユーザーは思いのほか多いのです。
設定は自分で見直す癖をつけましょう。
<[news] web Browser 関連>

オンライン広告と Cookie
多くのオンライン広告業者は、Cookie を利用しユーザーのアクセス行動を追跡しています。Cookie を付加するタイミングとしては、バナー広告を表示したり、無償ウェブページを閲覧したり、HTML メールでの閲覧等が挙げられています。これらの Cookie を明示的に食べさせる仕組みとして Web バグ（Webビーコン）なる手法も存在しています。
サイト間をまたいだ広範囲の追跡行為は、プライバシー侵害で大きな問題とされています。
<オンライン広告関連>
<HTML メール関連>
<スパイウェア(Spyware) 関連>
狙われる Cookie
Cookie を盗む技術は年々巧妙化しています。クロスサイト・スクリプティングによる Cookie 盗難は最たるもので、フィッシング詐欺にも応用されているようです。
<クロスサイト・スクリプティング(XSS)関連>
<フィッシング詐欺関連>

お勧め

[260971 - cookie について(support.microsoft.com)]
[Internet Explorer 6 で Cookie を管理する方法(support.microsoft.com)]
Microsoft の Cookie に関する情報。
[とほほのCookie入門(とほほのＷＷＷ入門)]
とほほさんの Cookie 情報。

[HTTP Cookies(Netscape.com)]
Cookie の仕様書。

お勧め本

{HTTP & web 基礎から身につくネットワーク技術シリーズ (4)(Amazon アソシエイト・プログラム)}
[http://bpstore.nikkeibp.co.jp/item/main/148222127180.html]
日経 NETWORK の記事を纏めた書籍。Cookie についての情報は専らこの本を利用しています。専門書にはない分かりやすさと実証例が参考になるのでは。このシリーズは 4 作目ですが、どれも出来が良いです。

用語、特集

P3P (Platform for Privacy Preferences)

[実験：IE 6のプライバシ管理機能 2．より高機能なプライバシ管理を可能にするP3P(@IT)]
IE6 で実装された P3P についての記事。お勧め。
[The Platform for Privacy Preferences 1.0 (P3P1.0) Specification 日本語訳(財団法人インターネット協会)]
P3P 1.0 の日本語訳。
[P3P Public Overview(W3C)]
本拠地？

[ZDNN：IBM、プライバシー管理を自動化する言語発表(ZDNet JAPAN)] (03.07.12)
[米IBMがプライバシー保護を自動化するための言語「EPAL」を発表(INTERNET Watch)]
EPAL(Enterprise Privacy Authorization Language) 発表へ。企業向けの P3P のようなものとのこと。
[ZDNN：プライバシーポリシーは誤解と混乱の元――米大学調査(ZDNet JAPAN)] (03.06.26)
ロイターの記事。「「プライバシーポリシーを掲載しているサイトは、個人情報の販売や交換をしない」。調査対象の半数以上がこのような誤解をしていた。」とのこと。プライバシーポリシーのコピペを貼り付けているだけのサイトもどうかと思うが、それを鵜呑みにする（というか読んでいない）ユーザーも如何なものかと。
調査を行った教授は P3P を勧めているが、それとてそのサイトが正しい情報を公開していて初めて役に立つのであって、現状、それは無理そう。プライバシーポリシーをひん曲げてでも悪い情報は流さない。これ IT 営業の基本。
[ZDNN：P3Pとプライバシーの未来は――P3P仕様作成者が語る(ZDNet JAPAN)] (02.11.28)
[P3Pはプライバシーを保証するものではない(ZDNetエンタープライズ)] (02.05.15)
[個人情報保護規格「P3P 1.0」がW3C勧告として公開(INTERNET Watch)] (02.04.17)
[P3P 1.0 の公開について (W3C 勧告)(W3C)]
[かわいい小鳥が鳴いてプライバシー情報お知らせ - IE常駐、無料で利用可能(MYCOM PC WEB)] (02.04.08)
[AT&T Privacy Bird]
AT&T よりP3P に基づいたプライバシー保護が出来ているかどうかチェックするツールが公開されています。この小鳥がかわいいかについては少々疑問だけど、興味有り。P3P 対応しているかどうかの確認ツールとしても使えそう。
[http://itpro.nikkeibp.co.jp/members/NIT/ITARTICLE/20011112/1/] (01.11.12)
[http://itpro.nikkeibp.co.jp/members/NIT/ITARTICLE/20011112/2/]
IT Pro の記事「国内でもP3P対応サイトが登場標準化の遅れなどにより普及はまだ先」。P3P認定サイトの BIGLOBE が例に挙がっています。
[BIGLOBEがP3P対応を表明──個人情報保護へ一歩(ZDNN)] (01.09.10)
[個人情報規格「P3P」が公開テスト。MicrosoftはWhistlerでサポート(INTERNET Watch)] (01.06.22)
[IE 6のP3P機能に合わせ，対応に追われるオンライン広告業界(ZDNN)] (01.06.19)
[IE 6.0のP3P導入計画は賛否両論(ZDNN)] (01.03.22)
[米Microsoft、「IE 6」に搭載するプライバシー保護ツールの詳細を明らかに(INTERNET Watch)]
IE6 に搭載されると思われる P3P 技術について。
[プライバシー保護技術P3Pは特許侵害していないとの見解をW3Cが公表(INTERNET Watch)]

[ウェブユーザーはクッキーに食傷気味--米調査(CNET Japan)] (05.03.15)
[ネット利用者の58％がCookie削除経験あり。39％は毎月削除～米Jupiter調査(INTERNET Watch)]
[http://nikkeibp.jp/style/biz/marketing/orita/050518_cookie/]
[クッキー掃除の頻度はどの位？(Slashdot.jp)]
[クッキーの使用は合法--修正が進められるスパイウェア規制法案(CNET Japan)] (05.02.04)
スパイウェア規制法案の修正案では Cookie による追っかけは問題無い見解にしたいらしい。同一サイトによる追っかけは特に気にならないけど、別のサイト間に渡った追っかけは、情報が一箇所から漏れた時の危険性から考えて、もう少し検討した方が良い気も。
[Webバグは悪玉じゃない」、米ダブルクリックがブロック機能に反論(IT Pro)] (04.09.29)
Outlook Express に搭載された web バグのブロック機能についてダブルクリックが反論しているみたい。ユーザーのプライバシーがユーザーの予想以上に損なわれていることを証明しているようなもののような。
Cookieによる個人情報収集について「包み隠さず正直に情報を公開し、明確なポリシーを示すことで、顧客企業と消費者の信頼を保つことができた」とあるが、ほんとかよ。Spyware 検索で見つかってはじめて知るユーザーも相変わらず多いんじゃないのか。その「明確なポリシー」とやらでユーザーに Cookie を提出するように説明すればいいんじゃない？私は銘柄指定でブロックしているけど :-P。
spam が web バグを悪用していることについては「Webビーコンではなく、スパム・メールが横行していることに問題がある」とさ。ハイハイ、そうですね。
HTML メールを無防備に開いているユーザーにとって良い機能を搭載しましたね、というのがこれを読んだ感想。
[わかりにくいInternet ExplorerのCookie専門用語(IT Pro)] (04.06.01)
[スパムに潜む小さなスパイ(ZDNN)] (02.04.14)
Cookie を利用したセキュリティについて再燃しているようです。くれぐれも HTML メールの取り扱いには注意を。
[IPA、「クロスサイトスクリプティング脆弱性」を警告(INTERNET Watch)] (01.10.24)
Cookie の脆弱性の問題について。
[クッキーでホームページ訪問者は管理されている？(ZDNet Helpdesk)] (01.10.17)
Cookie によるプライバシーの流失についての記事。Cookie の仕組みについても説明があります。お勧め。

[news] Cookie 関連

お勧め

お勧め本

用語、特集

P3P (Platform for Privacy Preferences)

関連記事