はじめに（この記事で分かること）#

VPNを契約してTor Browserを入れれば、匿名になれるのか。

2013年10月に逮捕されたSilk Roadの運営者Ross Ulbrichtは、サイトをTorのonionサービスとして運営していた。それでも身元は割れた。NBCが伝えるFBIの訴状によれば、手がかりはTorの欠陥ではなく、2011年1月27日、マジックマッシュルーム愛好家のフォーラムに「altoid」という名前で書き込まれたSilk Roadの宣伝投稿だった。同じaltoid名義は同年10月、bitcointalk.orgに求人投稿を残している。応募先として書かれていたのはrossulbricht@gmail.comだった。公判では、onionアドレスを普通のGoogle検索にかけてこの投稿群にたどり着いたのはIRSの捜査官Gary Alfordだったと説明されている。

Torは設計どおりに動いていた。崩れたのは、何を誰から隠すのかという設計のほうだ。匿名性は道具の選択ではなく、「誰から何を隠すか」を決める設計の問題であり、その答えは人によって変わる。読み終えたときに、自分の脅威モデルを5つの問いで書き出せること、そしてこのサイトのどこから読めばよいか判断できること。この記事はそこを到達点に置く。

前提: 脅威モデルの整理#

脅威モデルとは、守りたいもの、それを狙う相手、そして守るために払えるコストを書き出した見積もりのことだ。Privacy Guidesは、EFFのSurveillance Self-Defenseをもとに次の5つの問いを示す。

  1. 何を守りたいのか
  2. 誰から守りたいのか
  3. 守る必要が生じる可能性はどれくらいか
  4. 失敗したとき、結果はどれほど悪いか
  5. 起こりうる結果を防ぐために、どこまで手間をかけられるか

EFF自身の版（2023年10月最終レビュー）は6問で、「味方は誰か」という問いが入っている。同居している人の中に守るのを手伝ってくれる人はいるか、という趣旨だ。

匿名性の文脈では、1つ目の問いの答えが少しずれる。Privacy Guidesはプライバシーを「自分のデータがどう使われ、共有されるかについての選択」とし、匿名性を「オンラインの活動と現実の身元を完全に切り離すこと」と区別している。匿名で書いた投稿は、内容が世界中に公開されていても困らないことが多い。困るのは、その投稿と自分の名前が結びつくことだ。守る対象はデータそのものより、データと身元の間の紐付けになる。

もう一つ、現実の匿名活動の多くは完全な匿名ではなく、同じハンドル名を使い続ける「仮名」での活動だという点も押さえておきたい。仮名は評判を積み上げられる代わりに、活動が長くなるほど手がかりが同じ名義の下に溜まっていく。Ulbrichtのaltoidは、その溜まった手がかりが2年後に回収された例だった。

3つ目と4つ目の問いは、恐れの大きさではなく確率と被害で答える。Privacy Guidesは、携帯キャリアは利用者のデータすべてにアクセスできるが、それを公開してしまうリスクは低い、という例を挙げている。能力があることと、それを自分に向けてくる可能性があることは別の話だ。5つ目の問いについて同サイトは「完璧なセキュリティは存在しない」と明言し、国家安全保障事件を担当する弁護士と、猫の動画をメールで送る親とでは、払うべき手間がまるで違うと書いている。

誰から隠すのか: 5種類の相手#

「誰から」の答えは、大きく5つに分けられる。それぞれ見えているものと、使える手段が違う。

相手見えているもの主な手段関心の向き
ISP（回線事業者）契約者の氏名・住所、通信先のIPアドレス、時刻と通信量回線上での観測、法的要請に応じたログ提出個人への関心は通常ない
プラットフォーム（SNS・メール・クラウド）投稿内容、ログイン時のIP、電話番号、端末情報自社サービス内のデータ照合、開示請求への対応規約違反・不正利用の検知
広告網・データブローカー複数サイトをまたぐ閲覧履歴、ブラウザの特徴Cookie、ブラウザフィンガープリント、データ購入名前より「同じ人」であることの紐付け
法執行機関上の3者から法的手続きで取得できるもの全部令状、端末押収、潜入、ブラウザ悪用特定の事件と対象者
標的型攻撃者（ストーカー・元交際相手・敵対者）公開情報と、その人が元から知っているあなたの情報OSINT、ソーシャルエンジニアリングあなた個人

ISPは回線の契約者を知っている。通信がHTTPSで暗号化されていれば中身は読めないが、どのIPアドレスと、いつ、どれだけやり取りしたかは見える。ISP自身が利用者を詮索する動機は乏しい。ISPが問題になるのは、他の相手がたどってきた紐付けの最後の一段として、IPアドレスを契約者の氏名に変換するときだ。

日本では、この連鎖が法律上の手続きとして整備されている。匿名の投稿で権利を侵害された人は、まずプラットフォームに投稿時の接続元IPアドレスとタイムスタンプの開示を求め、次にそのIPアドレスを管理するISPに契約者情報の開示を求める。2022年10月からは裁判所の「発信者情報開示命令」でこの二段階をまとめて扱えるようになり、2025年4月1日に根拠法の名称が「情報流通プラットフォーム対処法」に変わった後も、開示の仕組みはそのまま引き継がれている（総務省）。日本で匿名アカウントを運用する人にとっては、国家の監視より、このプラットフォームからISPへの連鎖のほうがはるかに身近な相手だろう。

広告網は、あなたの名前を必要としない。同じブラウザが昨日どのサイトを見て、今日どのサイトを見ているかがつながれば商売になる。だからIPアドレスをVPNで変えても、Cookieやブラウザの特徴が同じなら追跡は続く。この相手についてはブラウザフィンガープリントの記事で詳しく扱う。

法執行機関は、能力の上限がもっとも高い。上の3者が持つデータを法的手続きで取り寄せられるうえ、端末の押収や捜査用のコードの送り込みまで手段に含む。ただし関心は特定の事件と対象者に絞られ、全員を同じ深さで調べるわけではない。2024年にドイツの報道が、捜査機関がTorのリレーを長期間監視して利用者を特定したと報じた件では、Tor Projectはその後の声明で、特定されたのはサポートが終了した古いチャットアプリRicochetの利用者だったと説明し、Tor 0.4.7で導入されたVanguards-liteという防御を持たない版だった可能性が高いとしている。ただし同じ声明の追記は、その版に防御が入っていたかは確認できず、正確な手法は不明のままだとも断っている。能力は実在する。そして、その能力が届いた入口は、おそらく古いソフトウェアだった。

標的型攻撃者は、能力では法執行機関に遠く及ばないが、あなた個人だけを見ている。そして他の4者が持たない情報を持っていることがある。元交際相手なら、あなたの文章の癖も、起きている時間帯も、昔使っていたハンドル名も知っている。匿名アカウントを見つけるのに令状は要らず、OSINTの記事で扱う公開情報の突き合わせで足りてしまう。

5者は互いに重なる。法執行機関はプラットフォームのデータを使い、標的型攻撃者は開示請求という法的手続きを使える。表は相手を区別するための出発点であって、境界線ではない。

同じVPNでも答えが変わる: 3つの読者像#

脅威モデルが変わると推奨も変わる。そのことは、VPNという一つの道具を3人の読者に当てはめてみるとよく分かる。

一人目は、広告トラッキングやデータブローカーに閲覧履歴を集められるのが嫌な人だ。相手は広告網で、守りたいのは「サイトをまたいだ行動の紐付け」になる。この人にとってVPNの効果は限られる。サイト側から見えるIPアドレスは変わるが、トラッカーはCookieとブラウザの特徴で同じ人を追い続けるからだ。ISPに見えていた通信先がVPN事業者に見えるようになるだけ、という見方もできる。この脅威モデルなら、トラッカーを遮断するブラウザを選び、用途ごとにブラウザを分け、サービス登録にはメールエイリアスを使うほうが合理的だ。毎日続けられる手間であることも条件に入る。

二人目は、取材源を守る必要がある記者だ。守りたいのは自分の身元より、誰と、いつ連絡を取ったかという関係そのものになる。相手には法執行機関や、取材対象となる組織が含まれる。この場合、通信の中身を暗号化するだけでは足りない。連絡の事実と時刻というメタデータが残れば、関係は読み取れる。VPNを一枚挟んでも、ISPに見えていたものがVPN事業者一社に集まるだけで、その事業者が法的要請を受ける可能性は残る。この脅威モデルなら、電話番号を識別子にしないメッセンジャー（匿名メッセンジャー比較）、取材専用の端末、調べものにはTor Browser、という組み合わせが合理的になる。

ネットワークの観測点がどこにあるかも考えに入れる必要がある。2013年12月、Harvard大学で試験を逃れるために爆破予告メールを送った学生は、Tor経由の使い捨てメールを使っていた。NPRが報じたFBIの宣誓供述書によれば、大学はメール受信の数時間前に、この学生が学内の無線LANからTorに接続していたことを突き止めている。Torは通信先を隠したが、Torを使っているという事実は学内ネットワークから見えていた。利用者が限られる環境では、その事実だけで候補が絞られる。検閲回避のためのブリッジは、本来この「Torを使っていること自体」を見えにくくする仕組みでもある。

三人目は、個人でサービスやサイトを運営している開発者だ。Privacy Guidesは、ソフトウェア開発者はサプライチェーン攻撃や標的型攻撃を特に意識する立場にあると書いている。匿名性の観点では、漏れ口が本人のブラウザではなくサーバー側にある点が他の二人と違う。公開したサーバーのSSHホスト鍵やTLS証明書はShodanやCensysといった検索エンジンに収集され、別のサーバーとの照合に使われる。Gitのコミットには、設定したメールアドレスがそのまま記録される。開発者のVPNは自分の閲覧を守るが、サーバーが外に向けて出している情報は何も隠さない。この脅威モデルなら、まずShodan/Censysによる自己点検で自分のインフラが外からどう見えているかを確かめるのが合理的だ。

同じVPNが、一人目には補助、二人目には不十分、三人目には的外れになる。「どのVPNがいいか」という質問には、脅威モデルを決める前には答えられない。

匿名性はどこから崩れるか: 4つの経路#

過去の摘発事例を並べると、匿名性が崩れる経路はおおむね4つに分かれる。netguardiaが法執行機関によるTor利用者の特定事例を整理した分類をもとに、Lamerzでは次の4つに組み替えて使っている。

  1. エンドポイント侵害: ブラウザなど利用者側のソフトウェアが攻撃され、実際のIPアドレスが外部に送られる。押収したonionサイトに捜査用のコードを仕込む手口が代表例で、netguardiaはこれを最も多い経路としている。
  2. 運営者・利用者のOPSEC失敗: ハンドル名の使い回し、実名メールの記載、パスワードの再利用、古いアカウントとのつながり。Ulbrichtの事例はここに入る。
  3. 金融取引の痕跡: 取引所の本人確認記録、銀行、Bitcoinの送金履歴。
  4. 行動パターンとメタデータ: 文章の癖、活動時間帯、写真の位置情報、消し忘れたログ。

netguardiaの元の分類には通信のタイミング相関（traffic correlation）が含まれ、行動パターンは独立した項目になっていない。タイミング相関は大きな資源を要する手段で、読者が自分で手を打てる範囲が狭い。一方、文章や活動時間からの特定は誰の身にも起きる。そのためLamerzは行動パターンを独立した経路として立て、タイミング相関はTorの記事群で扱う。

4つのうち、ブラウザや端末といった道具そのものの欠陥が入口になるのは1つ目だけだ。残る3つは、道具が正しく動いていても起きる。これは犯罪の世界でも同じで、オランダのデルフト工科大学の研究者がUSENIX Security 2021で発表した論文は、閉鎖された闇市場Hansa Market（2015〜2017年）の販売者1,733人のデータを分析し、弱いパスワード、パスワードの使い回し、二要素認証の未使用、PGP鍵の使い回しといった安全でない慣行がすべての販売者タイプに広くみられたと報告している。予想に反して、盗んだカード情報やマルウェアなどデジタル商品を売る販売者のほうが、薬物を売る販売者より慣行が悪かった。著者らは理由の候補として、デジタル商品の販売者が自分のリスクを低く見積もっていた可能性を挙げている。脅威モデルの見積もり違いが、そのまま行動の緩みになって現れた結果として読める。

経路ごとの事例は匿名性が暴かれた実例集（総論）で詳しく扱う。

カンパートメント化: 名義の間に橋を架けない#

カンパートメント化（区画化）は、活動を区画に分け、区画同士が識別子を共有しないようにする考え方だ。Privacy Guidesはこれを主にマルウェア対策として説明し、用途ごとにコンピュータを分ける、仮想マシンで関連するアプリケーションの組を分ける、といった例を挙げている。匿名性の文脈では同じ発想を身元に当てはめる。実名の自分と匿名の自分を別の区画に置き、メールアドレス、電話番号、支払い手段、ブラウザ、ハンドル名を区画ごとに分ける。

匿名性が崩れるのは、多くの場合、二つの区画に同じ識別子が現れたときだ。この識別子を、区画の間に架かった「橋」と呼ぶことにする。Ulbrichtの事例ではaltoidというハンドル名が、宣伝投稿と実名メール入りの求人投稿をつなぐ橋になった。Hansaの論文は、複数の市場で同じPGP鍵を使う販売者を測定対象にしている。評判を別の市場へ持ち込むための鍵の使い回しが、そのまま名義同士の橋になるからだ。

橋になるのは、名前や鍵のように目に見えるものだけではない。2019年に摘発されたWall Street Marketの運営者の一人について、米司法省の訴状は、自宅の回線（契約名義は母親）がVPN事業者に接続した時間帯と、同じVPN経由で市場の管理用システムが操作された時間帯がおおむね重なっていたと記している。時刻も橋になる。

橋になりやすいもの区画をまたいだときに起きること扱う記事
ハンドル名・ユーザー名検索一回で過去の投稿群がつながるOSINT
メールアドレス・電話番号サービス側の登録情報で同一人物と判定される匿名メールとエイリアス
支払い手段決済記録が実名口座に行き着くチェーン解析
IPアドレス・回線開示請求やログ照合で契約者に行き着くIPアドレスからの特定
ブラウザの特徴IPを変えても同じ端末と判定されるブラウザフィンガープリント
文体・活動時間書き方と時間帯の一致で同一人物と推定される文章からの特定
暗号鍵・パスワード鍵の一致や乗っ取りで名義が連結されるパスワードとPGP鍵の再利用

区画は細かく分けるほど管理の手間が増え、手間が増えるほど取り違えの機会も増える。SNSの匿名アカウントを一つ持ちたいだけの人なら、実名と匿名の二区画で十分なことが多い。区画の数も、5つ目の問い（どこまで手間をかけられるか）で決める。

対策の合計ではなく整合性#

匿名化の対策は足し算にならない。十の対策を重ねても、一か所が崩れれば、崩れた一か所の分だけ漏れる。

Wall Street Marketの訴状には、もう一人の運営者についての記述がある。運営者たちは主に二つのVPN事業者を経由して市場の設備にアクセスしていたが、ときどき一方のVPN接続が切れ、それでも作業を続けたことで実際のIPアドレスが露出した。そのIPアドレスの先にあったのは、偽名と疑われる名義で登録されたモバイル通信スティック（UMTSスティック）で、そこからさらに捜査が進んだ。何重にも対策を敷いていた運営者でも、VPNが切れていた間の不整合が入口になった。

不整合は、対策を足すことで生まれることもある。Tor Browserで実名のGoogleアカウントにログインすれば、Torが隠したIPアドレスとは関係なく、Googleはそのセッションを本人のものとして記録する。VPNを契約しても、実名のクレジットカードで支払えば、VPN事業者の顧客名簿に本名が載る。どちらの例でも、一つひとつの対策は正しく動いている。ただ層と層が食い違っている。道具が増えるほど手順も増え、手順が増えるほど切り忘れや取り違えの機会も増える。

整合性を確かめるには、対策ごとに二つの問いを当てるとよい。この対策が外れたとき、何が漏れるか。この対策が働いていても、別の層から何が漏れるか。二つ目の問いに答えが出るなら、その対策を足す前に、漏れているほうの層を塞ぐのが先だ。

このサイトの読み方#

Lamerzの記事は、冒頭の「前提: 脅威モデルの整理」で、その記事の対策がどの相手に有効かを書いている。本文に「脅威モデルXなら〜が合理的」と書いてあれば、それはXの相手を想定したときの判断であり、他の相手には当てはまらないことがある。自分の脅威モデルと記事の前提が合っているかを、最初に確かめてから読んでほしい。

最初の一本にはIPアドレスから個人を特定される仕組みを勧める。IPアドレスだけで個人が特定できるわけではないこと、そしてどの条件が揃うと特定に至るのかが分かれば、VPNやTorの記事を読むときの基準ができる。

その先は脅威モデルで分かれる。広告網やデータブローカーが相手なら、ブラウザフィンガープリントと匿名メールとエイリアスから。取材源や通信相手との関係を守りたいなら、匿名メッセンジャー比較とTor Browser実践ガイドから。サーバーやサイトを運営しているなら、Shodan/Censysによる自己点検とCDNの背後にあるサーバーが特定される仕組みから読むのが近道になる。

どの読者にも、匿名性が暴かれた実例集とその個別事例の記事を一度通して読むことを勧める。事例記事は「なぜ暴かれたか」と「どう防げたか」を主語にしており、犯罪の手順を再現するものではない。他人の失敗を4つの経路に当てはめて読むと、自分の設計のどこが弱いかが見えやすくなる。

限界と残るリスク#

脅威モデルは見積もりであって、相手の能力を正確に知る方法はない。ドイツのTorの件でも、報道側は監視が少なくとも2019年から2021年にかけて続いていたと主張したが、Tor Projectは報道の時点では裏付け資料を確認できていなかった。捜査機関の手段は、多くの場合、事件が裁判になってから初めて公になる。今日の見積もりは、まだ公になっていない手段を含んでいない。

状況が変われば脅威モデルも変わる。EFFは、状況の変化に合わせて計画を頻繁に見直すことを勧めている。転職、引っ越し、交際関係の終わり、発信内容の変化は、どれも「誰から」の答えを入れ替える。

過去は消えない。Ulbrichtのaltoid投稿は、逮捕の2年以上前に書かれたものだった。今日から完璧な区画化を始めても、何年も前に同じハンドル名で書いた投稿や、実名で登録した古いアカウントは残っている。

自分だけでは守れない部分もある。連絡相手の端末から会話が漏れることもあれば、利用しているサービスがデータ侵害を受けることもある。脅威モデルは自分の行動を決める道具であって、他人の行動までは制御できない。

最後に、匿名化の技術は行為の違法性を変えない。この記事の事例に出てくる人物の多くは、匿名性が崩れたこととは別に、行為そのものが罪に問われている。Lamerzは匿名性を守る技術を防御と検証のために解説しており、違法行為の隠蔽を手伝うものではない。

まとめ#

今日できることは、5つの問いへの答えを紙一枚に書くことだ。守りたいもの、相手、起きる確率、失敗したときの被害、かけられる手間。書いた紙には見直す日付も入れておく。

広告網から閲覧の紐付けを守りたい人は、VPNより先にブラウザとメールエイリアスに手を入れるほうが効果が大きい。ブラウザを用途で分けるところから始め、VPNはISPに通信先を見られたくない理由がはっきりしてから検討すればよい。

取材源や相談相手を守る立場なら、連絡の中身より連絡の事実が残る場所を先に洗い出す。電話番号、端末、ネットワークの観測点のどこに関係の記録が残るかを確かめ、取材用の区画を実名の区画から切り離すところが出発点になる。

サーバーやサイトの運営者にとって最初の仕事は、自分の名義と運営物の間に架かった橋を探すことだ。ShodanやCensysでの自分のインフラの見え方、Gitのコミットに残るメールアドレス、ドメインの登録情報を一度点検し、見つかった橋を塞いでから次の対策に進む。

どの脅威モデルでも、新しい道具を足す前に、すでに使っている道具同士が食い違っていないかを確かめてほしい。

出典#