個人が公開プロキシ (匿名プロクシ) を運用する理由は？

私も一時期プロキシサーバを運用していました。

当時は、Webサーバの勉強にLinuxを利用して構築していたのですがその際にプロキシサーバも構築した流れになります。

残念ながらサイトに来る人はあまり多くなかったため、帯域もかなり余っていました。

そのついで程度にプロキシを公開していました。

なので、プロキシだけ公開している人は少ないのでは？と思っています。

類似した質問があったので参考にしてください。

http://q.hatena.ne.jp/1243660697

http://q.hatena.ne.jp/1195809973

http://q.hatena.ne.jp/1131558340

プロキシを利用するメリットですが、通信経路に中継器を置くわけですから通信情報はだだ漏れになります。

広告収入の点では、あまり見込めませんが認証プロキシであれば毎日ID/PASSを変更しWebサイトに更新情報を載せるなどをすればある程度見込めるかもしれませんね。

ただ、公開プロキシにも速くて匿名性が高いプロキシがあるので差別化が難しいかもしれません。

★公開する意図がない公開プロキシ

世の中にある公開プロキシの相当な数が、本人の意図とか関係なく稼動しています。

squidのアクセス許可リストの設定漏れ・ミスとかありがちですが、

販売されている商品のセキュリティホールで結果的に公開プロキシが稼動している

数が相当多いそうです。

• http://spam.h1r.org/jpproxy/index.html
• http://slashdot.jp/security/article.pl?sid=06/05/27/0113206

★善意で公開している公開プロキシ

URの物件などマンション全体で1つのプロバイダに加入している場合で、

ご近所さん同士が仲良しの場合、トラフィックを節約するためにPC-UNIXが

趣味な人が公開プロキシを上げてご近所さんに提供するケースがあるかも

しれません。想像で書いているので実例は知りません。

ただしご近所さん以外が利用可能だとすると、アクセス許可リストの設定漏れ・ミス

なので、最初の範疇に入りますね。

★悪意を持って公開している公開プロキシ

公開プロキシを利用する連中はなにか悪いことを企んでいるでしょうから、

logからwarezのサイトをリサーチするために上げている人がいそうです。

また、SSLを使ってないサイトを公開プロキシ経由で利用しているユーザの

個人情報を盗む目的で上げている人もいるかもしれません。

＃ちょっとスキルが要求されますが。

★第三者が利用する事によって発生するリスク

上記とかぶりますが、こんなかんじですかねー。

1. SSLを使ってないサイトでユーザの個人情報が盗まれる可能性がある
2. GoogleやYahoo!が発行しているユーザの行動追跡用Cookieも見れちゃうので、公開プロキシ運用者に行動が追跡されるかも。
3. 1と2のあわせ技で、エロサイトをみてメールアドレスをフォームから送信すると、アダルト広告満載のspamが来るかも。

10年以上前のことですがsquidというプロキシサーバを公開していたことがあります。

業務上利用する必要があったので、練習がてら自宅で運用し、

耐久性を確かめるために公開していました。

当時ジオシティーズに公開されているファイルをダウンロードする際、

レジュームするためにはsquidを利用する必要があったので、

自分で使う目的もありました。

公開プロキシサーバの設置理由は以下のようなものだと思います

１．何らかのテストのため

２．ID/Pass、クレジットカード情報、個人情報などを収集するため

３．単なる善意

４．設定ミス

第三者が利用することで発生するリスクとしては設置理由が２の場合に

重要な情報をサーバ設置者に盗まれてしまうことでしょうか。

http://ja.wikipedia.org/wiki/Squid_cache

babydaemonsの回答への補足ですが、SSLを使っていても個人情報を盗むことは可能です。

SSLの証明書を、アクセス先のサイトごとに、正しいドメイン名で作成して、

その証明書をクライアントPC ----- proxy 間のSSL通信に使う方法です。

例えば、Fiddler (http://www.fiddler2.com/fiddler2/)でSSL通信のデコードを選択するとこの方法が使われます。

もちろん独自CAがサインした証明書になるので、ブラウザで警告は出ますが、正しいドメイン名で証明書を作っておけば、

ユーザーは警告を無視して進んでしまう可能性があります。

そして、その場合、クレジットカード番号、ユーザーIDやよく使ってるパスワード、住所指名年齢など、SSL通信の内容全てを傍受できます。

ユーザーPCにキーロガーを仕込んだり、バックドアを仕込むよりもずっと簡単です。

それと、SSLを使っていない場合は、Cookieが見れるため、サイトによっては、ログイン中のセッションを乗っ取り、結果としてアカウントを乗っ取ることができます。

なので悪意を持ってる場合は、Proxyの立ち上げ、運用に対して十分な見返りを期待できるというわけです。

全くの想像ですが、一番多い理由は「設定が面倒」ではないでしょうか？

詳しい人であれば、IPで制限かけたりパスワードで制限をかけるのは、大して手間ではありません。

が、それほど詳しくない人が、会社のファイアーウォールを越えたいためだけに、自宅に匿名プロキシを立てるとします。

こういう場合、「希望のサイトが見られること」、のみが重要であり、「誰かに勝手に利用される」なんてことは、全く考えていないと思います。

広大なインターネット。その片隅に置いた自分専用サーバーは見つかりっこない。

そう思っても不思議はないと思います。

ただ、大分前のGIGAZINEさんの記事ですが、http://gigazine.net/index.php?/news/comments/20061128_proxylist/

なんて方法で、見つけ出す人もいるようです。

広大なインターネットかもしれませんが、Google先生の目をごまかすのは、容易ではありません。

、、、いや、クローラーにお引取り願えばよいだけですが、、、それが出来る人なら、アクセス制限してますよね。

Cyber Syndromeは、速度や性能チェックの名の下にCyberSyndrome : Proxy Checkerで収集している気がします。

GIGAZINEさんの方法でちょっとスクリプトを組めば、自動的に収集もできそうですが。

で、第三者が利用するリスク絡みですが、、、

回答者4(t-wada)さんの中間者攻撃、、、これは盲点でした。

今までアクセスしてないサイトの場合、自動的に証明書を作るようにすれば、全自動でもいけそうですね。

やはり、SSL証明書エラーは、ちゃんと読まないといけませんね。

ただ、そもそも暗号化されているとはいえ、全通信内容を匿名プロキシの運営者に取られるわけです。

そして、とられた通信内容は、攻撃し放題です。

やる人がいるかどうかは判りませんが、いつかは見られる可能性があるのです。

全通信内容を見られるリスクがあると思います。

やはり、誰に見られても良いものしか、見るべきではないと思います。