プライバシーは重要です

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

今日、消費者が懸念する2つの「P」があります。パフォーマンス（performance）とプライバシー（privacy）です。前者への関心が高まっている背景には、モバイル化が進む世界があります。モバイル環境では、メモリ、コンピューティング、ネットワークといったリソースが限られています。後者への懸念は、情報漏えいに関する衝撃的なニュースによって消費者の意識の最前線に押し上げられています。情報漏えいが起きれば、決まって届くのが、あの手紙（またはメール）です。それはまるで「別れの手紙」のようで、受け取ったときの胸の痛みも同じです。

消費者は、利用するブランドがプライバシーとデータの安全性を確保するために、できる限りの対策を講じているという安心感を求めています。より速く、そしてより安全であることを望んでいるのです。

そもそも、セキュアなプロトコルや暗号技術に精通している消費者はほとんどいません。IT担当者でさえ、その違いを説明できないことが少なくありません。しかし、特定の暗号方式が安全でないこと（そもそも暗号方式がセキュアHTTPとどう関係するのか）、CAの信頼の仕組み、中間者攻撃が実際にどのように行われるのかまで理解する必要はありません。消費者が知りたいのは、安全な取引に第三者が介入したり、入力内容を逐一監視されたりしないよう、企業ができる限りの対策を講じているということだけです。

そこで登場するのがPFS、Perfect Forward Secrecyです。

もちろん、PFSは暗号方式やアルゴリズムではなく、鍵を扱うための手法です。セッションごとに一度だけ生成される一時的な（つまり使い捨ての）鍵を使用します。アプリセキュリティの観点では、Heartbleedの公表後、秘密鍵が「盗まれ」、通信内容が復号される可能性が生じたことで、PFSの重要性が高まりました。

PFSは、パーティーで参加者ごとに発行される1回限りのパスコードによく似ています。全員が同じパスワードを使うのではなく、一人ひとりに固有の非公開パスワードが発行され、主催者だけがその真正性を検証できます。つまり、Bobが自分のパスワードをAliceに教えたとしても、Aliceがそのパスワードを使い回しているため、彼女が招待されていないことが分かります。

その仕組み自体よりも、消費者データのプライバシー確保に真剣に取り組んでいるという安心感を消費者に与えることの方が重要です。この点について、2016年にBaymard Instituteが実施した調査を見てみましょう。購入手続き中に離脱した理由として、18%が「クレジットカード情報をこのサイトに預けることに不安を感じた」と回答しています。同じ調査では、サイトに表示されるさまざまな「シール」に対する信頼感も検証されました。その結果、2016年に最も信頼感を与えたのは、意外にもトラストシールであり、SSLシールではありませんでした。また、これらのシールは、必ずしも業界標準に準拠していたり、広く認知されていたりしたわけではありません。その多くは、消費者データと取引の安全性を確保するために企業が行っている取り組みを、単にアイコンで表したものにすぎませんでした。

Perfect Forward Secrecy（PFS）は、その「個別性」により、取引の安全性を高める技術的手法です。PFSを採用し、テクノロジーによって取引の安全性を高める対策を講じていることを消費者に伝えることで、信頼をさらに高め、購入手続きの途中離脱が収益に及ぼす悪影響を軽減できる可能性があります。

もちろん、企業側が懸念するのは、安全性の向上によってパフォーマンスが低下する場合が多いことです。セッションごとに鍵を生成すると、インフラストラクチャとアプリケーションに大きな負荷がかかる可能性があります。その結果、アプリの動作が遅くなり、消費者の不満を招くだけでなく、収益の損失につながることも少なくありません。

この問題に対処するには、適切なサービスを使用してPFSを実装することを推奨します。具体的には、サーバーの上流に配置され、消費者の安全を確保するために必要な負荷の高い暗号計算の処理に特化することで、優れた拡張性とパフォーマンスを実現するサービスです。このような専用のセキュリティサービスは、カスタムハードウェアと市販ハードウェアの両方に搭載された専用ハードウェアを活用して計算を高速化し、パフォーマンスを向上させることで、消費者により安全で高速なエクスペリエンスを提供できるよう設計されています。

PFSは、消費者だけでなく企業資産の保護にも有効な手段です。個人情報の取得にかかるコストを高めることで、攻撃者に狙われにくくなります。同時に、最新技術を活用して個人データの機密性を維持し、その安全性を重視していることを消費者に示せます。

プライバシーは重要ですが、パフォーマンスも同様に重要です。安全性のために速度を犠牲にする必要はありません。実装時に十分配慮し、アーキテクチャ上の適切な位置に適切なサービスを配置すれば、より高度なセキュリティ基準を採用してもパフォーマンスを維持できます。

著者について

Lori Mac Vittie特別技術者兼チーフエバンジェリスト | F5

Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。

Lori Mac Vittieのその他のブログ記事