【入門編】 WebRTCリークの仕組みとブラウザにおけるSTUN/TURNの制御 – サイバーセキュリティとプライバシー保護実践ガイド

こんにちは！日々のネットワークやセキュリティの海を、ワクワクしながら航海しているエンジニアの皆さん、そしてこれからインフラの世界に飛び込もうとしている初学者の皆さん、いつもお疲れ様です！

突然ですが、皆さん、カフェやホテルのロビーにある「無料の公共Wi-Fi」を使って、リモートワークをしたり、お気に入りの動画を楽しんだりしていませんか？「怪しいサイトにさえアクセスしなければ大丈夫でしょ！」なんて油断しているそこのあなた。実は、「VPNを繋いでいるから完璧に安全だ」と信じ込んでいる裏側で、あなたの本当の居場所（IPアドレス）が、ブラウザの大きなおしゃべり機能によってこっそりダダ漏れになっているとしたら……どうでしょう？

今回は、そんなセキュリティの盲点になりやすい「WebRTCリーク」の仕組みと、その対策について、現実世界の郵便配達の仕組みに例えながら、一緒に優しく紐解いていきましょう！

一歩ずつ丁寧に解説していきますので、リラックスしてついてきてくださいね。

—

1. カフェのWi-Fiと「WebRTC」ってそもそも何？

私たちが普段使っているWebブラウザ（Google ChromeやFirefoxなど）は、単にWebサイトの文字や画像を表示するだけの道具ではありません。最近のブラウザは進化していて、ビデオ通話やオンラインゲーム、リアルタイムの音声チャットなどを、特別なアプリをインストールすることなく、ブラウザのタブひとつで実現できるようになっています。

この超便利でリアルタイムな通信を裏で支えている技術のスターこそが、WebRTC（Web Real-Time Communication）という仕組みです。

郵便配達で例えてみましょう

あなたが友だちに手紙を出したり、荷物を送ったりするときを想像してください。
現実の世界では、荷物を送るために「差出人の住所（IPアドレス）」を書きますよね。この住所がないと、配達員さんは返事や荷物をどこに持って帰っていいか分かりません。

インターネットの世界でも全く同じです。あなたがブラウザを通じて通信するとき、あなたのパソコンには必ず「IPアドレス」というインターネット上の住所が割り振られます。
通常、VPN（仮想プライベートネットワーク）を使っているときは、VPNという「専用の秘密のトンネル」を通るため、相手に見えるあなたの住所は「VPNサーバーの住所（偽りの住所）」にすり替わります。これによって、カフェの店主やWi-Fiの盗聴者に「自分がどこにいるか」を知られないようにガードしているわけです。

ところが、このWebRTCという機能は、ちょっとお節介で「いやいや、スムーズに荷物を届けたいから、あなたの本当の住所もこっそり教えちゃうね！」と、裏であちこちに本当の住所を言いふらしてしまう特技を持っているのです。これが、いわゆる「WebRTCリーク」の正体になります。

—

2. なぜバレる？「STUNサーバー」と「TURNサーバー」の裏側

「でも、どうやって本当の住所がバレちゃうの？」と思いますよね。ここがネットワークの面白いところであり、少し厄介なポイントです。

ブラウザでビデオ通話などを始めるとき、お互いのパソコンは「ねぇねぇ、今お互いどこにいるの？」と確認し合います。これをネットワークの世界ではアドレスの穴あけ（ピアントラバーサル）と呼びます。

ここで登場するのが、STUN（スタン）サーバーとTURN（ターン）サーバーというお助けキャラクターたちです。

STUNサーバー（お隣の鏡のような存在）

ルーターの向こう側にいる自分の「本当のグローバルIPアドレス」が、外の世界からどう見えているのかを確認するためのサーバーです。

例え話： 高層マンションの窓から「おーい、外から見て僕の部屋の窓はどこに見えるー？」と外を歩いている友だちに叫んで、自分の位置を教えてもらうようなものです。これによって、ルーターのNAT（ネットワークアドレス変換）を突破し、外向きの住所を把握します。

TURNサーバー（中継ぎの倉庫）

お互いのルーターの壁が厚すぎて、どうしても直接通信できないときに、間に立って荷物を中継してくれる頼もしい倉庫です。

例え話： お互いに直接会うのが難しいので、間に巨大な配送センター（TURNサーバー）を挟んで、そこを経由して荷物のやり取りをするイメージです。

どこに罠があるの？

問題なのは、STUNサーバーの仕組みを利用する際、ブラウザが勝手にあなたのルーターの「ローカルIPアドレス（例: 192.168.1.50 など）」や、直接的な外向きのIPアドレスをゴソゴソと探し出し、通信相手に開示してしまう点です。
もしVPNに接続していても、WebRTCはこの「OSやブラウザが直接ネットワークカードにアクセスする機能」を優先して使うことが多いため、VPNのトンネルを無視して本当の自分の住所が相手に伝わってしまいます。これが、プライバシー保護の観点で大きな脅威になるのです。

—

3. 実践！ブラウザにおけるWebRTCの制御と対策

「じゃあ、ビデオ会議とか使えなくなっちゃうの？」と思われるかもしれませんが、ご安心ください。ブラウザの設定を変更したり、拡張機能を導入したりすることで、このWebRTCの暴走をピタッと止める（あるいは制御する）ことができます。

ここからは、実務や日常のセキュリティ対策として役立つ具体的な設定方法を見ていきましょう！

方法 A: ブラウザの設定や拡張機能でブロックする

一番手軽なのは、ブラウザでWebRTCが勝手にIPアドレスを拾わないように制限をかけることです。

Google Chrome等の場合:

Chromeのウェブストアには、WebRTCのIPリークを防ぐための拡張機能（「WebRTC Leak Prevent」など）がたくさん公開されています。これらを導入することで、STUNリクエストを無効化し、プライバシーを守ることができます。

Firefoxの場合:

アドレスバーに about:config と入力してEnterを押すと、高度な設定画面が開きます。そこで検索バーに media.peerconnection.enabled と入力してみてください。この値が true になっているはずです。これをダブルクリックして false に変更すると、FirefoxのWebRTC機能自体を完全にオフにすることができます。
*(※注意：この設定をオフにすると、ブラウザベースのビデオ通話や一部のオンラインツールが利用できなくなるため、用途に合わせて切り替えましょう。)*

方法 B: 開発現場やアプリでのコードによる制御

もしあなたがWebアプリケーションを開発するエンジニアなら、ユーザーのプライバシーに配慮した設計を心がけたいですよね。WebRTC（RTCPeerConnection）を利用する際、JavaScriptのコード側でSTUN/TURNサーバーの設定（iceServers）を意図的に制御・制限することができます。

以下に、プライバシー保護を意識した安全なICEサーバー設定のサンプルコードを記載します。

// プライバシーに配慮したWebRTC（RTCPeerConnection）の初期化設定例
// 不要なパブリックSTUNサーバーへの問い合わせを制限し、情報漏洩を防ぎます。

const configuration = {
  // iceServersを設定しない、または信頼できる内製TURNサーバーのみを指定する
  iceServers: [
    {
      // パブリックな無料STUNサーバー（Googleの公開サーバーなど）をあえて使わず、
      // 組織内の厳重に管理されたリレーサーバー（TURN）のみを指定する構成例
      urls: 'turn:secure-relay.example.com:3478',
      username: 'my_secure_user',
      credential: 'my_secure_password'
    }
  ],
  // IPアドレスの収集ポリシーを制限する（可能な限りローカルIPの露出を抑える）
  iceTransportPolicy: 'relay' // 'all' ではなく 'relay' にすることでTURN経由を強制する
};

// ピアコネクションの生成
const pc = new RTCPeerConnection(configuration);

// ICE候補（接続先の候補となるIPアドレス群）が見つかった時のイベント処理
pc.onicecandidate = (event) => {
  if (event.candidate) {
    // 開発時のデバッグ：どのような候補（ローカルIPやグローバルIP）が生成されているかログで確認
    console.log("検出されたICE候補（IPアドレス情報）: ", event.candidate.candidate);
    
    // ここでローカルIPアドレス（192.168.x.x や 10.x.x.x 等）が含まれていないかフィルタリングすることも可能です。
  }
};

// 通話のオファーを作成する処理など...

このように、iceTransportPolicy を 'relay' に指定してTURNサーバー経由での通信を強制することで、クライアントのローカルIPアドレスが直接相手に露出するリスクを劇的に減らすことができます。インフラエンジニアや開発者として、セキュリティ・バイ・デザイン（設計段階からの安全性確保）を意識する上で、とても大切なポイントになりますね。

—

4. まとめ：安全なネットワーク航海のために

今回は、WebRTCリークの仕組みと、ブラウザにおけるSTUN/TURNの制御について、郵便配達の例えを交えながらお話ししました。

WebRTCは便利だけど、お節介に自分の住所（IPアドレス）を言いふらしちゃう性質がある。
VPNを使っていても、WebRTCが原因で本当の場所がバレてしまう「WebRTCリーク」に注意が必要。
ブラウザの設定変更や、開発時の iceServers / iceTransportPolicy の適切な制御によって、リスクをしっかりコントロールできる。

セキュリティの技術は、一見すると難解な用語や仕組みの壁にぶつかりがちですが、一つひとつの機能を「現実世界のどんな役割を持っているかな？」と噛み砕いていくと、驚くほどスッキリと理解できるようになります。

皆さんもぜひご自身のブラウザ環境をチェックしてみて、安全で快適なネットワークライフを送ってくださいね！
それでは、また次回の技術解説でお会いしましょう。お疲れ様でした！