HN6331
エンジニアが実践する！安全かつ快適にネットサーフィンを楽しむための究極ガイド
My practical approach to surfing the web safely
ethanhawksley・6日前
議論
11件インターネット上には様々なリスクが潜んでいますが、皆さんはどのように身を守っていますか？ここでは、私が日々のネットサーフィンで実践している、利便性を損なわずにセキュリティを最大化するための実用的なアプローチを共有します。
自分は実践的なアプローチとして、Firefox用にMicroVMを用意し、ホスト側で動かすFirefoxインスタンスにはbubblewrapで「ジェイル」を作るようにしてる。もちろん、ここで言及されてる設定オプションもいい感じだね。
メインブラウザ：制限付きFirefox
Mullvad Browser[1]はまさにその例だね。面倒な拡張機能の追加やabout:configいじりをする時間や気力がない一般の人でも、すぐに使い始められる。
あと、ブログの著者がOSのアップデートの重要性に一切触れてないのは意外だった。ブラウザをパッチして強化しても、脆弱性のあるOS上で動かしてたら意味ないからね。
あちこちで脆弱性が発見・悪用される現代の「主要ブラウザベンダー」のセキュリティに携わる人たちを知ってる身としては、信頼できないランダムなJavascriptを自分のマシンで動かすなんて怖くてたまらない。だから今は全マシンでNoScriptを入れてる。
NoScriptは、信頼できるドメインをある程度寛容に登録するようにさえすれば、実はかなり使いやすい。日常的にアクセスするのはJavascriptが必要なコアな10〜20ドメインくらいだし、それらは「信頼できる」組織（銀行や雇用主など）のものだから、すぐに「信頼済み」にしてしまえば後はもう気にしなくて済む。
HNのリンクからクリックするような「その他大勢」のサイトで「このアプリを見るにはJavascriptを有効にしてください」と表示されたら、それは「自分はそのアプリを見たくない」というかなり良いシグナルになってるよ（実際、JSなしでも快適に、あるいはJSなしの方がより快適に閲覧できるサイトがいかに多いかには驚かされるはず）。
NoScriptにサポートしてほしい機能が一つある。「このドメインのHTMLはどのドメインのスクリプトでも読み込める」という意味での「信頼できるページドメイン」としてマークする機能だ（スクリプトを提供しているドメイン自体を信頼するのではなく）。ひょっとしたら機能としてはあるのかもしれないけど、まだ見つけられてないのかも。
しばらくの間「Temporary Containers」というFirefox拡張機能を使ってた。名前の通り、訪れるサイトごとに一時的なコンテナを作ってくれるやつ。特定のコンテナで開くルールをカスタマイズして組み合わせると、すごく便利な環境だったよ。でも、ある時この拡張機能がFirefoxのプロファイルを破損させてしまって、その後も更新が止まっていたから再試行はしなかった。何が原因だったのかはわからないけど、他の拡張機能との組み合わせが悪かったのかも。確か作者の方が亡くなられたはずで、プロジェクトのメンテナーを見つけるのも難しそうだったから諦めたんだ。
今でもインストールはできるけど、報告されてるIssueを見る限り、Firefoxのバージョンが上がるごとに機能が壊れたりバグが増えたりしてるみたいだね。それに、この構成はCookie対策にはなるけど、Javascript由来のセキュリティリスクまで完全に防げるわけじゃないしね。
Firefoxだと上手く表示できない少数のサイト用にchrome-newっていう便利なスクリプトを作って使ってる。使い捨てプロファイルでクリーンなChromiumを立ち上げて、ブラウザを閉じると自動で削除される仕組みだよ。
#!/bin/sh
TMPDIR=$(mktemp -d /dev/shm/chrome-XXXXX)
chromium --user-data-dir=$TMPDIR --no-first-run --no-default-browser-check --disable-features=DefaultBrowserPrompt "$@"
rm -rf $TMPDIR
なぜ著者がFirefoxのパフォーマンスに文句を言ってるのか理解できないな。ラップトップでもモバイルでも毎日使ってるけど、普段見るサイトやHNで見つけたサイトでChromeやBraveと違いを感じたことなんてないよ。
HTML5ゲームとか何か重いものでもやってるんじゃないの？
Firefoxなら「Cookie AutoDelete 3.8.2」というアドオンがおすすめだよ。ドメインを移動・離脱してから指定した時間（デフォルト15秒）経過後にすべてのストレージ（Cookie、IndexedDB、LocalStorageなど）を消去するように設定できる。他にも便利なオプションが色々ある。
もう一つ良いのが「ClearURLs 1.27.3」で、ページ読み込み時にクエリ文字列の怪しいパラメータを削除してくれる。たまにサイトが壊れることもあるけどね。
これ覚えてる。この投稿、セカンドチャンス（再浮上）したみたいだね。（コメントの表示時刻が不正確なのは既知の問題。）
ブラウザを非永続的なVM上で動かせばいいだけだよ。
Librewolf（たまにPalemoon）にUblock originを組み合わせてJavascriptを無効化するのがいい。多くのウェブサイトがかなり高速に動作するようになるよ。