- スイス拠点のセキュアメールサービス Proton Mail が、カタルーニャ独立運動組織 Democratic Tsunami と結び付けられた匿名アカウントの復旧用メール情報を提供し、プライバシー論争が再燃
- スペイン当局は入手した 復旧用メールアドレス を根拠に Apple へ追加情報を要請し、ひも付いた氏名・住所・電話番号を通じて個人特定に至った
- 要請は 対テロ法 名目だったが、Democratic Tsunami の主な活動が抗議活動と道路封鎖だった点から、措置の比例性と正当性が争点となっている
- Proton は正式な スイス裁判所命令 があれば国際的な法執行要請に協力する義務があり、2023年だけで 5,971件のデータ要請に応じた
- メール本文・添付ファイル・ファイルは暗号化されており Proton でも読めないが、復旧用メールのようなアカウントのメタデータはユーザーが OPSEC の観点で自ら管理する必要がある
スペイン事件の流れ
- Proton Mail は、エンドツーエンド暗号化とノーログ方針を掲げてきたスイス拠点のセキュアメールサービス
- 今回の事件は、スペイン当局がカタルーニャ独立運動組織 Democratic Tsunami の構成員と疑った人物に対する法的要請から始まった
- 論争の中心には、「Xuxo Rondinaire」という偽名を使った Proton Mail アカウントの 復旧用メールアドレス がある
- この人物はカタルーニャ州警察 Mossos d’Esquadra の構成員ではないかと疑われ、内部知識を利用して Democratic Tsunami 運動を支援したとみられている
- Proton Mail が復旧用メール情報を提供した後、スペイン当局は Apple にそのメールと関連する追加情報を要請し、個人特定に至った
管轄権とテック企業をまたいだ特定プロセス
- この事件は、複数の 法域 と企業をまたいだ要請の連鎖で構成されている
- Proton Mail はスイスに拠点を置く
- スペイン当局は Proton Mail アカウントの復旧用メールを確保した
- その後 Apple にそのメールに関連する追加情報を要請した
- この流れは、テック企業、ユーザープライバシー、法執行機関の間にある複雑な相互作用を示している
- 要請は 対テロ法 名目で行われたが、Democratic Tsunami の主な活動は抗議活動と道路封鎖だったと整理されている
- そのため、法執行措置が比例的かつ正当だったのかが核心的な論点として残る
Proton の法的義務と過去の事例
- Proton Mail の協力はスイス法に拘束されており、国際的な法執行要請が正式ルートである スイスの裁判所システム を通じて正式化されれば、協力しなければならない
- 2021年にも Proton Mail は、フランスの気候活動家の逮捕につながった法的要請に応じて論争を招いた
- 当時はスイス法に基づき、特定個人の IP アドレス情報を収集してスイス当局に提供する必要があった
- スイス当局はその情報をフランス警察と共有した
- Proton は過去に RestorePrivacy に対し、「メール本文、添付ファイル、ファイルなどは常に暗号化されており、読むことはできない」と述べている
- Proton の 透明性レポート によれば、Proton Mail は 2023年に 5,971件のデータ要請 に応じており、これは前年よりわずかに増加した数字である
Proton の立場
- Proton は今回の事件の核心的な詳細を確認し、スペインのテロ事件がスペイン国王への脅迫容疑に関連していることを認識していると述べた
- ただし、個別事件については通常コメントしないという立場もあわせて示した
- Proton は、自社が保有するユーザー情報は最小限であり、今回の事件でも Apple から得たデータがテロ容疑者の特定に使われた点を根拠として挙げている
- Proton は基本的に プライバシー を提供するが、匿名性をデフォルトで提供するわけではないと説明している
- 匿名性の確保にはユーザー側の OPSEC 対策が必要
- 例として、Apple アカウントを任意の復旧手段として追加しない行動を挙げている
- 復旧用アドレスの追加は必須ではなく、この情報は理論上、スイス裁判所命令に基づいて提供される可能性がある
復旧用メールと登録時検証の違い
- Proton は、メールアカウントに 復旧用メール を追加することは任意だと説明している
- ただし検証では、VPN サービスと Tor を通じて登録する際に Proton が検証用メールアドレスを要求した事例があった
- Proton の検証ボックスには、そのメールアドレスが「一回限りの検証にのみ使用される」と表示されている
- 復旧用メールと異なり、この検証用メールはアカウントに継続してひも付けられていないようだ
- したがって、復旧用メールはアカウントに関連付けられうる情報であり、検証用メールは一回限りの登録検証目的として区別される
OPSEC の観点でのユーザー注意点
- Proton Mail のような暗号化メールサービスも、法的要請や政府の要請から完全に自由ではない
- 機密性の高い活動や政治的な活動に関わるユーザーは、運用セキュリティ（OPSEC） を優先的に考慮する必要がある
- 推奨される対策は次のとおり
- 個人の身元や主要な業務活動に直接結び付く復旧用メールや電話番号を避ける
- 匿名性をさらに高めるため、補助的・使い捨てのメールや仮想電話番号を検討する
- 可能であれば IP アドレス露出を減らすために VPN を使用する
- 匿名の決済手段の利用を検討する
- 通信サービス提供者の法的義務と国際的な法執行要請への対応方針を確認する
- Proton Mail や類似サービスは、メールプラットフォーム上で相応の保護とエンドツーエンド暗号化を提供するが、サービス提供者の法的義務とユーザーのセキュリティ要件の間で慎重な判断が必要となる
1件のコメント
Hacker Newsのコメント
読者は、ProtonMailが実際に提供できる保護と、合法的な企業に期待する保護レベルとの間で混乱しているように見える。
ProtonMailやAppleは、召喚状が不当だと判断すれば争うだろうが、最終的な決定権はなく、合理的にアクセス可能なデータの提供を強制される可能性がある。
結局、ユーザーはサービス提供者にどの情報を渡すかを自分で設計する必要があり、傍受の可能性まで考慮して中間者の弱点も評価しなければならない。電話番号や復旧用メールアドレスを紐づけることは、かなり大きな手がかりになる。
要点は、こうしたサービスであっても、自社がアクセス可能なわずかな情報の提供を強制され得るし、その情報が身元特定に役立つ可能性があると認識することだ。2つ目の教訓は、民主的自由を尊重する政府を選ぶべきだということかもしれない。
Protonをめぐる論争は、自らを安全でプライベートなメールとして宣伝し、ユーザーデータを決して渡さないと約束していたことから始まったが、実際には渡したことがある。昨年も約6,000件の要請に対してデータを提供していたことを考えると、「当局に絶対に密告しないメール」というマーケティングとは合わない。
より大きな問題は、Protonが今では要請に抵抗しようとする努力すらあまりしていないように見える点だ。Tutaは、裁判で敗れてもほぼすべての命令に対して争い続けている事例が報じられている: https://techcrunch.com/2020/12/08/german-secure-email-provid...
論点は、サービス提供者が裁判所の要請に従うかどうかではなく、それに対して何かしようとするのか、それとも何も問わずデータを渡すのかだ。
実際、HNユーザーですら十分にミスをする可能性が高い。だから、こうした製品を一般消費者向けにマーケティングすることには懐疑的だ。
裁判所命令によって第三者に顧客情報の開示を強制すること自体は、今も、過去も、将来も、不当とは言い難い。
個別の命令が不当である場合はあり得るし、その場合は争うべきだが、そうした手続きと権限そのものが不当なわけではない。
タイトルにはProton Mailが入っているが、実際の識別情報である本名・電話番号などは、そのアドレスに関する情報請求に対してAppleが提供したもののように見える。
この場合、メールアドレスが手がかりだったが、通信事業者に身元を明かさせるには、どの程度の情報で十分なのかが気になる。たとえば、特定の時刻に使われたIPアドレスが、その瞬間Apple経由でVPN処理されていたなら、一意の識別情報になり得るのだろうか。
あるいは、Googleの広告Cookieが、似た行動を示す別のデバイスと相関付けられることもあるのだろうか。Googleが世帯や関連アカウントを追跡するやり方のように。
名前に privacy が入っているウェブサイトが、プライバシー保護と匿名性を混同して使っているのが気に入らない。プライバシー保護は国家から守るものではなく、一般大衆から守る程度に近いと思う。
国家と戦っている、国家の敵になった、あるいはさらに進んで悪意を持って動く国家機関の職員であるなら、単なるプライバシー保護は何の役にも立たない。むしろそれを誤解することが、今回の事例のように攻撃経路になる。
必要な匿名性のための対策には、洗練された UI、優れた機能、ときには妥当な信頼性すら含まれないことがある。痕跡を残さないために、そうしたものが犠牲になるからだ。
例えば、どんなテーマについて会話したかが明らかにならず、悪用されないようにすることもプライバシー保護だ。国家には、性的マイノリティ、特定宗教の信者、不都合な暴露に関わった記者などを迫害してきた長い歴史がある。
それでも、プライバシー保護と匿名性は密接ではあるが別の概念だ。通信のプライバシー保護が常に匿名性を意味するわけではないが、ときには匿名性を含むし、また含むべき場合もある。
ただし、合法的に運営されているメールサービスが、裁判官に裏付けられた合法的命令からユーザーを守ってくれると信じるのは愚かで奇妙だ。
メタデータの提供は最悪ですらない。裁判官は、暗号化されていない受信メールをコピーさせたり、作成中の非暗号化メールをコピーさせたり、次回ログイン時に暗号化を弱めるよう命じたりすることもあり得る。
サービスが異議を申し立てることはできるし、法治国家と呼べる場所で運営されているなら、それ自体が濫用の可能性を下げる。だがメールには真のプライバシー保護はほとんどなく、匿名性はさらに少ない。
だからといって、そのサービスが役に立たないという意味ではない。ただ、EU加盟国による政治的迫害を心配している場合や、犯罪を犯している場合には、防護壁にはならない。
「政府、企業、個人による承認されていない私生活への侵害を受けない権利は、多くの国のプライバシー保護法、場合によっては憲法の一部である」
少なくとも Wikipedia の基準では、プライバシー保護は場合によって国家からの保護を含む。その定義がどこから出てきたのか気になる。
しかし、その概念は、すでに共有したデータの痕跡を企業が隠してくれるという意味ではない。今回の場合は復旧用メールアドレスがそれに当たる。
個人情報を渡して犯罪を犯したあと、その相手に隠してくれと要求するなら、それは匿名性を求めているのではなく、共犯者を求めているのだ。
ここで重要なのは、Proton がユーザーや潜在ユーザーに約束・宣伝した内容と、実際に提供可能なものとの違いだ。Proton がこの点をもっと公に説明しているのかは知らないが、ほとんど誰も読まない長い利用規約の中にだけ埋もれていないことを願う。
ProtonMail は復旧用アドレスを引き渡し、Apple はそのアドレスに紐づく名前・実住所・電話番号を引き渡した。
「その情報を受け取った後、Apple にこの2つ目のメールアドレスに関連する情報を求め、氏名・自宅住所・電話番号を受け取った。その後、Guardia Civil はその電話番号を担当する通信事業者にも回線所有者を照会し、Apple が提供した氏名と一致した。また、この人物が Apple の提供した住所と同じ場所に登録されていることも確認したという」
「可能なら常に優れた VPN サービスを使って IP アドレスを隠せ」という助言があるが、VPN が決済手段と結び付いているなら、警察が追跡する中間段階を1つ増やしただけで、この活動家を救うことはできなかっただろう。
推奨 VPN リストでは Mullvad が10件中9位にしか入っていないが、私の知る限り、匿名性を保てる決済手段を提供しているのは Mullvad だけだ。
ただし、それを自分の他の身元情報から完全に切り離す必要がある。例えば Tor で Proton のメールアドレスを作ったあと、普段使っているメールアドレスを復旧用アドレスに入れてはいけない。
ほとんどはログがないと主張しており、PIA も少なくとも一度は召喚状を受けたが、ログはないと回答したことがある。
警察がその中間段階を越えて、どうやって私を見つけられるのか分からない。
そんなことをしている評判の良い VPN を1つでも示してほしい。実際にそうしたことが起きた事件も示してほしい。Mullvad を含む優れた VPN はノーログ VPNであり、VPN 経由の活動は記録されず、ユーザーと結び付けられない。
複数の VPN は監査でこれを検証されているだけでなく、裁判所や実際のテストでも正しいことが証明されている。Mullvad が良い例だ: https://restoreprivacy.com/mullvad-vpn-says-customer-data-is...
VPN アカウントの支払いが、VPN がユーザーの活動を記録しているという意味にはならない。決済記録の保管と、VPN サーバー経由のユーザー活動のロギングは別物だ。そして有名 VPN の多くは暗号通貨決済も認めている。
核心はこの部分です:
「スイス法に基づき、Proton Mailは当該個人のIPアドレス情報を収集してスイス当局に提供するよう強制され、スイス当局はそれをフランス警察と共有した」
どんなプライバシー保護の保証を掲げても、その保証が暗号学によって担保されていないなら空虚なジェスチャーです。ユーザーのプライバシーを守るために刑務所へ行く人はいません
今回の論争の中心は、Proton Mailが「Xuxo Rondinaire」という偽名を使っていた個人のProton Mailアカウントに紐づく復旧用メールアドレスをスペイン警察に提供した点です。この人物はMossos d’Esquadra、つまりカタルーニャ警察の所属で、内部知識を利用してDemocratic Tsunami運動を支援した疑いを持たれています
スペイン当局はProton Mailから復旧用メールを受け取った後、Appleにそのメールと関連する追加情報を求め、その結果、身元を特定しました
隠したいなら、法の枠内で運営されていないプロバイダーを探すべきです。ただし合法的な取引でなくなれば、多くの利便性は失われます。支払ったサービスを受けられる保証もなく、主要な認証情報を失ったときにアカウント復旧を期待するのも難しくなります
メール本文は暗号化されており、Proton Mailはアクセスできません
こうした事件を考えるときは、常に並行構築を念頭に置くべきです: https://en.m.wikipedia.org/wiki/Parallel_construction
当局がすでにこの情報を持っていた可能性はかなりあります。場合によっては、インターネットプロバイダーの合法的傍受を通じて平文メールを見ていた可能性すらあります。Proton/Apple経由も悪いですが、実際の出所はそれ以上に悪かったかもしれません
Proton Mailは、スイス法が要求し、スイスの捜査機関が求める場合にのみ情報を提供します。スイスのプライバシー法はかなりまともな部類です
どの企業にも、それ以上に厳格なプライバシーポリシーを期待するのは難しいでしょう
Proton Mailはメール本文を提供できず、メールアドレスやIPアドレスのようなものだけ提供できます
誰かが保存したものは何であれ引き渡され得ます。その情報が有用かもしれないし、役に立たないかもしれないし、今は役に立たなくても明日鍵を入手すれば有用になるかもしれません
TorでProtonMailアカウントを作ってみると、電話番号でのアカウント確認を要求されます。プロキシではないIPを使うと、この段階はスキップされます
結局、ユーザーが誰なのか知りたがっているということで、何年も前からそうでした。ずっと前からおとりサービスだったと思います
その場合でもメールアドレスはアカウントに紐づけられず、メールの暗号学的ハッシュだけを保存します。ハッシュ関数は一方向なので、ハッシュから元のデータを復元することはできません: https://proton.me/support/human-verification
過去には電話認証を使っていましたが、現在はそうではありません。電話番号もメールアドレスと同じ方式で保存されていたため、同様にハッシュから復元する方法はありません
こうした手順を置いている理由はスパム対策です。残念ながら悪用される可能性があり、実際に悪用されたこともあります
メールを少しでも私的に保つほぼ唯一の方法は、GPG鍵とともに自前ホスティングのサーバーを使うことです。しかし、そのサーバーのセキュリティ更新を少しでも怠れば、ほぼ即座に侵害され得ます
それ以上にできることは思い浮かびません
メールは常に平文で移動するものとして扱ってきました。現在のプロバイダーであるFastmailも当局によって妥協され得ます。オーストラリアに拠点を置くためAustralian Privacy Act 1988の影響を受け、サーバーがニューヨークで運用されているのでPRISMにも引っかかります
アカウントをずっとTorだけで使い続けるなら、追跡可能な情報は残らないはずです
あるときは電話番号が必要で、あるときはメールアドレスが必要で、あるときはCAPTCHAだけで終わります
復旧用メールを連邦機関に提供したのは今回が初めてではありません
https://www.forbes.com/sites/thomasbrewster/2023/08/08/proto...
アーカイブ: https://web.archive.org/web/20230814144638/https://www.forbe...