ネットワークリレーによるアプリのトラフィック保護

ネットワークリレーによるアプリのトラフィック保護

リレーを使用して、VPNのようなオーバーヘッドをかけずに、アプリのネットワークトラフィックをよりプライベートかつセキュアにする方法を学びましょう。リレーサーバーをアプリに統合する方法や、リレーを使用して企業ネットワークで内部リソースに安全にアクセスする方法を紹介します。

関連する章
- 0:00 - Welcome
- 0:56 - Discover relays
- 3:40 - Configure relays in your app
- 7:01 - Access enterprise resources
リソース
関連ビデオ

WWDC23
- プライバシーの新機能
- Appleデバイス管理の新機能
WWDC21
- iCloud Private Relayの準備
ダウンロード

♪ ♪
こんにちは Internet Technologiesチームの Keith Hollemanです本日はネットワークリレーを使ってアプリのプライバシーとセキュリティを強化する方法についてお話しますまずはネットワークリレーに使われているテクノロジーについて解説しますリレーはAppleのプライバシー機能に広く使われていますこのテクノロジーは効果的で使いやすいのが長所です皆さんのアプリでも 2つの方法でリレーを使用できます 1つ目はアプリ内でリレーを構成しアプリのネットワークトラフィックを保護する方法です 2つ目は VPNの代わりとしてデバイスにリレーを拡張して企業内のプライベートなリソースにアクセスする方法ですではさっそく始めましょうリレーは iCloudプライベートリレーやメールのプライバシー保護 Safariでトラッカーに対し IPアドレスを非表示にするなど優れた機能の基礎となっています皆さんのアプリで非公開にすべきユーザーに関する機密情報を扱う可能性がありその情報をサーバでクライアントIPアドレスと紐づけできないようにしたい場合があるかも知れませんそこでリレーを使用してすべてのユーザーに強力なプライバシー機能を提供することができます
リレーは特別なタイプのプロキシでパフォーマンスを最適化し最新のトランスポートとセキュリティプロトコルを使用し Appleプラットフォームで利用可能な最新のネットワークスタックにネイティブで実装されていますこれらのリレーはIETFで定義された 2つの標準プロトコル MASQUEと Oblivious HTTPを使用しています MASQUEリレーはアプリのプライバシーを強化したりプライベートなリソースにアクセスするのに最適な方法ですバックエンドサーバを変更することなくあらゆるTCPやUDP接続をリレー経由で送信できます IPアドレスとブラウジングアクティビティを組み合わせてユーザーの詳細なプロファイルを作成できないようリレーサーバをチェーン接続できますこれがiCloudプライベートリレーの基礎となるテクノロジーですリレーは企業のリソースにアクセスするのに最適な方法でもありますリレーはVPNよりも優れたユーザーエクスペリエンスを提供しパフォーマンスも高く管理も容易です MASQUEリレーはレガシープロキシプロトコルとは異なり TLS 1.3を使用しプロキシへのトラフィックをセキュアにしています MASQUEは最新のトランスポートプロトコル QUICとHTTP/3を使用して効率的にプロキシし単一のトンネル上で多数のコネクションを多重化しますまた QUICがネットワークによってブロックされた場合 HTTP/2にフォールバックできます皆さんのアプリが匿名メトリクスレポートやデータベースルックアップ DNSクエリなどプライベートで他のリクエストにリンクされていないことを確認するために HTTPリクエストを送信する場合 Oblivious HTTPを使用できます Oblivious HTTPを使用すると単一のリレーホップだけで優れたパフォーマンスとプライバシーを得ることができます MASQUEリレーとは異なり Oblivious HTTPは任意のサーバでは動作せずサーバが明示的にサポートしている必要があります Oblivious HTTPについての詳細は “What’s new in Privacy”をご覧くださいこれら両方のリレータイプを使用してアプリによる接続をプロキシできますこれによりアプリのプライバシーを高めるために選択した特定のリレーサーバを使用できます新しいProxyConfiguration クラスを使用すると Networkフレームワーク URLSession WebKitでリレーを定義できます 3つのAPIはすべてこの共通クラスを同じような方法で使用しアプリ全体または特定の接続だけにリレーを定義することができます ProxyConfigurationオブジェクトの中で 5つの異なるプロトコルに基づくプロキシを定義できますここでMASQUEとOblivious HTTPの新しいリレータイプを指定できます同じオブジェクトを使用してレガシープロキシタイプも構成できます以前にURLSessionやWebKitでディクショナリを使用してプロキシを構成していたのであればこの新しいオブジェクトに切り替える絶好の機会ですレガシーなプロキシタイプの場合は SOCKSv5と同様に TLSサポートがプロキシに新しく追加された HTTP CONNECTを構成可能です HTTP/3でMASQUEリレーに接続するために使用するProxyConfigurationの定義方法は以下の通りですまず NWEndpointを使用してサーバ名またはURLを指定しそれを使用してリレーホップを定義しますこれらのリレーホップでは HTTP/3 HTTP/2 または両方のサポートを指定できます HTTP/2サーバは QUICプロトコルを使用した HTTP/3へのアクセスがネットワークによってブロックされた場合のバックアップとして使用されます次に“relayHops” 配列パラメータにリレーを渡してプロキシ構成を作成しますマルチホップのリレー構成を定義する場合はここで2つのリレーを渡します Networkフレームワークの NWConnectionで ProxyConfigurationを作成するには PrivacyContextを作成するかデフォルトのコンテキストを使用しそのコンテキストにプロキシ構成を追加します NWParametersのコンテキストを設定し接続の作成と開始時にこれらのパラメータを渡しますこれでこの接続はすべてのトラフィックをプロキシ経由で送信するようになります
URLSessionで直接定義したのと同じプロキシ構成を使うこともできますその場合は構成をURLSessionConfigurationの proxyConfigurations配列に追加しますそして URLSessionで通常通りタスクを実行するとそのタスクもプロキシを使うようになります同じプロキシ構成オブジェクトを使用して WebKitビューでの接続をプロキシすることもできますまず Webビューの構成を初期化してデータストアを追加しプロキシ構成をデータストアに追加します次に構成した内容で Webビューを初期化しますこうすることでリクエストされたURLを読み込んで通常と同じように WebKitビューを使用できますこれでこのWebkitビューはリレー経由でトラフィックを送信するようになります
iOS 17では自分のアプリにリレーを追加するだけでなくデバイス全体にリレーを構成することも可能ですプライバシー機能を構築できるだけでなくリレーを使用してプライベートな企業ネットワークのリソースへのアクセス方法を提供できます
企業リソースへのアクセスを提供するために VPNを使うこともあるでしょうリレーはVPNの代替となりユーザーエクスペリエンスに優れ管理も容易ですネットワークリレーは複雑なセッションネゴシエーションが不要で実際のユーザーデータが転送されるまでのやり取りが少なく済む場合が多いですこれによりユーザーがプライベートなリソースを最初に利用する際の応答性が高まりますまたリレーはVPNに関連するトンネルや仮想インターフェイス追加IPアドレスの使用を回避できます複数のリレーを同時に構成できるので異なるネットワークの　異なるプライベートドメインへのアクセスが容易に行えます VPNの代替としてリレーサーバを使用したい企業にとっては自社のインフラでリレーサーバを用意する選択肢が生まれますシスコは Cisco Secure Edgeの一環として企業向けリレーサービスを提供していますユーザーへリモートアクセスを提供するために企業に採用されることを嬉しく思います
MASQUEリレー構成をデバイスにインストールするには2つの方法があります企業でモバイルデバイス管理（MDM）を介して構成をプッシュし新しいリレーペイロードタイプを使用してリレーを定義することができますこれらのペイロードは管理対象アプリやドメインデバイス全体に適用できます NERelayManager APIを使用してリレーを定義するアプリを作成することもできますこれらの構成は特定のドメインやデバイス全体に適用できますこれらのいずれも macOS　iOS iPadOS　tvOSで利用可能です今回 tvOSにNetwork Extension サポートが追加され VPNもtvOS 17で新たに追加されました
こちらが構成プロファイルを使ってリレーを構成する方法ですアプリのProxyConfiguration APIと同様にリレーURLを定義します VPNプロファイルと同様に同じプロファイル内の証明書ペイロードを参照することでクライアント証明書を企業サーバの認証に使用できますペイロードのMatchDomains部分にドメインを追加することで特定のドメインにリレーを適用できます次にアプリが NERelayManager APIを使用してプログラムでデバイスにリレーを追加する方法を見ていきますリレーを定義するには NERelayオブジェクトを初期化しリレーのURLを構成しますここでは HTTP/2とHTTP/3の両方に同じリレーを使っていますリレーに追加の HTTPヘッダが必要な場合は NERelayオブジェクトに追加しますまた今作成した NERelayオブジェクトを格納するため共有NERelayManager オブジェクトにもアクセスが必要ですリレーをデバイス全体ではなく特定のドメインのみに適用したい場合はドメインを matchDomains配列に追加します最後にリレーが有効になっていることを確認し NERelayManagerオブジェクトをシステム環境設定にインストールします実際のリレーを見てみましょう私はマウンテンバイクが大好きで自分のバイクショップを開きました私の店はオンラインショップがあり社内のWebサイトですべての注文を追跡できます Webサイトは内部ネットワークにあり従業員しか利用できません Safariを開いて注文を見ようとしても内部ネットワークにいないので見れませんリレー構成をインストールすればどこからでも内部ネットワークにアクセスできます先ほど説明したコードでサンプルリレーアプリを開けば内部ドメインにアクセスしてショップのリレーを使うようにデバイス全体を構成できますこの構成は設定にも表示され internal.example.comにアクセスする際にリレーを使用することが分かります再びSafariに戻って未処理の注文を見ようとすると注文が表示され発送が必要な注文の数が分かりますシンプルかつ高速で最初の読み込みから快適ですリレーはパフォーマンスを損なうことなくアプリのセキュリティとプライバシーを向上できる標準ベースの最新のプロキシです MASQUEリレーとOblivious HTTPリレーをアプリに直接適用しユーザーのプライバシーを強化しましょう企業では VPNの使用をより管理が簡単でシームレスなユーザー体験を提供するリレーに置き換えられますご視聴ありがとうございました皆さんのリレーの使用例を見るのが楽しみです！

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

5:40 - Configuring a relay in Network framework

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

var context = NWParameters.PrivacyContext(description: "my relay")
context.proxyConfigurations = [relayConfig]

let parameters = NWParameters.tls
parameters.setPrivacyContext(context)

let connection = NWConnection(host: "www.example.com", port: 443, using: parameters)
connection.start(queue: .main)

6:07 - Configuring a relay in URLSession

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

let config = URLSessionConfiguration.default
config.proxyConfigurations = [relayConfig]

let mySession = URLSession(configuration: config)
let url = URL(string: "https://www.example.com/api/v1/employees")!
let (data, response) = try await mySession.data(from: url)

6:30 - Configuring a relay in WebKit

import Network

let relayEndpoint = NWEndpoint.url(URL(string: "https://relay.example.com")!)
let relayServer = ProxyConfiguration.RelayHop(http3RelayEndpoint: relayEndpoint)

let relayConfig = ProxyConfiguration(relayHops: [relayServer])

let webkitConfig = WKWebViewConfiguration()
webkitConfig.websiteDataStore = WKWebsiteDataStore.nonPersistent()
webkitConfig.websiteDataStore.proxyConfigurations = [relayConfig]
let webView = WKWebView(frame: .zero, configuration: webkitConfig)

let url = URL(string: "https://www.example.com/api/v1/employees")!
webView.load(URLRequest(url: url))

9:15 - Configuring a relay on the device with a configuration profile

<dict>
    <key>PayloadType</key>
    <string>com.apple.relay.managed</string>
    <key>Relays</key>
    <array>
        <dict>
            <key>HTTP3RelayURL</key>
            <string>https://relay.example.com</string>
            <key>PayloadCertificateUUID</key>
            <string>5AB702EC-32F3-48A9-94FE-8EA1C67ACF46</string>
        </dict>
    </array>
    <key>MatchDomains</key>
    <array>
        <string>internal.example.com</string>
    </array>
</dict>

9:42 - Configuring a relay on the device with NetworkExtension

import NetworkExtension

let newRelay = NERelay()
let relayURL = URL(string: "https://relay.example.com:443/")
newRelay.http3RelayURL = relayURL
newRelay.http2RelayURL = relayURL

newRelay.additionalHTTPHeaderFields = ["Authorization" : "PrivateToken=123"]

let manager = NERelayManager.shared()
manager.relays = [newRelay]
manager.matchDomains = ["internal.example.com"]

manager.isEnabled = true
do {
    try await manager.saveToPreferences()
} catch let saveError {
    // Handle error
}

特定のトピックをお探しの場合は、上にトピックを入力すると、関連するトピックにすばやく移動できます。

クエリの送信中にエラーが発生しました。インターネット接続を確認して、もう一度お試しください。

関連する章

リソース

関連ビデオ

WWDC23

WWDC21