活動家のための Infosec 101 ガイド
(infosecforactivists.org)- 街頭デモや活動は、嫌がらせ、逮捕、doxxing につながる可能性があるため、活動家は デジタル安全 と機微情報の管理を日常的な準備として扱う必要がある
- ツール選定の基準は、情報収集・外部保存・公開露出を減らすことであり、Signal、BitWarden、DuckDuckGo、Firefox、Jitsi、ProtonMail、ProtonVPN などが推奨される
- Google Maps、Telegram、WhatsApp、Discord は、位置追跡、グループメッセージ保護の限界、法執行機関への提供可能性のため、活動家向けツールとして不適切 である
- デモの前後には、OS・アプリの更新、Signal の準備、同行者計画、Facebook での参加表示禁止、写真投稿禁止、一時的な Signal グループ削除といった 運用上のセキュリティ が必要である
- スマートフォンは GPS、Bluetooth、WiFi、UWB、携帯通信網によって位置や識別の痕跡を残すため、現場では無線機能の遮断、生体認証の無効化、短い自動ロック、フルディスク暗号化が重要である
活動家に必要なデジタル安全の範囲
- 米国の活動の伝統は長く、街頭デモは認知向上と制度変革への圧力をかける重要な手段である
- 既存の権力構造に挑戦する活動は 露出リスク を伴い、その露出は嫌がらせ、逮捕、doxxing につながる可能性がある
- 個人情報は過去よりもはるかにアクセスしやすくなっており、敵対的な集団はそれを活動家に不利な形で利用できる
- この文書は、一般的なデモ安全や日常的なデジタル安全よりも、活動家が持つ 特有の要求とリスク に合わせた情報セキュリティに焦点を当てている
- 法執行機関は技術企業と協力して、利用者が私的だと思っていたデータにアクセスできる場合があり、データ漏えいは氏名のような個人情報を露出させ、日常生活にも影響しうる
すぐに切り替えられる推奨ツール
- 推奨ツールは セキュリティ、プライバシー、コスト、初心者の使いやすさ を基準に選ばれている
- すぐに切り替えられるサービス:
- BitWarden: 強力で固有のパスワードを保存するパスワードマネージャー、無料または月額 $1 の追加機能
- DuckDuckGo: Google Search の代替検索、無料
- DuckDuckGo Maps: Google Maps の代替となる地図・経路案内、無料
- Firefox: Chrome、Safari、Internet Explorer、Edge の代替ブラウザ、無料
- Jitsi: Zoom、Google Meet、WebEx の代替となるオンライン会議、無料
- ProtonMail: Gmail、Yahoo、業務用メールの代替となるメール、無料または月額 $5 の追加機能
- ProtonVPN: ケーブル・モバイル事業者が活動内容を共有するのを防ぐ VPN、無料または月額 $5/$10 の追加機能
- Signal: SMS、Facebook Messenger、安全でないメッセンジャーの代替、無料
- 基本原則は、情報を収集する、利用者が制御できない場所に保存する、または公開露出させるツールを避けることである
- 手放しづらいツールがあるなら、そのサービスのプライバシーポリシーとデータ保護方法を自分で確認すべきである
避けるべきツールとその理由
- Google Maps はデモ参加中には避けるべきである
- Google Maps は利用者を追跡し、Google は位置追跡データを詳細に保管している
- このデータは法執行機関に提供される可能性があり、特定のデモ現場や現場内の特定区域、犯罪行為の近くにいたことを、分単位・数フィート単位で結びつけられる
- 代替は Apple Maps と DuckDuckGo Maps で、これらは同じ方法で利用者を追跡せず、地図提供者が収集するデータの匿名化を試みている
- Telegram は、過去のセキュリティ問題とグループメッセージ保護の限界から推奨されない
- 個人間メッセージはエンドツーエンド暗号化をサポートするが、グループメッセージには適用されない
- グループメッセージは “spam” または “abuse” として報告される可能性があり、内容全体が Telegram の従業員や契約スタッフのレビュー対象になりうる
- そのデータは法執行機関に提供される可能性があり、完全な暗号化方式はすべての会話でデフォルト有効ではない
- WhatsApp も同様の問題があるため推奨されず、個人の安全のために最初から設計された Signal が代替となる
- Discord は活動家コミュニティで人気が高まっているが、活動家の利用には大きなリスクがある
- Discord サーバーに投稿したメッセージや画像は、サーバー外または Discord 外からも見える場合がある
- Discord は要請があれば法執行機関にデータを提供し、利用者通知ポリシーはあるが、法律により通知が省略されることがある
- プライバシーポリシーによれば、メッセージ、画像、行動、デバイス情報、さらには Discord 外での一部活動まで収集しうる
- 仮名で登録しても、デバイス情報や行動データが他のデータと照合され、再識別に十分な場合がある
- データ保持ポリシーが比較的消費者寄りであっても、収集・保存・提供条件を合わせると、活動家には受け入れがたいリスクとなる
デモの前・最中・後の運用上のセキュリティ
- デモ前には 露出の痕跡 を減らし、通信の準備をしておく必要がある
- Facebook で “Going” と表示しないこと、詳細は個人のデバイスや紙に保存すること
- 携帯電話のパスコード入力を練習し、iOS の Emergency SOS と Android の Lockdown mode を有効化し、使い方を練習する
- デモ関連のインターネット検索には DuckDuckGo とプライベートブラウジングセッションを使う
- デバイスの OS とアプリを最新版に更新し、セキュリティ修正を適用する
- Signal のアカウントを作成し、個人の電話番号を使いたくない場合は Google Voice の番号で Signal に登録できる
- 一緒に行く友人を見つけ、Signal で計画を相談する
- デモ中は 同行者計画 を維持すべきである
- デモの同行者と一緒に行動する
- 出発前に集合計画を確認し、合流後は離れた場合に備えた代替場所を決めておく
- 経路案内には Apple Maps または DuckDuckGo Maps を使う
- 可能ならデモ前に道順を印刷しておく
- Apple Maps にはオフラインモードがないため、インターネット接続なしでは使えない
- デモ後は 一時的な通信の痕跡 を減らすべきである
- そのデモのために作成した Signal グループから退出し、削除する
- デモの写真をソーシャルメディアに投稿しない
スマートフォンが残す位置・識別の痕跡
- スマートフォンは便利なツールである一方、法執行機関や他の主体にとって強力な 追跡装置 にもなりうる
- 携帯電話は位置や活動情報を複数のサービスと記録・共有しており、デモ参加時にはこうした機能がデジタルなパンくずのように痕跡を残す
- 携帯電話を紛失したり、法執行機関に押収されたりすると、端末内の情報が警察に露出する可能性がある
- iOS と Android のスマートフォンで共通して管理すべき無線機能:
- GPS: 地図や位置情報アプリに使われ、Google、Apple、またはアプリ提供者に位置更新が送信される可能性があるため、位置情報サービスの無効化が推奨される
- Bluetooth, WiFi, UWB: 周辺機器と通信するために、携帯電話を一意に識別できる情報をブロードキャストし、店舗、政府機関、警察のビーコンやスキャン装置がそれを観測できる
- 携帯通信網: 通話・SMS・ブラウジングをしていなくても基地局と継続的に接続し、同じ街区レベルで位置を特定でき、通信事業者がこれを記録する場合がある
- Stingray のような cell site simulator、IMSI catcher は携帯基地局のように動作し、警察により正確なリアルタイムデータを提供できる
- 機内モードはセルラー無線と一部または全部の無線機能を素早く切るが、動作は端末によって異なる
- 最も安全な方法は、機内モードをオンにした後、設定アプリで Bluetooth と WiFi が本当にオフになっているかを手動で確認することである
押収・紛失に備えた侵入防御
- デモ中に警察が携帯電話を押収する可能性があり、警察は端末を物理的に確保した後、情報抽出を試みることがある
- ロック画面は最初の防御線だが、デモの状況では 生体認証 が危険になりうる
- 指紋認証と顔認証は日常では便利だが、法執行機関が利用者の指や顔を端末に向けさせることがある
- デモ中は生体ロック解除を避けるべきである
- スワイプ、パターン、短いコードは画面に残る指の油の跡から追跡される可能性があり、長いコード入力が最も安全である
- 自動ロック時間はできるだけ短く設定し、電源ボタンですぐロックされるようにすべきである
- フルディスク暗号化 は携帯電話のストレージ内のすべての情報を暗号化された形で保存し、保存チップを取り外しても、その端末と解除コードなしでは内容を読めなくする
- iPhone はロック画面パスコードを設定すればフルディスク暗号化を利用できる
- Android は Settings → Security → Encrypt Phone で暗号化の有無を確認または有効化できる
- Android の暗号化有効化には数時間かかることがあり、端末を充電器につないでおく必要がある
- Android 6 以下で発売された端末ではこの機能が使えない場合がある
iPhone と Android の設定
- iPhone では AirDrop、位置情報サービス、無線機能、ロック設定 を調整する必要がある
- AirDrop は Settings → General → AirDrop で Receiving Off に設定する
- Location Services は Settings → Privacy → Location Services でオフにする
- iOS は機内モードでも Location Services をオフにしない限り GPS 受信機を動かし続ける
- 機内モードで WiFi とセルラーを切り、Bluetooth は Settings → Bluetooth から別途オフにしなければならない
- Face ID または Touch ID をオフにし、Auto-Lock を 30 秒または最大 1 分に設定する
- Require Passcode は Immediately に設定する
- Emergency SOS の使い方は練習するが、自動緊急通報機能は無効化する
- 電源ボタンと音量ボタンのいずれかを長押しすると Emergency SOS のロック画面が表示され、その後は再度パスコードを入力するまで生体認証ログインが無効になる
- Android では 位置情報サービス、機内モード、画面ロック を調整する必要がある
- 通知パネルまたは Settings → Location で “Use location” をオフにする
- 通知パネルまたは Settings → Network & internet で Airplane mode をオンにする
- 必要であれば、機内モードの状態でモバイルデータだけを再度オンにできる
- Bluetooth が実際にオフになっているか確認する必要があり、接続済みの Bluetooth 機器があると Android がオンのままにすることがある
- Settings → Security → Screen Lock で PIN または Password を選ぶ
- ロック画面通知は “Don’t show any notifications at all” が最も安全で、不便なら “Hide sensitive notification content” を選ぶ
- “Lock after screen timeout” は Immediately に、“Power button instantly locks” はオンにする
- Smart Lock は予期せず携帯電話をロック解除状態のままにすることがあるため無効化する
- Settings → Display → Advanced → Screen timeout は可能な限り最短時間に設定する
バックアップと AirDrop の別個のリスク
- AirDrop がオンになっていると、近くの端末に電話番号やメールアドレスなどの 個人識別情報 が漏れる可能性がある
- デモ会場やその近くでは AirDrop を常にオフにし、日常でもファイル共有時のみオンにすることが推奨される
- iOS と Android のデフォルトのクラウドバックアップは活動家にとって問題となりうる
- iCloud バックアップは Apple の従業員がアクセス可能な形で暗号化されており、写真、連絡先、暗号化されていないメッセージなどが法執行機関に提供される可能性がある
- iCloud バックアップには携帯電話のフルディスク暗号化解除キーも保存されるため、法執行機関が Apple にバックアップデータを要求し、このキーで携帯電話全体を解除できる
- 活動家にとっては、解除キーが法執行機関にアクセス可能になるリスクが利便性を上回る可能性があるため、iCloud バックアップは推奨されない
- Android は Google Drive をバックアップに使い、通常は解除キーを含まないが、アプリデータ、通話データ、連絡先、カレンダーイベント、動画、写真を自動的に含める
- Android 9 “Pie” 以降では、利用者のパスワードなしには Google でも開けないエンドツーエンド暗号化バックアップが提供され、ロック画面が PIN、パターン、パスワードで保護されていれば自動的に有効になる
- Android 9 より前の Android クラウドバックアップは使うべきではない
日常の安全のための暗号化・会議・パスワード管理
- 個人メッセージを暗号化するには エンドツーエンド暗号化(E2EE) が必要である
- 多くのアプリは「暗号化」をうたうが、実際に利用者と受信者の携帯電話の間で最後まで暗号化されるアプリは一部に限られる
- エンドツーエンドの性質がなければ、メッセージのコピーは中央サーバーを経由して保存され、提供会社がアクセスできる
- オンライン会議では Zoom、Google Meet、Microsoft Teams は活動家に必要なプライバシーを提供せず、Jitsi が推奨される
- Jitsi は会議内容を録画・保存しない
- 参加時に入力した名前やチャットなど、会議中に提供されたデータは会議終了時に削除される
- ほとんどの参加者はアカウントを必要としない
- 会議室を作るときはアカウントが必要で、Google、GitHub、Facebook アカウントでログインできる
- プライバシーが必要な会議作成者には、使い捨てメールアドレスで GitHub アカウント を作成し、Jitsi にログインする方法が推奨される
- 会議は meet.jit.si で開始できる
- パスワード安全の基本は 3 つである
- 利用可能な場所では 2FA を有効にする
- 推測されにくい長く強力なパスワードを使う
- パスワードマネージャーを使ってサービスごとに固有のパスワードを保存する
- 2FA はログイン時に本人確認をもう一度行い、認証アプリ、メール、SMS を第 2 要素として使える
- どんな 2FA でも、ないよりはるかに良いが、方式によって安全性は異なる
- Google Authenticator は利便性と安全性のバランスが良い
- より強力な選択肢として、Yubikey のような物理セキュリティキーを使える
- メールや SMS のワンタイムコードは前記の方式ほど安全ではないが、2FA がないよりはましである
- 長いパスワードは、文字種に関係なく、より破られにくい
- 8 文字のパスワードは現代の攻撃ツールなら即座に総当たりできるが、10 文字なら数時間かかる場合がある
- 複数の単語からなる、覚えやすい長いパスフレーズが推奨される
- Diceware を使えば、ランダムだが覚えやすいパスフレーズを作れる
- Diceware ジェネレーター: https://diceware.dmuth.org/
- パスワードマネージャーは個人用の金庫のように機能し、マスターパスワードでのみ開けられる
- サービスごとに完全に固有でランダムなパスワードを使える
- あるサービスが漏えいしても、同じパスワードが他サービスで再利用される問題を防げる
- 推奨ツールはオープンソースのパスワードマネージャー BitWarden である
- セキュリティ質問には実際の答えではなく コードフレーズ を使うのがよい
- 「6 年生のときに通った学校」のような質問に、実際の学校名の代わりに当時好きだった漫画キャラクターを答える、といった形で、知人にも推測されにくくする
写真、ソーシャルメディア、追加学習資料
- 活動参加の事実を誰と共有するかは慎重に判断すべきである
- デモに関する会話にメールを使わない
- 自分のフルネームを時々 Google で検索し、どんな情報が出てくるか確認する
- Facebook や他のサービスでデモ会場に “check in” しない
- 警察は召喚状を通じて Facebook や他のソーシャルメディア企業から利用者情報を頻繁に取得する
- 他人の写真を許可なく撮らない
- 写真を撮ったとしても、ソーシャルメディアに投稿しない
- 画像には撮影時刻や場所などの隠れた情報が含まれる
- 写真や動画を送る必要があるなら、信頼できる相手に、安全な手段で、デモ終了後に十分時間が経ち、現場から十分離れてからだけ送る
- デモの同行者を作り、Signal で連絡を取る
- Signal では機微な会話に “Disappearing Messages” を有効にする
- さらに学べる資料:
1件のコメント
Hacker Newsのコメント
Protonは政治に関わることを避けられていないので、勧めるのをためらってしまう。Mullvadには同じような失敗はなかったように思う: https://theintercept.com/2025/01/28/proton-mail-andy-yen-tru...
現在は「privacy by default」のような誤解を招く表現を使っているが、Protonが言っている意味は、デフォルトでは記録しないものの、捜査機関の要請があれば特定ユーザーを記録するよう「強制」され得る、ということだ
出典: https://therecord.media/protonmail-forced-to-collect-an-acti...
https://x.com/andyyen/status/1884907496705339544
どうせここにいる人たちは皆、暗号化がどう動くか分かっていると思うので、大きな問題ではない
主流メディアなら予想どおりのことで、個人的にはProtonにとって良い宣伝になったと思う
このテーマに関する追加資料:
EFF Surveillance Self DefenseのActivist or Protester? https://ssd.eff.org/playlist/activist-or-protester
Privacy GuidesのThe Protester's Guide to Smartphone Security https://www.privacyguides.org/articles/2025/01/23/activists-...
それ以外の場合は、アナキスト系の資料を読むのがよい。例: https://opsec.riotmedicine.net/downloads#mobile-phone-securi...
ステップ1: 自分の脅威モデルを定める
ステップ2: 現在の環境では、こうした対策がその脅威モデルに対して十分ではないことに気づく。ほぼどんな脅威モデルにも当てはまる
ステップ3: ただし、こうした対策の一部はむしろ自分に注意を引き寄せる可能性があることにも気づく
比較的安全な立場にいるなら、プライバシー慣行を普通のものにすることで、今それを必要としている人たちに隠れ蓑を提供できるし、後で自分に必要になったときにも役立つ
参考までに https://qubes-os.org もある。私の日常用OSだ
生体認証を無効にすることがどうやって自分に注意を引き寄せるのか分からないし、なぜこれがセキュリティ上十分でない対策なのかも知りたい
ここにいる人の一部は、こうした推奨の問題をすでに知っているはずなので、さらに一段上に進んでみよう
https://www.notrace.how/ / http://i4pd4zpyhrojnyx5l3d2siauy4almteocqow4bp2lqxyocrfy6pry...
https://www.anarsec.guide/
こうしたリストで最初に確認できることの一つは、Chrome ではなく Firefoxを推奨しているかどうかです。非常に良いシボレス（shibboleth）です
Firefox はレトリック上は Chrome よりも活動家とプライバシーにずっと友好的なコードに見えますが、Chrome にははるかに洗練され、十分に検証された実行時保護があります
Firefox のほうが良い推奨に見えるかもしれませんが、エクスプロイトで簡単に、つまり安価に標的にされないことが目的なら、そうではありません
むしろジオフェンスのような大規模な括りの一部として、データが政府に提供されたり売られたりする可能性のほうが高いです。それを考えると Google 製品は勧めません
実際に特定の標的になっている活動家なら、情報セキュリティ入門レベルはすでに超えているべきで、相当な追加の検討と保護なしに、どちらのブラウザも使わないほうがよいでしょう
内部の英雄たちには敬意を表しますが、さっきの AI 排除の誓約の話はいったい何だったのか、と思ってしまいます
この話題で、Chrome のセーフ ブラウジングがユーザーのセキュリティを目に見えて改善するのかも気になります
ユーザーの個人データを Google に送ってスキャンする方式なので、そのトレードオフに見合う価値がなければなりません
活動家にとってエクスプロイトも怖いでしょうが、より直接的な脅威は、私たちが気づく気づかないにかかわらず毎日受けている追跡だと思います
最初の表で Tor ではなく VPN を推奨しているのを見た時点で疑わしくなりました
https://gist.github.com/joepie91/5a9909939e6ce7d09e29
純粋に逸話的だということは分かっていますが、要点は Tor も明らかに完全無欠ではないということです。なので、どちらか一方を勧めたという理由だけで記事全体を疑うほどなのか気になります
記事で提案されている位置情報サービスをオフにするような基本的な対策が、国家主体のような高度な相手に対して違いを生むとは個人的には信じていません
現代の携帯電話は、セキュリティに穴だらけのプロプライエタリなファームウェアで満ちており、0-day のリモートコード実行エクスプロイトが可能であることが分かっています [1]。オペレーティングシステムはよりましではありますが、やはりリモートコード実行エクスプロイトの標的になったことがあります [2]
携帯電話をオフにしても静かになるとは保証できません。Apple の Find My ネットワークは電源が切れたデバイスでも動作します。もちろんその機能をオフにすることはできますが、電源が切れたデバイスを追跡する能力が存在する以上、国家主体は基本的なソフトウェアスイッチを迂回するエクスプロイトやバックドアを持っていると想定すべきです
監視リストに載っているなら、携帯電話で行うすべてのことが法執行機関や情報機関のデータベースに入ると考えるべきです
[1] https://googleprojectzero.blogspot.com/2023/03/multiple-inte...
[2] https://en.m.wikipedia.org/wiki/Pegasus_(spyware)
本当にセキュリティを求めるなら、少なくとも2台のデバイスが必要です。1台はホットスポット専用に使う、といった形です
このスレッドの大半は要点を完全に見失っています
超秘密の国家主体に逮捕されるのではなく、普通の警官 Jim Bob に逮捕される可能性のほうがはるかに高いのに、それを無視するのはばかげています
追記: 私の知識は確実に古くなっています
このページは数週間前に最後に更新されたとされていますが、iCloud バックアップに反対する推奨には目立つ誤りと欠落があるようです
「携帯電話のフルディスク暗号化を解除する鍵も iCloud バックアップに保存される。この構造により、法執行機関は Apple にバックアップデータを要求し、その鍵で携帯電話全体をロック解除できる。また、ユーザーがロックコードを忘れたときに Apple がデバイスを復旧できる利便性も提供する。」
これは事実ではありません。仮にそうだとしても、活動家にはどのような場合でも Advanced Data Protection を有効にするよう助言すべきです。そうすれば iCloud メール、連絡先、カレンダーを除くほぼすべて、iCloud の携帯電話バックアップまでエンドツーエンド暗号化されます
Advanced Data Protection が有効になっている場合、Apple はデータにアクセスできず、いかなる復旧も手助けできません。復旧用連絡先と復旧キーを設定し、安全に保管するのはユーザーの責任です
iCloud バックアップのせいで当局が物理デバイスのロック解除までできるというのが本当なのか気になります。Apple の信頼の輪（circle of trust）の実装についての私の理解とは合いません
バックアップが潜在的に侵害される可能性があり、バックアップがあれば携帯電話にあるデータの大半を持っているようなものだということは理解しています。しかし、バックアップのコピーが iCloud を通じて物理デバイスをどのように侵害できるのか、もっと知りたいです
最近のグレーマーケットでは、Firefox 0-day の価格は、サンドボックス脱出を含む Chrome 0-day と比べてどのくらいなのか？
[1] https://opzero.ru/en/prices/
[2] https://www.crowdfense.com/exploit-acquisition-program/