ハクソク

世界を動かす技術を、日本語で。

Firefoxの強化 - ブラウザのプライバシー向上のためのチェックリスト

268日前原文(andrewmarder.net)

概要

  • Firefoxのプライバシー強化設定と推奨拡張機能のチェックリスト
  • BraveよりFirefoxを選ぶ理由の解説
  • 基本設定・拡張機能・高度な設定の具体的手順
  • 設定変更による利点と注意点の説明
  • コメントで意見募集の案内

Firefoxプライバシー強化チェックリスト

  • Firefox は Mozilla が開発する非営利のオープンソースブラウザ
  • Chromium ベースでない点や オープンソース推進 を評価
  • Braveも選択肢だが、個人的には Firefox を推奨

基本プライバシー設定

  • 右上の メニューボタン（三本線） から「設定」を開く
  • 「検索」タブで 既定の検索エンジン を DuckDuckGo 等のプライバシー重視サービスに変更
  • 「プライバシーとセキュリティ」タブで HTTPS-Onlyモード を 全ウィンドウで有効 に設定
  • テレメトリー無効化 ：「Firefoxデータ収集と使用状況」セクションの全てのチェックを外す
  • 強化型トラッキング防止 を「 厳格」に設定 ・特定サイトで不具合が出た場合はアドレスバーのシールドアイコンで個別無効化可能

推奨拡張機能

  • uBlock Origin ：広告やトラッキングスクリプトをブロック、表示速度向上とプライバシー保護
  • ClearURLs ：URLからトラッキング要素を自動削除、さらなる追跡防止
  • Privacy Badger （Electronic Frontier Foundation提供）：リストに頼らず挙動からトラッカーを学習・自動ブロック

高度な設定（about:config）

  • アドレスバーに about:config と入力し、警告を承諾して進む

  • 設定変更はFirefoxの動作やセキュリティに影響する場合があるため注意

    • Cookieのファーストパーティ隔離 ・privacy.firstparty.isolateをtrueに設定 ・サイト間追跡防止だが、一部のシングルサインオン機能が動作しなくなる場合あり

    • 指紋採取耐性 ・privacy.resistFingerprintingをtrueにするとブラウザの特異性が低減 ・一部サイトの表示崩れやBlueskyで画像アップロード不可等の不具合が発生したため、現在はfalseに設定

まとめ

  • このチェックリストを実行することで Firefox利用時のプライバシー を大幅強化
  • 追加提案 や見落としがあれば コメント欄 で意見募集

Hackerたちの意見

このチェックリストはまだ作成中なんで、フィードバックもらえると嬉しいな。

└

いい仕事してるね。ArkenFox [1] や Betterfox [2] から得られるかもしれないハードニングオプションがいくつかあるよ。追加で考慮すべきアドオンは CSS Exfil protection [3a] と CSS Exfil Test Site [3b] だね。 [1] - https://github.com/arkenfox/user.js [2] - https://github.com/yokoffing/Betterfox [3a] - https://addons.mozilla.org/en-US/firefox/addon/css-exfil-pro... [3b] - https://www.mike-gualtieri.com/css-exfil-vulnerability-teste...

└

これはかなり基本的なチェックリストで、プライバシー保護に関してはあまり役に立たないけど、いくつかのサイトが壊れちゃうかも。今のブラウザフィンガープリンティングの状況はひどくて、フィンガープリントが取れないとサービスを拒否されることもあるし、ブラウザ自体もセキュリティやプライバシー保護が徐々に弱まってる。標準のFirefoxじゃ十分な保証はできないよ。再コンパイルが必要なパッチもあるし、about:configのオプションが削除されてるからね。Arkenfoxの作業を見直すことを強く勧めるよ。彼が推奨するハードニング機能のほとんどは、何もしないよりはいい防御になるから。彼はMullvadブラウザにも貢献していて、ほとんどのハードニングが実装されてるけど、Torブラウザとは少し違いもあるし、同じ保護機能も多い。問題の要点は、特定の範囲内でランダム化しなければならないアーティファクトがあるってこと。識別のためにエントロピーを提供しないように、非特異的である必要があるアーティファクトもある（多くの人が共有しているシステムフォントなど）。JSや他のいくつかのコンポーネントがアクティブだと、これまでに開発された多くの防御が無効化されるよ。さらに、一部の地域ではEclipse攻撃（マルチパス透明MITM）が発生しているみたいで、暗号化を早めに終了させたりRaptorを通じて行われているようだ。最低限、ルートPKIプールに悪意のある行為者が混じっているようだ。訪問しているSANの所有者に承認されていない有効なGoogle Trust証明書が出回っているのを見たことがあるし、それは透明でそのブログを狙ったものだったけど、ベンダー（VOIP関連の通信サービスを提供する）でも同じことが起きている。どうやら、一部のISPが監視資本主義や他の悪意のある目的のために敏感なデータを集めるためにこれを行っているみたい。いずれにせよ、TLSは信頼できないね。

└

https://librewolf.net/ https://codeberg.org/librewolf/settings/src/branch/master/li...

└

それと、https://ffprofile.com/ も見てみて。

└

NoScriptで初回読み込み時にJSを自動で無効にして、クッキーに対処するための何か（クッキー自動削除みたいな）と、MultiAccountコンテナを使うことかな。プライバシーバッジャーもインストールしてるし。

└

個人的には、Firefoxの使用がカウントされることで、少しでも人気を保つ手助けになるかもしれないという（おそらくナイーブな）期待を込めて、匿名のデイリー使用ピンを有効にしてる。プライバシー重視の強化ガイドの精神には合わないかもしれないけど、考慮する価値があるかもしれないね。デイリー使用ピンに含まれるデータが多すぎるという意見もあるけど、それには異論は唱えないよ。ただ、Firefoxがこのレベルの透明性を提供していることには感謝してるよね：https://dictionary.telemetry.mozilla.org/apps/firefox_deskto...

└

WebGLを無効にしろ。面白いJavaScriptの拡張機能じゃなくて、about:configでね。

browser.ml.chat.enabled と browser.ml.enabled を false に設定してね。これらはプロセッサを激しく使ってバッテリーを消耗させるから。タブグループの名前を見つけるためだけにね。むしろ、ノートパソコンのバッテリーがもう1時間持つ方がいいよ。

└

ちょっとコードを見てみたけど [0]、主にk-meansクラスタリングアルゴリズムに焦点を当ててるみたい（しかもJSでね）。私の感覚では、これは新しいタブを提案するためのもので、ユーザーがそれを使う可能性は、タブの名前を変更するよりもさらに低いと思う。使ってない時でも常にバッテリーを消耗しているのは、ページが変わるたびにタブを分類していることを示唆しているようだ（ただのテレメトリーやコメントなしのテストかもしれないけど）。もしそうなら、早すぎる最適化の悪い例だね。残念なのは、タブグループの名前を付けるのがLLMの完璧なユースケースなのに、それが影に隠れちゃってること。キーボードの提案や逆引き辞書と同じようにね [1]。私は多くの目的でLLMに対して非常に不信感を抱いているけど、必要なパラメーターとトークンの使用量が少ないから、好きにならざるを得ない。だから、そんなにバッテリーを消耗するのは残念だね。 [0] https://github.com/mozilla-firefox/firefox/blob/7b42e629fdef... SmartTabGroupingManagerをエクスポートしているけど、どうやってそれが使われているのか、なぜそれが求められずに使われるのかは私には分からない [1] https://www.onelook.com/thesaurus/ 言葉が口の先にある時に役立つこともあるけど、その同義語がいつも完璧とは限らない。

└

この2つの設定については知らなかったけど、すでにabout:configで無効になってたわ。DebianがFirefoxのデフォルトじゃないabout:configを配布してるのかな？

└

それ、数週間前に修正されたバグじゃなかったっけ？8月の初めとか。もしこの機能に抵抗がないなら、最新バージョンを使ってるか確認した方がいいよ。

20年くらい前にPhoenixって呼ばれてた頃からFirefoxの大ファンなんだ。それはさておき、ここ2ヶ月でKagiから出てるOrion Browserを試してみて、すっかり気に入っちゃった。今のところApple専用なのが難点だけど、そのエコシステムにいるなら一見の価値ありだよ。OrionはWebkitベースで、ChromeやFirefoxの拡張機能をインストールできるし、プライバシーを尊重してるし、サイトごとの調整やカスタマイズがたくさんできるんだ。 [0] https://kagi.com/orion/

└

Safariの遅いアニメーションを使わずに、トラックパッドの二本指スワイプで戻るジェスチャーを止めてほしいだけなんだよね。

└

Orionはプライバシーを重視する人にはいい選択肢だね。起動時に自動接続しない数少ないブラウザの一つだから（正しい設定をすれば）。でも、確かまだuBlock Originが完璧に動作するように頑張ってるんだよね（つまり、WebExtensionのサポートがまだ完全じゃない）。PaleMoon（http://www.palemoon.org/）はFirefoxのハードフォークで、古い技術（XUL）と新しい技術（現在のGeckoのコードベース）をミックスした、完全機能のゼロテレメトリブラウザだよ。自動接続もない。ただ、uBlock Originのフル機能はサポートされてないんだ。廃止されたuBlock Origin（レガシー）のコードベースに基づいてるからね（ただし、レガシーのコードベースはPaleMoonの開発者によって更新されてるけど、uBlock Originの元の開発者はWebExtensionをサポートしてないPaleMoonをサポートしたくないみたい）。それからTor Browser（https://www.torproject.org/）もあるけど、これはFirefoxのソフトフォークで、Torネットワークをサポートしていて、デフォルトで「プライバシー強化」されてるんだ。MozillaがFirefoxにバンドルしてるポケットやAI、広告などのゴミは一切ないよ。Torソフトウェアは簡単に削除できて、プライバシー強化されたFirefoxとして使える。ただ、二つ問題があって、無許可で不要な自動接続（SecureDropへの接続）をしてしまうし、バンドルされてるNoScriptブラウザ拡張を削除できなくなった（以前のバージョンではできた）。ブラウザメーカーが何かを強制的にバンドルして、変更を許さないのは、疑う理由としては十分だよね。（注：SecureDropへの自動接続を止める方法は、about:rulesetsで無効にすることでやっとわかった）。Torブラウザがプライバシー強化されたFirefoxを作るための良い基盤を築いたから、Torブラウザのフォークもたくさんあるよ。Mullvad Browser（https://mullvad.net/en/browser）は人気があって、MullvadのVPNサービスがバンドルされてるけど、Torネットワークは使ってない。最後に確認したときは、起動時に自動接続があったから、あまり探求する気にはならなかった。

└

Appleは、自分のデバイスで何ができるか、何ができないかを親に教えてもらいたい人たちのためのものだね。（個人的に）

最初の項目が「JSをホワイトリストにする」じゃなかったら、やり方間違ってるよ。どんなサイトでもプログラムを実行させるのは問題が多すぎるから、信頼できるサイトだけにその特権を与えるのがベストだよ。

└

それを見かけたら、さっさと次に行くね。一般的なケースでJSのホワイトリストを使うのは実用的じゃないと思う。これをやってる人が「承認」を押す前にちゃんと考えてるとは思えないし、手間が増えるだけであまりメリットがないよ。もし本当に意味のあるレビューをしてるなら、実生活でどれだけのことを成し遂げてるのか疑問だね。

└

uBlockでやるのも簡単だよ。JSを無効にするグローバルオプションと、サイトごとに必要に応じて再有効化するためのキーボードショートカットを設定するオプションがあるから。

Firefox自体をジャイルに入れることも考えてみて。例えば、Linuxでbubblewrapを使うとかね。

これは無駄な努力だね。どんなにこのリストが効果的でも、設定は元に戻ったり、変わったり、黙って無効になったりする。新しい設定が古い設定の効果を変えちゃうし、今ある設定も消えちゃう。期待してた動作が逆になったりするから、気をつけて。そういえば、ある朝、みんなが目を覚ましたら、デフォルトでCloudflareのDoHに送信されるDNSクエリが見えたことがあったよね。オプトインもなしで。

└

デフォルトでCloudflareのDoHに送信されるDNSクエリを見たことがある。オプトインもなしで。 その通りだね。ほとんどの人はそれすら知らない。

これらの設定を全部有効にしていても、フィンガープリンティングされる可能性があることに注意してね。ここでテストしてみて：https://fingerprint.com/ 私のテストでは、Torだけがそれを防げたけど、Torを使うとPayPalみたいな決済サイトで評価が悪くなるし、最悪の場合、禁止されることもあるよ。ここで学んだこと：https://news.ycombinator.com/item?id=35243355 そのサイトは今はブラックリストに載ってるけど、偶然だろうね。ここにarchive.orgのリンクもあるよ：https://web.archive.org/web/20250801173508/https://www.bites... ローカルコピーを持っておいて。

└

https://amiunique.org/ は怖いね。

└

fingerprint dot com これって広告なの？クリックしたときに期待してたことの中で、「営業に連絡」ってのは全然予想外だったわ。

これはちょっと馬鹿げたChatGPTの記事だね。いや、これじゃブラウザのフィンガープリンティングを減らすのには効果的じゃないよ。Firefoxブラウザには、いろんなところにたくさんのトラッキングサービスが統合されてる（新しいタブページ、同期、ポケット、Shavar、Google Safe Browsing、OSCPなどなど）。これについてもっと詳しい記事を書いたけど、「できる限り良い結果」を得ただけだったよ。でも、お願いだから、ドメインごと、ポートごと、プロセスごとにブロックできるホストファイアウォールを使い始めて、自分の仮定を検証してほしいな（LittleSnitchやOpenSnitchみたいな）。UIは常に嘘をつくから、Firefoxのも含めてね。[1] https://cookie.engineer/weblog/articles/firefox-privacy-guid...

パラドックスなのは、ブラウザの設定をカスタマイズすればするほど、それがまたフィンガープリンティングされる要素になって、about:configを見たことがある1%の人間として目立っちゃうってこと。

重要：これはプライバシーのためのチェックリストで、一般的なセキュリティのためじゃないからね。