はじめに（この記事で分かること）#

2013年12月16日の朝8時30分ごろ、Harvard大学の警察と大学関係者に「爆弾を仕掛けた」というメールが届いた。送り主は使い捨てメールのGuerrilla Mailを、さらにTor経由で使っていた。それでも同じ日の夜には、FBIの捜査官が一人の学生の部屋を訪ねている。FBIの宣誓供述書によれば、大学は、メール受信までの数時間にこの学生が学内の無線LANからTorに接続していたことを把握していた。

Torはメールの送り主を隠した。隠さなかったのは、その時間帯に誰がTorを使っていたかという事実だ。通信の中身や行き先を暗号化しても、「いつ、どれだけの量を、どこと通信したか」は回線の上に残る。その記録を2か所で突き合わせる手法を、通信のタイミング相関（traffic correlation）と呼ぶ。

この記事では、相関攻撃が何を材料にし、どの相手なら実行できるのかを整理する。2024年にドイツで報じられたRicochet利用者の特定について、確認できている範囲と不明な範囲を分ける。そのうえでパディング、DAITA、mixnet、ブリッジがそれぞれ誰に対して効くのかを示す。先に結論の一部を書いておくと、これは読者が自分で手を打てる範囲がもっとも狭い経路の一つで、多くの人にとって優先順位は高くない。

前提: 脅威モデルの整理#

脅威モデル入門では、隠す相手をISP、プラットフォーム、広告網、法執行機関、標的型攻撃者の5種類に分けた。タイミング相関を実行するには、通信の入口と出口の両方の記録が要る。この条件で5者をふるいにかけると、話はかなり絞られる。

ISPは入口側を見ている。契約者の回線がいつ、どのIPアドレスと、どれだけの量をやり取りしたかは分かるが、TorやVPNの先で何が起きたかは見えない。プラットフォームは出口側を見ている。投稿やログインの時刻と、接続元のIPアドレス（Torの出口やVPNサーバー）は記録に残る。どちらも片側しか持たないので、単独では相関を組み立てられない。広告網の関心は名前ではなく閲覧行動の紐付けにあり、手段もCookieやブラウザの特徴が中心で、回線の時刻を突き合わせる立場にはない。

両側をそろえられるのは、法的手続きでISPとプラットフォームの記録を両方取り寄せられる法執行機関と、広い範囲の回線を観測できる情報機関になる。標的型攻撃者は能力の面では遠く及ばないが、同じ家のWi-Fiを管理している同居人なら、入口側の「Torを使っている」「この時間帯に通信が多い」という事実は見えうる。ここはHarvardの事例と同じ構図で、相関の前段にあたる。この相手については同居人・元交際相手から守る匿名性で扱う。

したがってこの記事の対策がもっとも意味を持つのは、国家機関を相手にしうる記者や情報源、Torでサービスを公開している運営者だ。開示請求やSNSでの身元の割り出しを心配している一般の読者にとっては、ここで扱う手法より、匿名性が暴かれた実例集にある運用上の失敗のほうがはるかに身近な脅威になる。

相関攻撃の仕組み: 両端を観測すると何が分かるか#

Torの設計者自身が、この弱点を最初から認めている。2004年のUSENIX Securityで発表されたTorの設計論文は、脅威モデルの節で次のように書く。層状の暗号化を使う低遅延の匿名化システムでは、攻撃者の典型的な目標は通信の発信者と受信者の両方を観測することであり、両端を観測できれば、通信のタイミングと量のパターンが十分に特徴的な場合に「AliceがBobと話している」という疑いを確認できる。能動的な攻撃者は、通信にタイミングの特徴を自分で埋め込んで、パターンを際立たせることもできる。

論文はこれを「traffic confirmation（通信の確認）」と呼び、Torが主に防ぐのは、攻撃者が通信のパターンからネットワークのどこを攻撃すべきかを知る「traffic analysis（通信の分析）」のほうだと区別している。同じ論文の別の箇所には、Torは端から端までのタイミング攻撃や交差攻撃（intersection attack）を完全に解決するとは主張しない、ともある。ネットワーク全体を見渡せる攻撃者（global passive adversary）についても、実用的な低遅延システムはどれもこれを防げず、Torも例外ではないと明記している。

この区別は記事全体の読み方を左右する。相関攻撃の多くは、まったく手がかりのない状態から利用者を見つけ出す道具ではない。「この回線の持ち主が、あの投稿をしたのではないか」という候補がすでにあり、それを確かめる道具として働く。候補が少ないほど、そして通信のパターンが特徴的なほど、確認は容易になる。

材料になるのは、時刻、通信量、パケットの数と大きさの4つだ。Torは通信を固定長のセルに分割して運ぶ（設計論文の時点で1セル512バイト）。個々のセルの大きさからは中身を推測しにくいが、セルがいつ、何個流れたかは隠れない。チャットで1通送れば、入口側の回線にもonionサービス側の回線にも、ほぼ同じ時刻に小さな通信の塊が現れる。

回線事業者が実際に残している記録も、この材料に直結する。Torの仕様書は、ISPのルーターが出力するNetflowなどのフロー記録について、接続の5つ組（送信元・宛先のアドレスとポート、プロトコル）に加え、一定期間に送受信されたバイト数を記録するものだと説明している。主要なルーターの既定値では、通信中の接続については30分ごとに記録が出力され、一定時間（機種により10秒〜600秒）通信がなければその時点で記録が区切られる。この区切りが細かいほど、「何時何分に通信が始まり、何時何分に止まったか」が後から読める。

VPNは、この構図を単純にした形になる。設計論文は、Anonymizerのような1段のプロキシについて、利用者はプロキシを信頼しなければならず、プロキシに出入りする通信をすべて観測できる攻撃者には弱いと書いている。VPNサーバーは利用者の接続元IPアドレスと接続先の両方を見ている。VPN事業者自身が記録を取れば、相関を組み立てる必要すらない。記録を取らない事業者でも、入口側のISPの記録と出口側のサービスの記録を突き合わせられる相手には、時刻の重なりが手がかりとして残る。

2019年のWall Street Market事件の刑事訴状は、そのもっとも粗い形を示している。ドイツ連邦刑事庁（BKA）は、運営者の一人がVPN事業者（訴状ではVPN Provider #2）を経由して管理者専用のサーバー機能にアクセスしていたことをつかんだ。そして、ある住宅に割り当てられたIPアドレス（契約名義は被疑者の母親）が同じVPN事業者に接続していた時間帯と、管理機能がそのVPN事業者経由でアクセスされた時間帯が「おおむね近い時間枠」で重なることを確認している。パケット単位の解析は出てこない。接続した時刻と作業した時刻が重なるという事実だけで、候補が一人に絞られた。訴状によれば、この人物は後に管理者だったことを認めている。事件全体はWall Street Marketの事例記事で扱った。

回線に残る「利用の事実」#

冒頭のHarvardの事件に戻る。FBIの宣誓供述書（2013年12月17日提出）は、メールがGuerrilla Mailから届いたこと、送り主がTorを使ってGuerrilla Mailにアクセスしていたことを記したうえで、こう書いている。Harvard大学は、メール受信までの数時間に、Eldo KimがHarvardの無線LANを使ってTorにアクセスしていたことを特定できた。同じ日の夜、FBIの捜査官と大学警察の警官が寮で本人に事情を聴き、本人は送信を認めた、と供述書は続く。

供述書は、大学がどうやってTorへの接続を特定したのかを書いていない。また、よく語られる「学内でTorを使っていたのは彼だけだった」という話は、この供述書には出てこない。供述書から確実に言えるのは、Torへの接続という事実と時間帯が学内ネットワークの側で分かり、それが本人への聴取につながったところまでだ。

ここから読み取れることは二つある。一つは、相関の材料は必ずしも精密なパケット解析を必要としないことだ。メールが届いた時刻の前の数時間にTorへ接続していた人、という粗い条件でも、観測される回線が大学の無線LANのように限られていれば候補は小さくなる。もう一つは、Torの通信が暗号化されていても、Torのリレーに接続しているという事実は見えることだ。Tor Projectのサポートページも、Torは利用者がどのサイトに接続しているかを隠そうとするが、既定の設定では、回線を見ている人に利用者がTorを使っていることを知られるのは防がないと明記している。

VPNも同じで、Mullvadは自社のDAITAの説明ページで、VPNを使えば通信の中身や行き先はISPから隠れるが、パケットが送られているという事実、パケットの大きさ、送られる頻度はISPに見え続けると書いている。VPNもTorも、行き先を隠す道具であって、通信していること自体を隠す道具ではない。

Ricochetの件とguard discovery#

2024年9月18日、ドイツの公共放送ARDの報道番組PanoramaとNDRのSTRG_Fは、ドイツの捜査機関がTorのリレーを長期間監視し、タイミング解析で利用者の匿名性を破っていたと報じた。tagesschau.deに掲載された記事によれば、記者は一つの捜査手続きで4件の成功例を示す資料を閲覧しており、これを世界で初めて確認された「タイミング解析」の事例としている。

報道の中身を順に見る。対象は児童性的虐待コンテンツを扱っていたダークウェブのプラットフォーム「Boystown」の捜査で、BKAとフランクフルト検事長局が担当した。BKAは、当時の管理者の一人が運営していたサービスがTorに接続するのに使っていたリレーを2回、この人物が使っていたチャットアプリRicochetの「入口のサーバー」を2回、それぞれ特定したとされる。最後の特定のために、フランクフルト区裁判所は通信事業者Telefónicaに、o2の全契約者の中から特定されたTorリレーに接続していた者を割り出すよう命じた。人物はノルトライン＝ヴェストファーレン州で逮捕され、2022年12月に長期の禁錮刑を言い渡されている（報道時点で判決は未確定）。

一方で、確認の度合いには幅がある。フランクフルト検事長局はこの捜査でタイミング解析を使ったかどうかについて肯定も否定もしないと回答し、BKAもコメントを控えた。資料を閲覧した専門家の一人、Chaos Computer Club（CCC）のMatthias Marxは、資料と説明は、捜査機関が数年にわたり選ばれたTor利用者に対してタイミング解析の攻撃を繰り返し成功させていたことを強く示唆する、と述べている。報道によれば、決定的な手がかりはオランダからBKAにもたらされた。

Tor Projectは同じ9月18日に声明を出した。限られた情報からの判断としたうえで、サポートの終了した古いRicochetを使っていた利用者1名がguard discovery攻撃によって匿名性を失ったと考えている、と述べる。この利用者のソフトウェアには、この種の攻撃を防ぐために導入されたVanguards-liteもvanguardsアドオンも入っていなかった。保守が続いているフォークのRicochet-Refreshには、2022年6月公開の3.0.12からこの防御が入っている。声明はまた、CCCは事件の資料を閲覧できたが、Tor Projectには大まかな概要しか示されなかったとも書いている。攻撃の時期は、Tor Projectの把握する範囲で2019年から2021年だった。

声明は2024年10月10日に追記された。Deutsche Welleの報道がv3のonionサービスも攻撃の影響を受けたことを示唆していることを受けて、影響を受けたサービスでVanguardの保護が有効だったかは確認できないとし、攻撃の時期から見て保護はなかった可能性が高いが、正確な手法は不明のままだと書いている。

確認できていることと、できていないことを分けておく。

確認の度合い内容根拠
報道が資料に基づき伝えているTorリレーの長期監視、Ricochetの入口リレーの特定、Telefónicaへの照会命令、2022年12月の判決tagesschau.de（2024-09-18）
当局は肯定も否定もしていないタイミング解析を使ったこと同上
Tor Projectの見立てguard discovery攻撃、Vanguards-liteを持たない古いRicochetが入口Tor Project声明（2024-09-18）
不明影響を受けたサービスにVanguardの保護があったか、正確な手法同声明の追記（2024-10-10）

guard discoveryとは何か#

Torの回線は、入口のリレー（ガード）、中間のリレー、出口側のリレーの3段でできている。Torの仕様書によれば、回線を作るたびに入口と出口を全リレーからランダムに選ぶと、ネットワークの一部を握る攻撃者が、回線を作り続ける利用者の通信をいずれ一度は観測できてしまう。そこでTorのクライアントは少数のガードを選び、直接接続するのはそのガードだけにする。結果として、ガードは利用者の本当のIPアドレスを知る位置に固定される。逆に言えば、どのリレーが利用者のガードかが分かれば、そのガードの回線を監視する、あるいはガードの運営者や回線事業者に法的手続きをかけることで、利用者の接続元に近づける。ガードを割り出す攻撃がguard discoveryである。

vanguardsアドオンの技術文書は、onionサービスに対するもっとも基本的な形をこう説明する。攻撃者はonionサービスに大量に接続し、サービスに回線を作らせ続ける。onionサービスの回線の中間リレーはネットワーク全体から選ばれるので、いずれ攻撃者のリレーがガードのすぐ隣に選ばれる。そのとき通信の副次的な特徴を使って自分のリレーがその回線に入ったことを確かめれば、ガードが分かる。同じことは、多数のonionサービスへの接続を誘発させることで、利用者側にも仕掛けられるという。

Tor Projectの声明は、Ricochetの件を同じ構図で説明している。Vanguards-liteは、攻撃者が回線を作らせることと回線上の隠れた合図を組み合わせ、利用者のガードの隣に悪意ある中間リレーを置く手口を防ぐものだ。ガードが分かると、Netflowの接続時刻の記録から目的の利用者を探せる。この件でそれが速く進んだのは、Ricochetのonionサービスの記述子（descriptor）が公開されているかどうかで利用者がオンラインかオフラインかが攻撃者に分かり、しかも割り出したガードの利用者数が少なかったからだ、と声明は述べる。

vanguardsとVanguards-lite#

対策の考え方は、ガードの隣の中間リレーも固定することにある。vanguardsアドオンは、onionサービスの回線の2段目と3段目のリレーを、ネットワーク全体から毎回選ぶのではなく、少数の固定した集合から選ぶようにする。技術文書によれば、2段目の固定によって、攻撃者は中間リレーを1台動かすだけで数分でガードを割り出せる状態から、ネットワークの5%を運営していても数週間から数か月攻撃を続けなければならない状態に変わる。アドオンは主にonionサービスの運営者向けで、通常のTorクライアントでも使える。

Vanguards-liteはこれを簡略化してTor本体に組み込んだもので、仕様の提案書（Proposal 333）によればTor 0.4.7.1-alphaで実装された。3段目の固定は行わず、2段目のガードを4つ持ち、その寿命は1日から12日（平均で約1週間）とする。提案書自身が、3段目を持たないぶんguard discovery攻撃はしやすくなると欠点を認めている。同じ提案書の見積もりでは、2段目に対するSybil攻撃が50%の確率で成功するまでに、ネットワークの1%を持つ攻撃者で126日、5%で約1か月、10%で2週間かかる。防御は攻撃を不可能にするのではなく、時間と資源を要求するものだ。

onionサービス側の相関#

Ricochetの件で見たとおり、onionサービスは、サービスがオンラインかどうかという情報そのものが時刻の材料になる。サービスを動かしているサーバーの回線が止まった時刻と、onionサービスに届かなくなった時刻が重なれば、それだけで両者が結びつく。

onionサービスのIPアドレスが漏れる経路は、タイミングだけではない。CARONTE（ACM CCS 2015、Maticら）は、onionサービスが配信する内容や設定に含まれる情報、たとえばページ内の固有の文字列やHTTPS証明書を手がかりに、同じ内容や同じ証明書を使っているインターネット上のサーバーを探す手法を示した。1,974件のonionサービスに適用して、101件（5%）のIPアドレスを完全に割り出している。論文は、この手法がTorのプロトコルの欠陥に依存しないことを強調している。運営者側の対策はIPアドレスを出さずにonionサイトを運営するで扱う。

対策と、その限界#

対策は、相関の材料のどれを減らすか、そしてどの観測者からそれを隠すかで性格が分かれる。一つの対策ですべての観測者に効くものはない。

対策主に効く相手効かない、または弱い相手
Torの接続パディングISPのフロー記録を後から調べる相手回線を常時観測する相手、ガードを押さえた相手
Mullvad DAITA利用者とVPNサーバーの間の観測者（ISPなど）VPN事業者自身、VPNサーバーの出口側も観測できる相手
mixnet広い範囲の回線を観測する相手端末への侵入、運用上の失敗
ブリッジ「Torを使っている」こと自体を見ている相手（学内・社内ネットワーク、ISP、検閲者）両端を観測できる相手
時刻をずらす運用粗い時刻の重なりで候補を絞る相手長期間の監視で行動パターンを積み上げる相手

パディングから見ていく。Torは、利用者とガードの間の接続に、通信が途切れたときだけダミーのセル（PADDING）を流している。仕様書によれば、目的はISPなどによる接続単位のメタデータの保存の解像度を下げることにある。接続が1.5秒から9.5秒の範囲でランダムに選ばれた時間アイドルになると1セルを送り、ルーターが「通信なし」として記録を区切る最短の10秒より前に必ず何かが流れるようにする。こうすると、フロー記録は30分ごとの総バイト数にまとまってしまい、何時何分に通信が始まって止まったかが読みにくくなる。パディングは利用者とガードの間の接続、そしてブリッジとの接続にだけかかる。仕様書自身が、フロー記録の解像度はパケットやヘッダーを丸ごと取得する観測に次ぐものだと書いているとおり、回線を丸ごと記録している相手に対する防御として設計されたものではない。

DAITA（Defense Against AI-guided Traffic Analysis）は、MullvadがVPNに組み込んだ通信解析への対策で、2024年5月7日にWindows版のベータとして公開され、10月25日のAndroid版の対応で、同社がサポートする全プラットフォームで使えるようになった。説明ページによれば、ランダムなダミーパケットを混ぜて利用者がいつ活動しているかを分かりにくくし、ウェブサイト閲覧に伴う特徴的なパターンを崩すために両方向にダミーの通信を流し、VPN経由のすべてのパケットを同じ大きさにそろえる。Karlstad大学と共同で開発し、オープンソースのMaybenotという防御フレームワークの上に作られている。Mullvadは、ISPやISPにアクセスできる観測者が、サイトの特定に加えて、特定の時刻に特定のパターンで送られたメッセージを手がかりに誰と通信しているかを割り出す相関攻撃にも使えると説明しており、DAITAが狙うのはこの区間だ。ただし、2026年11月8日に確認した同ページには、現時点でDAITAはアムステルダム、ロンドン、ロサンゼルス、ニューヨークの一部のサーバーでのみ使えるという注記がある。Mullvad自身はVPNサーバーで利用者のIPアドレスと接続先の両方を見る立場にあり、DAITAはその点を変えない。

mixnetは、通信を中継する各ノードで意図的に遅延をかけ、ダミーの通信を常時流すことで、入口と出口の時刻の対応そのものを崩す設計だ。研究例のLoopix（Piotrowskaら、2017年）は、ダミー通信の注入と、ポアソン分布に従ってメッセージを遅らせるノードの組み合わせで、ネットワーク全体を観測する相手に対しても通信解析への耐性を得るとしている。その代償はメッセージの遅延で、論文はメッセージの遅延を数秒程度と見積もっている。数秒の遅延は、メッセージのやり取りには許容できても、ウェブページを読み込むたびに数秒待つ使い方には向かないと考えられる。Torが低遅延を選んだのは、設計論文の立場から言えば、使われなければ匿名性の集団そのものが育たないからで、mixnetはその選択の裏側にある。

ブリッジは、公開されていない入口のリレーで、Tor Projectのサポートページは、Torを使っていることを回線の観測者に知られるリスクを、ブリッジ経由で接続することで減らせると案内している。Harvardの事例のように「Torに接続した」という事実そのものが手がかりになる環境では、ブリッジが直接効く。同じページは、最終的にもっとも効く防御は社会的なもので、周囲にTorの利用者が多く関心が多様なほど、その一人であることの危険は小さくなる、とも書いている。ただしブリッジは入口の見え方を変えるだけで、両端を観測できる相手による相関を防ぐものではない。仕組みと選び方はTorの検閲回避にまとめた。

時刻をずらす運用は、道具ではなく使い方の話だ。相関の材料が「接続した時刻」と「外から見える行動の時刻」の重なりである以上、両者を切り離せば手がかりは弱くなる。Tor Projectは声明で、接続を長時間維持しないTor Browserの利用者は、報道されたようなタイミング解析に対してより脆弱でない、と書いている。逆に、Ricochetのように常時接続してオンライン状態が外から分かるソフトウェアは、長期間の観測の材料を提供し続ける。記者が情報源とやり取りするなら、どのソフトウェアが自分のオンライン状態を外に知らせているかを把握しておくことが、この運用の出発点になる。

そして、もっとも地味で効果が確かな対策はソフトウェアの更新だ。Ricochetの件でTor Projectが入口と見ているのは、Tor 0.4.7で入った防御を持たない古いソフトウェアだった。Tor Browserやonionサービスを動かすTorを最新に保つことは、ここに挙げたどの対策よりも手間が少ない。

限界と残るリスク#

ISPとVPNの双方に、粒度の違う記録が見えている。ISPには、契約者の回線がVPNサーバーやTorの入口とつながった時刻と通信量が見える。VPN事業者には、利用者のIPアドレスと接続先と時刻が1か所でそろう。VPNとTorを組み合わせれば、誰に何が見えるかの配置は変わるが、記録が消えるわけではない。組み合わせ方ごとの違いはVPN over Tor / Tor over VPNで整理した。

相関攻撃は、資源を投じられる相手にとって実在する手段だ。Torの設計論文が2004年に認め、2024年の報道が捜査での使用を伝え、当局はそれを否定していない。Torの防御は攻撃に要する時間と資源を引き上げるが、ネットワークの観測と中継リレーの運営の両方を長期間続けられる相手に対して、勝てると約束するものではない。この記事のどの対策を重ねても、完全な匿名は得られない。

一方で、Ricochetの件でさえ、報道によれば捜査の決定的な手がかりは国外からもたらされたものだった。どの経路が最初の手がかりになったのかは報道からは分からない。ただ、相関が「確認」の道具として働くことを考えると、候補の段階に入らないことのほうが、多くの読者にとっては効果が大きいと考えられる。名前の使い回し、復旧用メールアドレス、文体や活動時間といった、自分の手で減らせる手がかりは匿名性が暴かれた実例集と文体から特定される仕組みで扱っている。

対策にも対になるリスクがある。DAITAのような機能は、一つのVPN事業者への信頼をさらに深めることと引き換えになる。ブリッジは入口の見え方を変えるが、ブリッジの運営者には接続元のIPアドレスが見える。vanguardsアドオンは技術文書自ら、多くの経験則の調整が残る実験的なアドオンだと書いている。

まとめ#

開示請求やSNSでの身元の割り出しを主な相手と考えている読者は、この記事の対策に時間を割く必要はあまりない。今日確認するのは一つだけでよく、Tor BrowserとVPNのアプリが最新版になっているかを見ておけば足りる。

学内や社内、あるいは家庭のネットワークで「Torを使っていること」自体が問題になりうる人は、その回線を誰が管理していてどこまで見えるのかを確かめ、必要ならブリッジ経由の接続に切り替える。家庭内の相手が懸念なら、先に同居人・元交際相手から守る匿名性を読んでほしい。

国家機関を相手にしうる記者や情報源は、自分が使っているメッセンジャーやツールが、オンライン状態や接続の有無を外に知らせていないかを洗い出す。常時接続のツールを使うなら、それが保守されている版かどうかも合わせて確かめる。

onionサービスの運営者は、動かしているTorのバージョンが0.4.7以降でVanguards-liteを持っているかを確認し、より強い保護が必要なら、実験的な位置づけであることを理解したうえでvanguardsアドオンの導入を検討する。あわせて、サービスの停止や再起動の時刻が外から観測されうることを前提に運用を組み立てる。

出典#

参照日はいずれも2026-11-08。