はじめに（この記事で分かること）#

「IPを隠せる」手段として、プロキシ・VPN・Torの3つがよく挙げられる。しかし、プロキシとVPNとTorでは、匿名性の構造が根本的に異なる。

この記事では、3つの技術が「誰を信頼しているか」「何を隠せるか」という観点から構造的な違いを整理する。

前提: 脅威モデルの整理#

IP隠蔽が有効な相手は、脅威モデル入門で整理した5種類の相手のうち、主にISPと広告網だ。ただし、手段によって「信頼する相手」が異なるため、脅威モデルごとに適切な選択は変わる。

プロキシの構造#

プロキシは、HTTP(S) トラフィックを中継する単純なサーバーである。多くの「匿名プロキシ」は、SOCKS5やHTTPプロキシとして公開されているリストから選んで使う。

プロキシの問題は、以下の通りである。

  • 信頼の欠如: プロキシの運営者が誰か不明である。ログを取られていない保証がなく、通信内容を改ざんするリスクもある。
  • 暗号化の欠如: HTTPプロキシは通信を暗号化しない。HTTPSの場合はプロキシへの接続が暗号化されているが、プロキシ自体が中間者になる可能性は排除できない。
  • 単一障害点: 1つのプロキシ経由では、そのプロキシが送信元と宛先の両方を知ることになる。

VPNの構造#

VPNは、クライアントとVPNサーバー間に暗号化トンネルを張る。ISPはトンネルの中身を見ることができないが、VPNサーバーは通信先を知る。

VPNの匿名性は、VPNプロバイダの「ログを取らない」というポリシーと、その監査に依存する。技術的には、プロバイダがログを取れば送信元と宛先を結びつけることができる。

VPNの匿名性の評価軸は、VPN匿名性の段階で解説する。

Torの構造#

Torは、3つの独立した中継点（ガード、ミドル、出口）を経由させる。どの中継点も「誰が」と「どこへ」の両方を同時には知らない。

Torの匿名性は、単一の信頼ポイントに依存しない分散設計にある。それでも、入口側と出口側の両方を観測できる相手はタイミング相関で通信を紐付けうる。ガードと出口のリレーを同じ攻撃者が運営している場合のほか、利用者側と通信先側の両方の回線を見られるISPや国家機関もこれにあたる。詳しくは通信のタイミング相関で扱う。

Torの実践的な使い方は、Tor Browser実践ガイドで解説する。

比較表#

技術信頼モデル暗号化匿名性
プロキシ単一事業者（信頼できない）方式による（HTTPプロキシやSOCKSは経路を暗号化しない）事業者が接続元と接続先の両方を見る
VPN単一事業者（監査に依存）端末からVPNサーバーまで。サーバーから先は暗号化されない事業者が接続元と接続先の両方を見うる
Tor分散（3ホップの独立リレー）端末から出口リレーまで。出口から先は暗号化されない（HTTPSでない通信は出口リレーに読まれる）単一のリレーは接続元と接続先の両方を知らない。両端を観測できる相手には弱い

まとめ#

プロキシは「IPを隠せる」が「匿名になれる」わけではない。匿名性が必要な場合には、VPNまたはTorを選択すべきである。

  • 日常的なIP隠蔽にはVPNが合理的。
  • 高い匿名性が必要な場合にはTorが合理的。
  • プロキシは、信頼できる事業者が運営するものでない限り、匿名性の手段としては扱うべきではない。