iCloudプライベートリレーに向けたネットワークやWebサーバの準備
iCloudプライベートリレーは、iCloud+サブスクリプションの一部として提供されるインターネットプライバシーサービスです。iOS 15、iPadOS 15、macOS Monterey以降のユーザーは、よりプライベートかつ安全にWebサイトにアクセスし、ブラウジングできるようになります。プライベートリレーは、SafariでのWebブラウジングとDNS解決クエリを保護し、アプリの安全でないhttpトラフィックからユーザーを守ります。プライベートリレーを経由するよう設定されたインターネット接続では、ユーザーがいる地域にマッピングされる匿名化されたIPアドレスが使用されるため、ユーザーの正確な位置や身元が明らかになることはありません。ネットワークやWebサイトにおいてユーザーがプライベートリレーを快適に利用できるよう、準備方法を確認しましょう。
概要
iCloudプライベートリレーは、革新的なマルチホップアーキテクチャを採用しています。異なる事業者が運用する2つの独立したインターネットリレーを介してユーザーのリクエストが送信されるため、Appleを含むいかなる者も、ユーザーのブラウジングアクティビティの詳細を閲覧したり収集したりすることはできません。プライベートリレーでは、接続しているクライアントがiPhone、iPad、Macであることが検証されるため、接続元のデバイスがAppleデバイスであることが保証されます。プライベートリレーにより、ユーザーの元のIPアドレスは、当該サービスが利用するIPアドレスの範囲から割り当てられたものに置き換えられます。割り当てられたリレーIPアドレスは、同じエリアの複数のプライベートリレーのユーザー間で共有される場合があります。デフォルトでは、ネットワークとWebサーバに提供されるリレーIPアドレスにより、クライアントのおおよその位置情報が都市レベルで正確に表されるので、IPアドレスに基づいて地域ベースの制限を課す際に、関連する位置情報をネットワークが受け取ることができます。
プライベートリレーを使ったインターネット上のユーザーのプライバシーの保護について詳しく
ネットワークオペレーター
プライベートリレー接続のための最適化
iCloudプライベートリレーは、UDPをベースにした新しい標準転送プロトコルであるQUICを使用しています。プライベートリレーでのQUIC接続はポート443とTLS 1.3を使って確立されるため、使用するネットワークとサーバがこれらの接続に対応している必要があります。
ネットワークのトラフィック監査への対応
一部の企業や学校のネットワークでは、その方針によりすべてのネットワークトラフィックの監査を行うことが求められる場合があります。このような場合、プライベートリレーへのアクセスをブロックするようにネットワークを設定することができます。この場合、ユーザーはそのネットワークでプライベートリレーを無効にするか、別のネットワークを選択するように求められます。
ユーザーに注意を促す最も迅速かつ確実な方法は、ネットワークのDNSリゾルバから「no error no answer」応答またはNXDOMAIN応答のいずれかを返し、プライベートリレートラフィックで使用される以下のホスト名のDNS解決を回避することです。DNS解決のタイムアウトを発生させたり、プライベートリレーサーバに送信されたIPパケットを通知なくドロップしたりすることは避けてください。クライアントのデバイスでの遅延につながる可能性があります。
mask.icloud.com
mask-h2.icloud.comWebサーバ
IPジオロケーションフィードへのアクセス
Webサーバを運用している場合、クライアントの地域に基づいてコンテンツをローカライズしたり、アクセスを制限したりすることができます。最新のマッピングを使用してフィードを更新するには、ジオIPデータベースプロバイダにお問い合わせください。Appleによる最新のIPアドレスと位置情報の一覧を確認することもできます。
プライベートリレーでは、ユーザーがいる地域の情報は保持されるため、サーバはIPアドレスに割り当てられた地域を信頼することができます。デフォルトでは、接続がクライアントに最も近い都市に関連付けられるため、コンテンツの関連性を維持するうえでも役立ちます。
プライベートリレー接続の信頼性
プライベートリレーを使用するすべての接続では、クライアントがiPhone、iPad、Macであること、およびユーザーが有効なiCloud+サブスクリプションを持っていることが検証されます。プライベートリレーでは、1回限りの認証トークンやレート制限など、不正防止の技術が複数採用されています。これは、プライベートリレーの使用の許可を有効で健全な状態にあるAppleデバイスとアカウントのみに限定するためです。さらに、Webサイトにアクセスしたユーザーに対して、ブラウジングセッション中は一環したリレーIPアドレスが使用されます。
IPアドレスに依存する従来の不正行為検出は、正当なユーザーに影響が及ばないよう、調整が必要な場合があります。上記のプライベートリレーのIPアドレスを使用するか、ご利用のジオIPデータベースプロバイダによるIPアドレスの分類を確認することで、サーバでプライベートリレーからのトラフィックを認識できます。多くのプロバイダがIPアドレスの「Organization」フィールドに「iCloud Private Relay」と注釈を入れているため、サーバ上でIPアドレスを認識できます。その他の関連フィールドには、「is_relay」、「is_hosting」、「privacy_service」、「privacy_proxy」などが含まれる場合があります。これらのフィールドを理解し、考慮しながらサーバのロジックを調整することが、プライベートリレーユーザーをサポートするための第一歩です。多数のプライベートリレーユーザーが1つのリレーIPアドレスに割り当てられる可能性があるため、こうしたアドレスを大規模なキャリアグレードNATまたはエンタープライズIPアドレスとして扱うことにより、この種類のトラフィックをより適切に処理することができます。
トラフィックによるサーバへの過負荷を防ぐために、システムではIPアドレスがよく使用されます。主な対策として、CAPTCHAの導入やトラフィックの完全なブロックなどがあげられます。iOS 16、iPadOS 16、macOS Monterey以降を搭載したすべてのAppleデバイスに対応するプライベートアクセストークンは、正当なユーザーにスムーズな体験を提供しながらサーバを保護する代替手段となっています。プライバシーパス標準に基づいて構築されたプライベートアクセストークンにより、サーバはIDや個人情報を損なうことなく、正当なデバイスやユーザーからのHTTPリクエストを識別することができます。Webサイトではユーザー体験が向上し、ユーザーのプライバシーを尊重しながら、サーバを不正使用から保護することができます。
- 自動認証についてさらに詳しく
- プライベートアクセストークンの導入方法についてさらに詳しく
- プライベートアクセストークンの発行者になるには、Apple Business Registerから申請を行ってください