「レジデンシャルプロキシは安全か」という問いは、実際には一枚のコートをまとった二つの質問である。一つ目は、自分にとって安全かという問いであり、これは自分が管理していないインフラや接続をトラフィックが通過することを踏まえたものだ。二つ目は、倫理的な意味で安全かという問いであり、プールを構成する家庭回線の持ち主たちが、そこに参加することに同意していたかどうかという問題である。どちらも率直な答えに値し、正直に言えば、リスクは現実に存在し、特定の箇所に集中しており、その所在さえ把握すれば概ね管理可能である。
プロキシが見えるものと見えないもの
まずは仕組みから始めよう。ここでの不安の多くは、大げさすぎるか、的外れな方向に向けられているかのどちらかだからだ。
プロキシ経由でHTTPSのページをリクエストすると、クライアントは宛先への暗号化トンネルを開き、プロキシはその暗号化されたバイト列を転送する。暗号化はプロキシではなく宛先で終端するため、プロキシはページの内容もフォームの入力内容も、トンネル内の何一つ読み取ることができない。これは公共のWi-Fi上であなたを守っているのと同じ性質である。
プロキシが見えるのはメタデータである。どのホスト名に接続したか、いつ、どのくらいの頻度で、どれだけのデータが移動したか、そしてどの出口経由だったか。これは決して些細なことではない。運用の甘いプロバイダであれば、あなたが何を、どこから収集しているかの全体像を組み立てることができ、競争情報の収集業務にとっては、ページ内容が一切露出していなくても商業的に機微な情報となりうる。
これが完全に変わるのがプレーンなHTTPの場合である。TLSがなければ、中間者はすべてを見て、書き換えることさえできる。だからこそ最も重要な唯一の原則は、機微な情報は、プロキシ経由であろうとなかろうと、必ずHTTPSで送るべきだということである。
本当の危険がどこにあるか
リスクは均等に分布しているわけではなく、被害の大半は一つのカテゴリに起因する。
無料で審査を経ていないプロキシが真の危険源である。無料のプロキシには何らかの形で対価が支払われる必要があり、よくある手口は、トラフィックデータをログに取って売却すること、広告を挿入または差し替えること、クライアントが許容する場合にTLSを剥がすこと、暗号化されずに送信されたものから認証情報を収集することなどである。オープンプロキシのリストはさらに悪く、誰が運営しているのか全く分からない。無料プロキシと有料プロキシにおける議論は通常、信頼性を軸に語られるが、セキュリティの観点からの主張の方がより強い。商用プロバイダであれば契約があり、特定できる相手方があり、相手側にも失うものがある。
不透明な調達経路が二つ目である。プロバイダがそのIPアドレスの調達元を説明できないのであれば、それは二つの側面で問題となる。倫理的には、接続を利用されている本人たちがそれを知らない可能性がある。実務的には、インフォームドコンセントなしに組み上げられたプールはより強くフラグを立てられる傾向があるため、法務チームを不安にさせるのと同じ不透明性が、パフォーマンスの悪化をも予測させる。だからこそ倫理的な調達は、道徳の問題であると同時に商業上の問題でもある。
自分側での認証情報の扱いが三つ目であり、これは完全にあなたが管理できるものである。プロキシの認証情報は、有料の帯域幅へのアクセスを許可する秘密情報である。リポジトリにコミットされたり、コンテナイメージに焼き込まれたり、チャットで共有されたりすれば、それはあなたの費用で誰か他人のリソースとなり、通常はアラートとしてではなく、説明のつかない消費量として表面化する。
倫理の問題を率直に述べる
レジデンシャルプロキシが機能するのは、実在する人物の家庭回線があなたのリクエストを運んでいるからである。それが許容できるかどうかは、その人が知った上で同意していたかどうかに完全にかかっている。
正当なネットワークは、開示された仕組みを通じてIPアドレスを調達する。典型的にはアプリやSDKであり、参加者は自分の接続が共有されることを知らされ、見返りを受け取り、離脱することもできる。不当なものは、人々が理解しないままインストールしたバンドルソフトウェア経由で、あるいはさらに悪くマルウェアを通じて調達する。この違いは仕様書には現れず、プロバイダがその質問にどう答えるかに現れる。だから直接聞き、曖昧さそのものを答えとみなすべきである。
これはあなたにとっても下流の結果をもたらす。もし収集作業が、所有者が一度も同意していない接続を経由しているなら、それはあなたのサプライチェーンに関する事実であり、サプライヤーを監査したり、データの出所について説明を求められたりするような組織であれば重要な問題となる。それは、収集する内容に適用されるGDPRの考慮事項と並んで考えるべきことである。
自分側のリスクを減らす
主なものは6つの実践でカバーできる。
すべてにHTTPSを使う。 プロキシに特有のアドバイスではないが、これがメタデータの問題を唯一の問題にとどめるための制御である。認証情報、トークン、個人データを、どんな仲介者経由であってもプレーンなHTTPで送ってはならない。
ルーティングの必要がないものはルーティングしない。 プロキシは、異なる発信元を必要とする対象に到達するためのものである。社内サービス、自社のAPI、地理とは無関係な認証済みセッションは直接接続すべきであり、それにより露出とコストの両方を減らせる。
プロキシの認証情報は秘密情報として扱う。 シークレットマネージャー、実行時の環境変数、可能であれば環境ごとに異なる値、そして古い値を無効化する前にクライアント側を更新するローテーション手順が必要である。古いパスワードを保持したままのクライアントは、それが変更された瞬間から失敗し始めるからであり、これが407のシナリオである。
ゲートウェイに到達できる自社システムを制限する。 レジデンシャル製品は送信元IPではなく認証情報で認証を行うため、制御はあなたの側にある。どのワークロードが外部と通信できるかを制限するegressルールやネットワークポリシーを設ければ、漏洩した認証情報が他所からは使いにくくなる。このトレードオフはホワイトリストとアクセスで扱われている。
消費量を監視する。 説明のつかない帯域幅消費は、認証情報が漏洩したことを示す最も明確なシグナルであり、それはベースラインと照らし合わせて初めて見えるものである。だからこそプロキシのKPIにあるように、プロジェクトごとに使用量を追跡する理由がもう一つ増える。
プロバイダを審査する。 IPアドレスがどのように調達されているか、参加者が同意し、離脱できるかを尋ねる。何がどれだけの期間ログに残されるかを尋ねる。どの法域が適用されるかを尋ねる。SLAと稼働率にあるように、公開されたステータスページとインシデント履歴があるかを尋ねる。書面で答えることに抵抗のないプロバイダは、その答え自体とは別に有益なことを示している。
プロキシが守ってくれないもの
これは両方向に誤解されがちなので、明示しておく価値がある。
プロキシはリクエストの見かけ上の発信元を変える。しかし、その後にログインしたり、識別可能なCookieを持ち歩いたり、特徴的なフィンガープリントを提示したりすれば、それらはアドレスとは無関係にあなたを識別するため、匿名化にはならない。それ自体では何も暗号化しない。暗号化を行うのはTLSである。VPNでもない。デバイスの他のトラフィックを保護するわけではないという点で、これはレジデンシャルプロキシとレジデンシャルVPNの違いである。
そして、許可される行為の範囲を変えるものでもない。サイトの利用規約の範囲内で公開データを収集することは通常の業務活動であり、プロキシは禁止された行為を許可されたものに変えるわけではなく、その結果からあなたを守ってくれるわけでもない。これはウェブスクレイピングは合法かにおける論点である。
セキュリティレビューのための簡易チェックリスト
プロキシ経由のトラフィックはすべてHTTPSか。認証情報はローテーション手順のあるシークレットマネージャーに保管されているか。プロキシの使用は必要なワークロードに限定され、それ以外はegress制御で制限されているか。消費量はベースラインと照らし合わせて監視されているか。プロバイダは調達経路と同意モデル、ログと保持期間、法域について説明できるか。公開されたインシデント履歴はあるか。そして、どのように到達するかとは無関係に、収集している内容自体が適用される規則の下で適切なものか。
結論
レジデンシャルプロキシの安全性は、選んだプロバイダと、自分が実践する衛生管理次第である。HTTPSであれば、プロバイダが見るのはコンテンツではなく宛先であるため、メタデータの問題は現実ではあるが範囲は限定的であり、深刻な危険は、あなたのトラフィックで何かをすることが事業モデルになっている無料で審査を経ていないサービスにある。調達経路は最も重要な問いであり、かつ仕様書では答えられない問いでもあるので、それを尋ね、はぐらかしを失格の理由とみなすべきだ。不透明なプールはパフォーマンスも悪いことを忘れずに。自分側では、認証情報をシークレットマネージャーに保管し、それを使えるシステムを制限し、消費量を監視し、ルーティングが必要なものだけをルーティングする。そして、プロキシが何でないかを忘れないこと。暗号化ではなく、匿名性でもなく、許可でもない。
特定のネットワークに対してこのチェックリストを試したいのであれば、レジデンシャルプロキシがその製品であり、GB単位の料金体系と文書化されたゲートウェイを備えている。上記の審査すべき質問は、購入前にどのプロバイダにも投げかける価値のあるものそのものである。