図書館の PC や借りたノート PC しか使えないときに、 アカウントへログインする必要が生じるかもしれません。 その端末にはブラウザのデータが残ったり、確認できない ソフトウェアが動いていたりする可能性があります。 重要なアカウントには、自分で管理する端末を使うのが 最も安全です。やむを得ない場合は、端末に残る情報を 減らす方法と、残る危険を把握しておきましょう。
共有端末が必ずしも侵害されているわけではありません。 しかし、設定を信用できるとも限りません。パスワード、 ワンタイムコード、ログイン中のセッションは、それぞれ 別の方法で漏れるおそれがあります。この記事では、 プライベートウィンドウ、パスキー、ログアウト、 遠隔ブラウザの役割を整理します。どの方法も、 信頼できない端末そのものを安全にはできません。
端末に残る情報と観測される情報
入力した内容。端末が侵害されていれば、 キー入力や画面の内容を記録され、パスワードやワンタイム コードが漏れる可能性があります。CISA は、 ホテルの共用 PC でキー入力を記録する不正ソフトが見つかった事例を 報告しています。公共の端末すべてに不正ソフトがある という意味ではありません。遠隔ブラウザを使っても、 手元の OS からキー入力を隠すことはできません。
保存した認証情報。他人の端末で パスワードの保存を許可すると、ブラウザのプロファイルや パスワード管理機能から利用できるようになる可能性が あります。実際の保護方法はブラウザや OS のアカウントに よって異なります。保存の提案は断り、管理できない端末で パスワードマネージャーや自分のブラウザプロファイルに ログインしないでください。
セッションと端末内のデータ。サイトは Cookie などの認証情報を使ってログイン状態を保ちます。 ログアウト時にはサイト側のセッションが無効になるべき ですが、実装はさまざまで、盗まれた情報が失効まで 使える場合もあります。 OWASP は、盗まれたセッション Cookie が強い認証をすり抜ける理由を説明しています。 プライベートウィンドウを閉じると履歴やサイトデータは 残りにくくなりますが、侵害された端末上で開いている セッションまでは守れません。
クリップボードとダウンロード。コピーやダウンロードをした内容は手元の端末を通り、 そのソフトウェアや利用者に保存される可能性があります。 プライベートブラウジングでもダウンロードファイルは 自動では消えません。 Chrome の説明でも、シークレットモードで保存したファイルとブックマークは残ります。 状態を確認できない端末で秘密をコピーしたり、機密ファイルを 保存したりするのは避けましょう。
共有端末を使う三つの場面
公共の PC。多くの人が利用するため、 ソフトウェアや前の利用者の操作を自分では確認できません。 適切に管理されている場合もありますが、重要なアカウント へのログインには見極めにくい危険が伴います。可能なら 自分の端末を使えるまで待ちましょう。急ぐ場合は操作を 必要最小限にし、後で信頼できる端末からアカウントを 確認します。
友人のノート PC。持ち主を信頼していても、 ブラウザの設定まで分かるとは限りません。通常の プロファイルには拡張機能、保存済みのアカウント、 自動入力の設定があるかもしれません。ゲストウィンドウか プライベートウィンドウを使い、パスワードの保存は断ります。 作業後はログアウトしてすべてのプライベートウィンドウを 閉じ、ダウンロードしたファイルを削除します。端末に 残る情報は減らせても、すでにある不正ソフトからは 守れません。
同僚の業務用ノート PC。会社が ブラウザの規則、通信の検査、端末の監視を設定している 場合があります。すべてのキー入力が記録されるという 意味ではありませんが、私的な閲覧が組織の方針に よって見える可能性はあります。個人のアカウントには、 できるだけ自分の端末と回線を使いましょう。
各対策にできること
| 対策 | 役立つ点 | 防げないこと |
|---|---|---|
| ゲストまたはプライベートウィンドウ | すべて閉じた後に残る履歴やサイトデータを減らす | 閲覧中の入力内容は守れず、ダウンロードも消えない |
| 自分の端末にあるパスキー（対応する場合） | 他人のキーボードで再利用できるパスワードを入力せずに済む | 共有端末で開いたログイン済みセッションは悪用され得る |
| ログアウトとウィンドウの終了 | サービス側で無効化されれば、その後のセッション利用を抑える | すでに取得された情報は消せない |
| 信頼できる端末からセッションを確認 | 残っているアクセスを取り消せる | 持ち出された情報のコピーは消せない |
| 物理セキュリティキー | サービスが対応すればフィッシングに強いログインができる | ログイン後に侵害されたセッションは守れない |
| 遠隔ブラウザ | 訪問先のページを手元の端末から離して実行する | 侵害された端末では入力内容や遠隔サービスへの接続が見られ得る |
パスキーやセキュリティキーはログイン時の保護に 役立ちますが、その後のセッションの盗難まで防ぐわけでは ありません。 FIDO は別の端末にあるパスキーでログインする方法を説明しています。 ただし、サイト、ブラウザ、端末の対応が必要です。 ゲスト端末に挿したキーが遠隔ブラウザでも使えるとは 限りません。セッションの盗難については 関連記事を参照してください。
Google は他人の端末ではゲストウィンドウやプライベートウィンドウを使うよう勧めています。 これによりブラウザ内に残る情報は減りますが、 侵害されたキーボード、画面、OS、ネットワークに対する 保証にはなりません。
遠隔ブラウザで変わること
遠隔ブラウザは別のマシンで訪問先のページを実行し、 その画面を手元のブラウザに届けます。Browser.lol では、 訪問先サイトとそのセッション Cookie は遠隔ブラウザ側で 扱われます。ページの実行場所を共有端末から分けられますが、 共有端末が通信経路から外れるわけではありません。 キー入力やポインター操作はそこから始まり、遠隔セッションへ 送られます。端末上の不正ソフトや画面を見ている人に、 パスワード、コード、表示中のアカウント情報を 見られる可能性は残ります。
遠隔ブラウザを使うと、訪問先サイトの通常の Cookie を 手元のブラウザプロファイルに保存せずに済む場合があります。 ただし、手元の端末は Browser.lol への接続に必要な情報を 扱い、履歴にもサービスへのアクセスが残る可能性があります。 保存した遠隔プロファイルにはブラウザの状態が残り得ます。 一時的なセッションでは保持方法が異なり、訪問先や サービス側にも独自の記録が残る場合があります。
この分離は、見知らぬページを調べるときに役立ちます。 しかし、信頼できない端末から重要なアカウントへ ログインする際に、自分の端末の代わりにはなりません。 遠隔ブラウザを使っているという理由で、他人の PC に パスワードマネージャーのマスターパスワードを 入力しないでください。
安全性を考えた手順
自分の端末を使えない場合は、扱う情報を必要最小限にし、後で信頼できる端末から確認します。
- 1
ログインを後回しにできないか考える
銀行、メール、パスワードマネージャーなど重要な アカウントには、自分の電話や PC を使ってください。 端末の設定がおかしい、または改変を疑う理由があるなら、 そこでのログインは避けます。 - 2
ブラウザの利用環境を分ける
やむを得ずログインするなら、ゲストウィンドウか プライベートウィンドウを開き、確認済みのアドレスへ 直接進みます。パスワードの保存は断り、機密ファイルを ダウンロードせず、共有端末でパスワードマネージャーを 開かないでください。 - 3
対応する中で最も安全なログイン方法を選ぶ
自分の電話に保存したパスキーなら、共有端末で再利用 できるパスワードを入力せずにログインを承認できる 場合があります。サイトとブラウザが対応している ことを確認し、アドレスと承認画面をよく見てください。 多要素認証はログインを守りますが、すでに侵害された セッションは守れません。遠隔ブラウザで不審な ページは調べられても、他人の端末での入力が 安全になるわけではありません。 - 4
ログアウトし、後でアクセスを確認する
アカウントからログアウトし、ゲストウィンドウや プライベートウィンドウをすべて閉じ、ダウンロードした ファイルを削除します。遠隔ブラウザを使った場合は、 そのセッションも終了します。後から自分の端末で アカウントの利用履歴を確認し、覚えのないセッションを 取り消しましょう。 Google はアカウントのセッションを確認してログアウトする方法を説明しています。
