はじめに（この記事で分かること）#

OSの選択は「どの道具が速いか」ではなく、「作業の区画をどう分けるか」の設計問題だ。本名で生活する区画と、匿名で発信する区画が1つのOSで混ざっていると、対策を重ねても実名と匿名の活動が結びつくおそれがある。

この記事は、2026年時点で選択肢になるOS——Qubes OS 4.3、Tails 7、Whonix、Linuxデスクトップ、GrapheneOS、Windows、macOS——を、脅威モデル別に整理する。ハードウェアの選択は前の記事、ブラウザや暗号化などソフトウェアの構成は次の記事で扱う。

前提: 脅威モデルの整理#

OS選びで効いてくる脅威モデルは、主に三つだ。端末に届く悪意あるソフトウェア（マルウェア）への防御、広告網・データブローカーによる追跡への防御、そして標的型の相手に対する区画の分離だ。マルウェアに対して最も強い設計は、区画の分離と、使い捨て可能な環境だ。逆に言えば、追跡だけが相手なら、日常のOSの上でソフトウェアを固めるほうが合理的になる場合が多い。

Qubes OS 4.3: カンパートメント化の本命#

Qubes OSは、日常用・仕事用・匿名用を別々の仮想マシンに分けて動かす設計のOSだ。1つの区画が侵害されても、仮想化の隔離により全体に波及しないことを設計思想にする。

2025年12月21日に4.3.0がリリースされ、その後のパッチリリースを経て4.3.2が現行の安定版になっている。旧版の4.2系は2026年6月21日にEOLを迎えたので、新規に導入するなら4.3系一択だ。ハードウェアとの相性が成否を分けるため、Qubes認定機（NitroPad V56、NovaCustom NV41）が第一の選択肢になる。

Qubesの強みは、匿名の区画を「別のOS」として日常生活の中に常駐させられることだ。Tor専用の仮想マシン（Whonix統合）を用意し、銀行やSNSの実名区画とは別々のVMとして隔離して運用できる。弱みは学習コストと、日々の運用に手間がかかることだ。全員に勧めるOSではなく、分離の必要が本当にある立場（記者、調査員、開発者）向けの本命と考えるのが実態に合う。

ネットワークレベルでVPNを強制する構成（VPNルーターの下にQubesを置く）は、Qubes + VPN Routerの記事に実装を譲る。

Tails 7: 使い捨ての匿名環境#

Tailsは、USBメモリから起動するライブOSだ。メモリ上だけで動き、終了時にRAMを消去する。通常のアプリ通信はTor経由に制限されるが、ネットワークの認証画面などに使うUnsafe Browserは例外で、Torを経由せず接続先に実IPが見える。保管はしないことを前提に設計されており、永続ストレージは明示的に有効化した部分に限られる。

運営面の変化として、Tailsは2024年9月にTor Projectと運営を統合した。開発はTor Projectの傘下に移り、Tails 7.0は2025年9月18日にリリースされた（Debian 13 Trixieベース）。2026年10月30日には7.16が公開されており、Tails 7系が現行だ。

Tailsの適所は「使い捨てのセッション」だ。信頼できるPCでの一時的な作業に向く。公共PCはハードウェアやファームウェアを信頼できるとは限らず、Tailsでもその侵害は防げない。逆に、日常の長期運用には向かない。永続ストレージを大きくするほど「使い捨て」の性質が薄れ、Qubesや通常のLinuxで運用したほうが扱いやすくなる。Torを介する関係上、ブラウザのフィンガープリント対策はTor Browserの実践ガイドと同じ原則に従う。

Whonix: Torの下敷きとしての分離#

Whonixは、Torを扱う「ゲートウェイ」と、作業する「ワークステーション」を仮想マシンで分離する構成を提供する。ワークステーションからの通信は、誤ってでもゲートウェイ経由以外に出られない設計だ。Qubes OSには統合されており、スタンドアロンではKVMなどの仮想化環境で動く。Tailsとの違いは「持続して使う」ことを前提にしている点だ。長期的にTor環境を維持したい場合の選択肢になる。

Linuxデスクトップ: 日常の土台#

匿名区画でない日常の区画にも、OSの選択は効く。Debian、Fedora、Ubuntu系のLinuxデスクトップは、テレメトリの範囲が比較的把握しやすく、ディスク全体暗号化（LUKS）、ファイアウォール、ソフトウェアの供給元の管理が明示的だ。Privacy GuidesはOSごとの推奨一覧を維持している。

実務上の要点は三つだ。インストール時にディスク全体を暗号化する。ソフトウェアは公式リポジトリから入れ、入手元の怪しいバイナリを避ける。そして、日常区画と匿名区画を同じ環境に混在させない（ブラウザのプロファイルを分けるだけでは、OS層の結合は切れない）。

Windows: 使い続ける場合の現実的な下限#

Windowsを捨てられない立場（仕事、ゲーム、特定のソフトウェア）は多い。その場合の下限を確認しておく。

Windows 11のCopilot+ PCでは、画面の操作履歴を撮影・検索可能にするRecallが提供されている。スナップショットの保存は既定で無効であり、本人が有効化を選ぶ必要がある。Microsoftは保存データをローカルで処理・暗号化すると説明している。保存設定を確認し、不要ならWindowsの機能の追加と削除からRecall自体を取り除ける。テレメトリの制御にはO&O ShutUp10++のようなツールも使われる。

ディスクはBitLockerで暗号化する。Microsoftアカウントの紐付けは、端末上の追跡とバックアップの両方に関わるので、匿名区画では絶対に混ぜない。

macOS: Appleに任せる範囲を決めて使う#

macOSは、FileVaultによるディスク暗号化が既定で強く、iCloudのAdvanced Data Protectionを有効化すればiCloudの多くのデータがエンドツーエンド暗号化される。さらに高度な標的型攻撃が想定される立場では、ロックダウンモード（設定→プライバシーとセキュリティ）で攻撃面を大きく絞れる。

見方を変えれば、macOSの匿名性は「Appleへの信頼」に構造的に依存する。鍵の管理はAppleの設計に従い、リカバリの仕組みもAppleの用意した形になる。これを容認するかどうかが、macOSを匿名区画に使うかどうかの分岐点だ。実務上は「日常区画はmacOS、匿名区画は別端末」という分離のほうが扱いやすい。

モバイル: GrapheneOSとiPhone#

スマホのOS選択の詳細はハードウェアの記事で扱った。ここではOSの視点だけまとめる。

GrapheneOSは、Androidアプリの互換性を保ちながら、サンドボックス化されたGoogle Playサービス（任意・選択的）、アプリごとのネットワーク・センサー権限、ストレージスコープ、自動再起動などの防御を提供する。対応端末はPixel中心で、2026年11月時点でPixel 10系列を含む範囲に公式サポートがある。サポート期限はGoogleのセキュリティ更新に沿うため、購入時点で残りの期間を確認する習慣が重要だ。

iPhoneではクラウドデータの保護にAdvanced Data Protectionを検討し、高度な標的型攻撃が想定される場合にロックダウンモードを検討する。トレードオフはApple IDという中央サービスへの依存だ。市販Android端末も、機種ごとの防御機能と残存更新期間で評価する。

脅威モデル別の選択#

脅威モデルデスクトップモバイルポイント
広告・トラッカーが主な相手LinuxデスクトップまたはWindows/macOSの設定固めiPhone（ADP有効）またはGrapheneOSソフト構成で大部分が決まる
標的型攻撃・ストーカーQubes OSまたはmacOSGrapheneOSまたはiPhone区画の分離と更新の継続。ロックダウンモードは高度な標的型攻撃が想定される場合
取材源・身元の保護Qubes OS + Whonix / Tails（使い捨て作業）GrapheneOSのPixel匿名区画を物理的に別端末にする選択肢も強い
サーバー運営Linux（Ubuntu/Debian系）+ ハードニング—サーバー匿名化と匿名VPS参照

限界と残るリスク#

OSの乗り換えには実質的なコストがつき、コストを嫌って「結局全部を1つの環境で」と使い方が戻るおそれがある。QubesとTailsは学習コストが高く、設定を誤れば逆に情報を漏らす（例: Tor環境でのファイル共有、Sessionの落とし穴のような周辺機能の漏れ）。Windows/macOSは、クラウドアカウントとの結合を切ることが構造的に難しい場面がある。

また、OSは他の層を置き換えない。フィンガープリントはブラウザ層の問題であり、文体は文章層の問題だ。OSを変えただけで、総合的な匿名性は変わらない。

まとめ#

読者の最初の一歩は、匿名区画と実名区画をOSレベルで分けることだ。難しく始める必要はない。日常用のOSの上で、匿名の作業だけをブラウザではなく仮想マシンや別端末に移す。それが習慣になったときに、Qubes OS 4.3かTails 7に進むかを決めればよい。モバイルは、更新が続く端末（GrapheneOS対応のPixel、またはiPhone）を1台確保することが出発点だ。

次に読む記事: ソフト構成、ネットワーク機器、ハードウェアの選び方。

出典#