Mozilla、既知の個人情報流出の影響を通知するサービス「Firefox Monitor」を開始

headless 曰く、

Mozillaは25日、既知の個人情報流出にユーザーの電子メールアドレスが含まれている場合に通知するサービス「Firefox Monitor」を開始した(The Firefox Frontierの記事、 Mediumの記事、 VentureBeatの記事、 The Vergeの記事)。

このサービスはHave I Been Pwned?のデータを使用するもので、Firefox MonitorのWebサイトで電子メールアドレスを入力してアカウント情報流出を一度だけスキャンするほか、サインアップすれば詳細リポートや新規情報流出時に通知を受け取ることなどが可能になる。2017年に計画が発表された際はFirefoxの機能として開発されていたが、Firefox Monitorは任意のWebブラウザーから利用できる。

2017年時点ではユーザーの電子メールアドレスがHave I Been Pwned?に送信されることに対する懸念も出ていた。そのため、Firefox Monitorでは電子メールアドレスから生成したハッシュの先頭6文字(プリフィックス)のみをAPIへ送信し、残りの文字(サフィックス)を照合に使う仕組みになっている。Have I Been Pwned?のAPIからはプリフィックスに一致するサフィックスを含むデータが返されるので、Firefox Monitor側でプリフィックス+サフィックスがハッシュに一致するデータのみユーザーへ通知するとのことだ(Mozilla Security Blogの記事)。