はじめに（この記事で分かること）#

2019年に摘発された闇市場Wall Street Marketの運営者の一人は、市場の中で「TheOne」と名乗っていた。米司法省の刑事訴状によれば、市場のデータベースに登録されていたTheOneのPGP公開鍵は、2017年に押収された別の闇市場Hansa Marketで「dudebuy」という名義が掲げていた公開鍵と同じものだった。名前は二つ、鍵は一つ。訴状はさらに、dudebuyの返金用ウォレットから出た資金が、本人の実名とメールアドレスで記録された決済につながったと書いている。

脅威モデル入門では、二つの区画に同じ識別子が現れることを「橋」と呼んだ。この事例の鍵は、まさにその橋だった。ただ、橋という言葉を知っていても、自分の運用のどこに橋が架かっているかは、書き出してみないと見えない。

この記事は、その書き出しのための用紙である。区画を決め、区画ごとの識別子を表に並べ、表を縦に読んで同じ値を探す。読み終えたときに、自分の表を一枚作り、少なくとも一本の橋を見つけて、切るか残すかを決めていること。そこを到達点に置く。

前提: 脅威モデルの整理#

カンパートメント化が効く相手と効かない相手は、はっきり分かれる。

効くのは、「同じ人かどうか」を突き合わせて調べる相手だ。広告網やデータブローカーは、メールアドレスやブラウザの特徴で別々の行動を一人に束ねる。プラットフォームは、登録された電話番号や復旧用メールで複数のアカウントを同一人物と判定できる。元交際相手のような標的型攻撃者は、あなたのハンドル名の癖や昔のアカウントを知っている。どの相手も、区画の間に共通の値があればそこから手繰る。共通の値をなくすことが、この記事の対策のすべてだ。

効きにくいのは、区画の外側にある記録を取り寄せられる相手だ。法執行機関は、プラットフォームとISPの両方から記録を法的手続きで集められる。識別子を区画ごとに分けていても、二つの区画が同じ回線から同じ時間帯に使われていれば、事業者側のログで重なりが見える。Wall Street Marketの別の運営者は、この形で絞り込まれた（後述）。

まったく効かないのは、端末そのものに触れられる場合だ。実名の区画と匿名の区画を同じ端末で、同じログインのまま使っていれば、その端末を開いた人には両方が見える。同居人や家族が相手になる状況は、同居人・元交際相手から守る匿名性で別に扱う。

区画をどう切るか#

区画とは、一つの名義と、それに属するアカウント、道具、お金の流れの一式を指す。最初の区画割りは二つでよい。実名の自分と、匿名の自分である。

二区画から始める理由は単純で、区画の数だけ「切り替え」が生まれるからだ。ブラウザを持ち替える、VPNをつなぐ、別のメールアプリを開く。切り替えの一回ごとに、持ち替え忘れが起きる余地がある。Wall Street Marketの運営者たちは二つのVPN事業者を使い分けていたが、訴状によれば、そのうち一つの接続がときどき切れ、切れたまま作業を続けた運営者の実際のIPアドレスが記録された。道具を重ねた運用でも、切り替えの継ぎ目は残る。

三つ目の区画を作るかどうかは、脅威モデル入門の5つの問いのうち、4つ目と5つ目で決める。4つ目は「失敗したとき、結果はどれほど悪いか」。趣味の匿名アカウントと、内部告発の相談に使う連絡先とでは、露見したときの被害がまるで違う。被害の大きさが違う活動を同じ匿名区画に入れておくと、軽い方の活動での油断が重い方を巻き込む。この場合は分ける理由がある。

5つ目は「どこまで手間をかけられるか」だ。Privacy Guidesは、国家安全保障事件を担当する弁護士と、娘に猫の動画を送る母親とでは、かけられる手間が違うという例を挙げ、完璧な選択肢は存在しないと書いている。区画を一つ増やすと、メールアドレス、パスワードの保管場所、ブラウザ、場合によっては端末と支払い手段も一式増える。一式を揃えて維持できないなら、その区画は作らないほうがよい、というのがこの記事の考え方だ。道具の足りない区画は、いずれ実名側の道具で穴を埋められ、橋が架かる。

区画を分ける考え方そのものは、セキュリティの分野では古くからある。Privacy Guidesはマルウェアの被害を小さくする方法として、用途ごとにコンピュータを分けることや、仮想マシンで関連するアプリケーションの組を分けることを挙げている。Qubes OSの公式ドキュメントは、建物を部屋に分けるように一台の機器を多くの区画に分け、価値のあるデータを危険な作業から切り離すと説明する。これらはソフトウェアの侵害を閉じ込めるための区画だ。この記事が扱うのは名義の区画で、目的が違う。ただ、端末の区画と名義の区画を揃えると、後で書く「取り違え」が起きにくくなる（Qubesの構成例）。

最初の一枚は、区画の定義を書くところから始める。

区画名義（表に出る名前）この区画で守りたいもの露見したときの被害使う端末・ブラウザ
A: 実名本名（隠す対象ではない）—
B: 匿名
C:（必要な場合のみ）

「露見したときの被害」が書けない区画は、まだ作る必要がない区画かもしれない。逆に、BとCの被害の欄に書いた内容が大きく違うなら、分けておく理由がある。

識別子の棚卸し表#

区画が決まったら、区画ごとに使っている識別子を書き出す。ここで書くのは「Gmail」のような種類ではなく、実際の値だ。種類で書くと、二つの区画に同じ値が入っていても気づけない。値そのものを書くのが不安なら、メールアドレスは先頭三文字とドメイン、電話番号は末尾四桁、カードは末尾四桁のように、自分には区別がつき、他人には意味が薄い形にする。この表自体の扱いは「限界と残るリスク」で触れる。

識別子A: 実名区画B: 匿名区画見落としやすい場所
メールアドレス転送先、エイリアスの受信先、Gitのコミットに記録されるアドレス
電話番号SMS認証、メッセンジャーの登録、連絡先の同期
支払い手段VPNやドメインの契約、アプリ内課金、暗号資産の購入元口座
IPアドレスと回線自宅回線、職場・学校の無線LAN、VPNが切れたときの素の回線
ブラウザと端末ブラウザのプロファイル、同期アカウント、スマホとPCの共有
文体と時間帯口癖、絵文字、句読点の癖、投稿が集中する時刻
鍵とパスワードパスワードの使い回し、PGP鍵・SSH鍵、パスワード管理ソフトの保管庫
復旧経路再設定用のメール・電話番号、2FAのバックアップ先、SSO連携

上の7行は、脅威モデル入門の「橋になりやすいもの」の表と同じ並びにしてある。最後の復旧経路の行は、他の行と性質が違うので独立させた。

復旧経路が見落とされやすいのは、ふだん目に入らないからだ。Googleのヘルプによれば、再設定用の電話番号はアカウントに入れなくなったときにコードを送るため、再設定用のメールアドレスはパスワードを忘れたときにアカウントに戻るために使われる。つまり、匿名アカウントの再設定先に実名のメールアドレスを入れた時点で、事業者の記録の上では二つの区画がつながっている。ログイン画面を何度見ても、その事実は表示されない。点検の詳しい手順はアカウント復旧経路が「橋」になるで扱う。

支払い手段の行は、自分で支払った記憶がない項目まで洗い出す。冒頭のWall Street Marketの訴状によれば、dudebuy名義の返金用ウォレットの資金は、ミキシングサービスを経たうえで、2016年10月にデジタルマーケティング会社への支払いに使われた。決済代行業者の記録には、購入者として本人の名前と、本人のものとされるメールアドレスが残っていた。訴状は、米国郵便検査局がミキシング後の資金の流れを解きほぐしてこの支払いにたどり着いたと書いている。匿名の側のお金が実名の買い物に一度でも使われれば、間にミキシングを挟んでも、それが橋になりうる。

文体と時間帯の行は、書きにくいが空欄にしない。自分の文体を自分で特定するのは難しいので、「です・ます調か」「よく使う記号」「主に投稿する時間帯」のように、観察できることだけ書けばよい。この行は他の行と違って値を新しく作り直せない。詳しくは文章からの特定で扱う。

橋の点検手順#

表が埋まったら、上から下へ一行ずつたどり、各行でAとBの列を見比べる。この記事ではこれを「表を縦に見る」と呼ぶ。手順は次のとおり。

  1. 同じ値を探す。各行でAとBに同じ値が入っていないかを確かめる。同じメールアドレス、同じ電話番号、同じカードは、それだけで橋になる。
  2. 値の先をたどる。値が違っても、その先が同じものに行き着かないかを見る。Bのエイリアスの転送先がAの受信箱、Bのアカウントの再設定先がAのメール、Bの支払いに使う暗号資産の購入元がAの銀行口座、という形の橋は、一段目を比べただけでは見つからない。
  3. 時刻を重ねる。IPアドレスと回線の行について、Aの回線をBの作業に使っていないか、Bの作業時間とAの回線の利用時間が一致していないかを考える。Wall Street Marketの訴状では、ある運営者の自宅の回線（契約名義は母親）がVPN事業者に接続した時間帯と、同じVPN事業者を経由して市場の管理者専用の機能にアクセスがあった時間帯がおおむね重なっていたことが、本人を絞り込む材料になっている。VPNは通信先を隠したが、時刻は隠さなかった。
  4. 過去の値も書く。今は使っていない古いハンドル名、昔の電話番号、解約したメールアドレスも欄外に書き、現在の値と同じように比べる。過去の投稿やアカウントは、使うのをやめても残っている。
  5. 見つけた橋に処置を決める。処置は三つある。一つ目は、Bの側の値を新しく作り直して切ること。二つ目は、切るコストが合わないと判断して、橋が残っていることを表に書いて受け入れること。三つ目は、過去の投稿がすでに橋を含んでいる場合に、その名義を手放してB区画を作り直すこと。どれを選ぶかは、区画の定義表に書いた「露見したときの被害」で決める。

二つ目の「受け入れる」を選択肢に入れたのは、すべての橋を切ることが現実的でない場合があるからだ。たとえば文体は作り直せない。受け入れた橋を表に書いておけば、その区画で何を書かないかを決める手がかりになる。

最後に、表の右上に次の見直し日を書く。EFFのSurveillance Self-Defenseは、状況が変われば計画も変わりうるので、計画を頻繁に見直すのがよい習慣だと書いている。見直しのきっかけとして、この記事では新しいアカウントを作ったとき、端末や回線を変えたとき、引っ越し・転職・交際関係の変化があったときを勧める。表の行が増えるのはたいていこのタイミングで、新しい行は橋になりやすい。

取り違え事故の型#

橋の多くは、意図して架けたものではない。区画を分けているつもりの人が、操作の途中で区画を取り違えたときに架かる。ミスカタログで整理した11の型のうち、一般の利用者の運用にそのまま当てはまるのは型1〜4と型6の5つだ。それぞれを、事例で起きたことと、ふつうの利用者の運用で起きる姿に分けて書く。

型1識別子の連結。Silk Roadの運営者Ross Ulbrichtの刑事訴状によれば、捜査官がたどったSilk Roadの最も早い宣伝は、2011年1月27日にキノコ愛好家のフォーラムShroomeryに「altoid」の名前で書かれた投稿だった。altoidがこのフォーラムに書いたのはこの一件だけで、2日後には同じ名前でbitcointalk.orgにも似た投稿があった。同年10月11日、altoidはbitcointalk.orgで技術者の求人を出し、応募先として「rossulbricht at gmail dot com」と書いた。一度しか使わないつもりの名前でも、同じ名前を別の場で使えば、そこに置いた別の情報とつながる。一般の利用者の場合は、匿名アカウントと同じハンドル名を、昔のゲームのアカウントや通販サイトのレビューでも使っていた、という形で起きる。新しいハンドル名を作ったら、検索して既存の自分の名義と衝突しないかを確かめ、表の行に書き足す。

型2認証情報の再利用。デルフト工科大学の研究者がHansa Marketの販売者1,733人を分析したUSENIX Security 2021の論文は、パスワードの使い回しやPGP鍵の再利用を含む安全でない慣行が、すべての販売者タイプに広くみられたと報告している。同論文は、複数の市場で同じPGP鍵を掲げることが評判を持ち込む手段になる一方、名義同士を結びつける危険にもなると書く。冒頭のTheOneとdudebuyの鍵は、その実例だった。一般の利用者の場合は、匿名アカウントに実名アカウントと同じパスワードを使い、片方が漏えいしたときに両方を同じ人のものと推定される、という形になる。パスワード管理ソフトの保管庫を区画ごとに分け、SSH鍵やPGP鍵も区画ごとに作る。詳しくはパスワードとPGP鍵の再利用で扱う。

型3メタデータの漏れ。AlphaBayの運営者Alexandre Cazesについて、米政府の民事没収訴状は、AlphaBayのフォーラムが新規登録者に送るウェルカムメールのヘッダ情報に、本人の個人的なHotmailアドレスが含まれていたと書いている。パスワード再設定のメールでも、送信元のアドレスが同じHotmailアドレスだった。本人が誰かに送ったのではなく、サイトが自動で送るメールが、送るたびに運営者の個人アドレスを相手に渡していた。一般の利用者の場合は、匿名で運営するブログやニュースレターの自動送信メール、書き出したファイルの作成者情報、写真の位置情報などが同じ働きをする。外に出るものは、出る前に一度、受け取る側の目で開いて確かめる。ファイルの点検方法は自己点検の記事で扱う。

型4ネットワークの切れ目と使用事実。先に挙げたWall Street Marketの訴状では、VPN接続が切れても作業を続けた運営者の実際のIPアドレスが露出し、それは偽名で登録されたとみられるモバイル通信用のUMTSスティックのものだった。もう一つの形は、道具を使っている事実そのものが見えてしまう場合だ。2013年にHarvard大学へ爆破予告メールを送ったとして訴追された学生について、FBIの宣誓供述書は、大学がメール受信までの数時間に、この学生がHarvardの無線LANからTorに接続していたことを突き止めたと書いている。一般の利用者の場合は、VPNが切れたことに気づかず匿名アカウントに投稿する、職場や学校の回線で匿名区画の作業をする、という形で起きる。前者はキルスイッチで、後者は回線の行にA区画の回線を書いて、B区画の作業に使わないと決めることで減らせる。

型6端末と物理。Cazesの没収訴状によれば、タイ警察が自宅で逮捕状を執行したとき、寝室にあったノートPCは開いたまま暗号化されていない状態で、AlphaBayのサーバーに「Admin」としてログインしていた。Wall Street Marketの運営者の一人も、逮捕時にコンピュータのロックが解除されており、市場へのログインに使われたとみられるUMTSスティックが見つかったと訴状にある。どれだけ区画を分けていても、ログインしたままの端末一台で両方が見える。一般の利用者の場合は、家族と共有するPCに匿名区画のブラウザを入れておく、スマホのロック画面に匿名アカウントの通知が表示される、といった形になる。表の「ブラウザと端末」の行で、A区画とB区画が同じ端末に同居しているなら、少なくとも別のOSユーザーか別のブラウザのプロファイルに分け、画面ロックを短くする。

5つの型を、ワークシートのどの行で防ぐかに対応させると次のようになる。

型事例で橋になったもの一般の利用者の運用での姿点検する行
1識別子の連結同じハンドル名（altoid）昔のアカウントと同じハンドル名メール、ハンドル名（欄外）
2認証情報の再利用同じPGP公開鍵（TheOne／dudebuy）実名と匿名で同じパスワード鍵とパスワード
3メタデータの漏れ自動送信メールのヘッダ自動送信メール、ファイルの作成者情報メール、復旧経路
4ネットワークの切れ目VPN切断時のIP、学内無線LANのTor接続VPNが切れたままの投稿、職場の回線IPアドレスと回線
6端末と物理ログインしたままのノートPC共有PC、ロック画面の通知ブラウザと端末

限界と残るリスク#

この表に書けるのは、自分が知っている識別子だけだ。ブラウザが外に出している特徴の多くは、自分で書き出せない（ブラウザフィンガープリント）。文体と時間帯は書けても、作り直すのは難しい。そして、昔のハンドル名や古い投稿のように、相手がすでに持っている情報は、表で橋を見つけても消せない。Ulbrichtのaltoid投稿は、刑事訴状が作成される2年半以上前に書かれたものだった。

事業者の側に残る記録も、表の外にある。識別子を区画ごとに分けても、プラットフォームとISPは接続元のIPアドレスと時刻を記録している。日本でも、権利侵害を理由とする開示の手続きでは、この記録がたどられる（IPアドレスから個人を特定される仕組み）。名義の区画は、回線と時刻の区画まで分けないと完成しない。

端末への侵害は、名義の区画を素通りする。同じ端末の中で区画を分けていても、その端末がマルウェアに侵されれば、両方の区画の情報が同じ場所から読まれうる。Qubes OSのように仮想マシンで区画を分ける設計は、公式ドキュメントの言葉で言えば被害を「閉じ込め、制御し、封じ込める」ためのもので、被害をなくすものではない。

このワークシート自体が、二つの区画を一枚に並べた資料になる点にも注意が要る。表が他人の手に渡れば、それは橋の一覧そのものだ。値は伏せ字で書く、紙なら保管場所を決める、デジタルなら暗号化した場所に置く、といった扱いを、表を作る前に決めておく。

最後に、区画を分けても行為の違法性は変わらない。この記事で取り上げた事例の人物は、匿名性が崩れたこととは別に、行為そのものが罪に問われている。Lamerzがこの表を載せるのは、匿名で発信する人、取材源を守る人、自分の生活を詮索から守りたい人が、自分の運用を点検するためだ。

まとめ#

SNSで匿名アカウントを一つ持っているだけの人は、表の全行を埋めなくてよい。今日は「復旧経路」の行だけを確かめる。匿名アカウントの設定画面を開き、再設定用のメールと電話番号が実名区画のものになっていないかを見る。なっていれば、それが今いちばん太い橋だ。

取材源や相談者を守る立場の人は、「電話番号」と「ブラウザと端末」の二行から始める。取材用の連絡先が個人の電話番号に結びついていないか、取材用の作業と私用の作業が同じ端末の同じログインで行われていないかを確かめる。区画の定義表の「露見したときの被害」に、自分ではなく取材源の被害を書くと、どこまで分けるべきかの答えが変わるはずだ。

サイトやサービスを匿名で運営している開発者は、「鍵とパスワード」と「メールアドレス」の行を見る。匿名のリポジトリのコミットに実名区画のメールアドレスが記録されていないか、匿名のサーバーと実名のサーバーで同じSSH鍵を使っていないか、運営するサイトの自動送信メールの送信元に何が書かれているかを確かめる。

どの立場でも、表を閉じる前に右上へ次の見直し日を書いておく。表は一度埋めて終わりではなく、次に新しいアカウントを作る日まで有効な点検記録だ。

出典#