VPN Gateのサーバーを運営している人は、技術的には利用者の通信内容を閲覧できる立場にある。これは特定の個人や組織等を批判する話ではなく、VPNという仕組み、VPN Gateの目的に内在する構造的な問題である。
なぜVPNサーバー側で通信が見えてしまうのか
だいたいここを読んでいる人ならわかっていると思いますが、VPNは通信を安全にする「魔法のトンネル」ではない。
実際の通信は次のようになっている。
・利用者の端末
・VPN Gateサーバー
・ インターネット(通信相手サーバーのこと)
VPNサーバーは暗号化された通信を復号したうえで外部へ中継する役割を持つ。
そのためサーバー運営者は、技術的には以下の情報を取得・観測できる、
・平文HTTP通信の内容
・接続先のIPアドレスやドメイン
・通信のタイミング・サイズ・頻度
・SSL/TLS通信におけるSNIやメタデータ
VPNサーバーは「暗号化を提供する存在」ではなく、「復号後の通信を扱う存在」であるという点である。
認証情報は見えてしまうのか
セキュリティが不十分な条件がそろえば認証情報や認証情報に相当するデータが閲覧可能になる可能性がある。VPN Gateの中継サーバーとして登録し、第三者が接続している最中に通信を観測すると、VPNの構造上、サーバー側では中継される通信を確認できる。
特に、通信がHTTP（暗号化されていない接続）の場合、送信されるリクエストやパラメータは平文で流れるため、
・ログイン情報に相当するデータ
・セッションの識別子
・ 入力内容そのもの
が通信上に含まれ、閲覧できてしまう可能性がある。
別にこれは特別な裏技を行ったり、不正な挙動をさせたりすることなく起こる。
VPNサーバーが通信の終端として動作する以上、理論上避けられない挙動である。
VPN Gateは誰でも中継サーバーを提供できる仕組みであり、利用者側からは、
・サーバー運営者がどのような観測を行っているか
・通信をどこまで記録しているか
などを確認する手段は存在しない。
そのため、暗号化されていない通信をVPN Gate経由で行うことには、認証情報が第三者に観測され得るというリスクが伴うということを十分に理解したうえで利用する必要がある。
日本の法律について
日本では、日本国憲法第21条および電気通信事業法により
・通信内容を第三者に漏洩すること
・通信内容を外部に提供すること
は明確に禁止されている。
しかし、「確認すること」自体は、どうなるか。
通信情報を内部的に観測・閲覧する行為そのものについては、直ちに違法とはされない。
VPN Gateの場合は
・電気通信事業者ではない個人
・ボランティアによる運営
・研究や実験目的
などという立場であり、通信内容を「漏洩」しない限り違法とはされない。
別にここで通信内容を閲覧することは違法ではないと言っているが、通信内容はプライバシーであり、個人情報を多く含むため、閲覧は推奨される行為ではない。また、閲覧することができるからと言って、すべてのVPN Gate運営者が悪意を持って閲覧をしようとしていることはない。
特別な技術力がなくても可視化できる
先ほど述べていた通信内容の閲覧や可視化は高度な技術や特殊な環境を必要としない。
通信の可視化は次のことをやっているにすぎない。
・VPN Gateの中継サーバーとして通信を中継する立場に立つ
・その中継点を通過する通信を一般的な解析ツールで観測する
・暗号化されていない通信であれば、内容がそのまま読めてしまう。
ここには、
・脆弱性の悪用
・システムの侵入
・特殊な権限昇格
などといった高度な技術は要求されない。
「中継点にいる」だけで成立するのが、非常に危険である。
以下は実際に配布されているフリーツールを用いて通信を観測し、閲覧している画像である。
実際、通信解析の基礎を学んだばかりの初級技術者であっても、ネットワークの基本構造を理解していれば、「これは見えてしまうな」とすぐに理解できるレベルの話である。
これはVPN Gateに限らず、暗号化されていない通信が第三者の管理する中間点を通過すれば、内容が観測できてしまうという、教科書に載るレベルで簡単なことである。
通信観測実例①：通信解析ツールによるパケットの可視化
一般的に広く知られている通信解析ツール（例：Wiresharkなど）は、ネットワーク上を流れるパケットをそのまま確認するためのごく基本的な解析ツールである。
VPN Gateの中継サーバーという立場にある場合、この種のツールを用いることで、
・通過する通信が一覧として表示される
・HTTP通信であれば、リクエスト内容が平文で確認できる
・認証情報に相当する文字列が通信中に含まれていることがわかる
といった状態になってしまう。これは特別な攻撃ではなく、ツール本来の用途そのままの挙動である。
通信観測実例②：VPNサーバー標準機能による可視化
VPN Gateで利用されているSoftEther VPN Serverには、運用・研究を前提としたログ機能が標準で備わっている。これにより、
・接続元IPアドレス
・接続時刻と切断時刻
・利用されたプロトコル
・認証の成否
といった情報が、自動的に記録される。
これらは通信内容そのものではないが、誰が、いつ、どの程度VPNを利用したかを把握するには十分な情報といえる。
通信観測実例③：OS標準機能による通信の可視化
さらに、専用の解析ツールを用いなくとも、一般的なOSに搭載されている機能だけで、
・接続先IPアドレス
・通信量やセッション時間
といった情報を把握できる場合がある。
つまり、高度な知識や特殊な環境がなくても、通信を観測することは可能であるということ。
VPN Gateの問題点
これまでの話を踏まえると、VPN Gateを匿名性・秘匿性の担保手段として使うのは、設計思想の読み違いであり、利用者側の過失である。
VPN Gateは研究プロジェクトであり、通信の可視化が検証できる構造であることに価値がある。にもかかわらず、「無料で匿名になれるVPN」と誤解したまま
・パスワード入力
・業務アカウントへのログイン
・個人情報の送信
を行うのは、技術的にも論理的にも擁護できない。特にHTTPのような暗号化されていない通信に関しては、「見ようと思えば見える」ではなく、「見えて当たり前」である。
それにもかかわらず、
・VPNを使っているから安全
・日本の大学が関わっているから大丈夫
・研究目的だから悪用されないはず
といったような期待は信頼ではなく、無知な思い込みに過ぎない。
VPNは魔法ではない。VPNは暗号そのものでもない。
VPNとは「通信の相手先を、ISPから第三者に差し替える技術」でしかない。
つまり、ISPを信頼しない代わりに、見ず知らずの中継者を信用するという選択をしているに過ぎない。この前提を理解せずにVPN Gateを使うことは、自分の通信を、正体のわからない相手に預ける行為である。
ログ保持2週間ルール
VPN Gateは、ログ保持期間が2週間程度であることが公表されている。
この点について、海外の犯罪者コミュニティ等の議論ではしばしば、
「2週間しかログを持たないなら、実質ノーログではないのか」
という受け止め方がされる。
実際、匿名化ネットワークに関する議論では、
・ログの保持期間が限定的である
・運営主体が分散している
・無料で使える
といった要素を理由に、VPN Gateが出口側IPとして利用されているという話も見かける。
「理にかなっている」と言われてしまう理由
犯罪や不正行為が正当化されることはない。これは大前提である。
しかし、純粋に行動原理だけを切り出して考えると、
・ログが永久には残らない
・研究目的のインフラである
・出口としてみた場合、追跡コストが上がる
という条件を満たす中継点を選ぶという判断自体は、行為・理由の是非を別にすれば一定の合理性を持っているともいえる。
これはVPN Gateに限った話ではないが、「ログが短期間で消える」「責任主体が曖昧」という要素が悪用側にとって魅力的に映ってしまうという問題である。
しっかり考えると「理にかなってない」
誤解してはならないのは、悪用されている可能性があるということと、利用者にとって安全であるということではないということ。
・ログ保持が2週間程度であること
・複数の中継点を経由していること
これらは
・運営者が通信を観測できない
・通信内容が秘匿される
ことを何一つ保証しない。
むしろ、VPN Gateは研究プロジェクトであり、通信の挙動が観測可能であること自体が設計思想に含まれている。
「理にかなっているように見える」ことと、「実際に安全である」ということの間には大きな壁があるということを理解するべきである。
VPN Gateはノーログと考えてよいのか
本質的な問題は、
・ログが何日間保存されるか
・いくつのサーバーを経由しているか
ではない。
誰が、どの立場で、その通信を扱っているのかである。
VPN Gateは、
・匿名性を売りにしていない
・追跡耐性を保証していない
・研究のために観測可能な設計を採用している
この前提を無視して、「2週間しかログないから大丈夫」と考えるのは、ありえない。
免責と誤解しないでほしいこと
ここで強調しておくが、
・通信を覗くことを推奨しているわけではない
・不正行為を正当化しているわけでもない
むしろ逆で、「できてしまう」という事実を直視せず、安易に使うことのほうがよっぽど危険で無責任であるという話である。
VPN Gateの構造を理解し、
・研究用途
・技術研究
・単純なIPの確認
に限定して使うのであれば、それは合理的で正当な選択だろう。
しかし、秘匿性・匿名性・安全性を期待して使うのであればそれは選択ミスである。
まとめ
・VPN Gateのサーバー運営者は、技術的に通信を観測できる立場にある
・日本では通信内容の漏洩は違法だが、確認行為そのものについては違法とはされていない
よって、通信が観測される可能性は構造上否定できない。
ラフな感想的な
なんか大それたっぽいことを言ってるけど、結局伝えたいのは、VPN Gateは情報が漏洩する可能性があるので利用には十分注意してね！ってこと。
情報漏洩したらまずい情報をVPN Gateで扱うというのは無責任であり、バカであるということです。別にVPN Gateに限った話ではないので、そのことを念頭に置いてもらえたらなと。
皆さんは情報漏洩などがないようにインターネット生活を満喫してほしいなというふうに思っています。