３．Tor犯罪者と当局との仁義なき戦い
前回はTorという技術について少し書きました。そうですね、Torというのは身元を隠してインターネットにアクセスすることを可能にする技術で犯罪者が好んで使う技術だよ、だけどその犯罪者というのは「国家が定義した法を犯した人間」のことであって、私たちが思う犯罪者とは少し違うかもよと、そんなことを書いた訳ですが。
じゃあ、Torは、「私たちが思いつくような」普通の悪人は使わないのでしょうか。国家や企業を相手にその腕をふるうハッカーやクラッカー、祖国で言論の自由を制限された政治犯のような、犯罪者の中でも少し特殊なカテゴリの人たちが利用していて、なんていうか、「普通の悪人」は利用しないのでしょうか。
……残念ながら、そうは言えないと思います。
そりゃあ、ハッカーやクラッカー、政治活動家という人たちもTorを利用していますし、その中にも私たちの価値観にとってはよろしくない、取り締まって欲しい人たちもいますけどね。
でも、何て言うか、もっと普通にありふれた、イメージのしやすいネット犯罪ってあるじゃ無いですか。例えばそうですね、人権や風紀の観点から流通することが許されていないような「違法なチョメチョメ」を配布するサイトとか。そういった犯罪にも、Torという技術が使われているのも事実です。なにせ「身元を隠してアクセスする」技術です。そういった犯罪に使うにはうってつけな訳です。
ですが、例えTorという道具が「自由を象徴するような技術」だとしても、そういった犯罪を野放しにすることはできませんよね。なのでまあ、当局が取り締まろうとするのも自然な流れです。
――ですが、このTorという技術、前話で「理論上は解析不能な匿名化通信技術」なんて書いた通り、かなり強力なツールです。
何せ、NSAが全力をあげて構築した「PRIZM」をもってしても、「ツールやユーザーに脆弱性や設定ミスがない限り」その匿名性を破ることはできないなんて言われる位です。これを使われたら、そう簡単に取り締まることができなくなるのも、まぎれもない事実です。
◇
◆――……
PRISM（プリズム）とは、アメリカ国家安全保障局 (NSA) などが2007年から運営する、極秘の大量監視（英: mass surveillance）プログラムである。大手IT企業を経由してインターネット上の情報を広範に収集し監視する。正式名称はUS-984XN。コードネームは、名前のとおりプリズムにちなむ。
……―― wikipedia「PRISM (監視プログラム)」より引用 ――◆
こんな序文から始まるwikipediaのPRISMの項、まあ短いので見てみると良いと思います。要約するとそうですね、PRISMというのは「NSAが運営する、極秘の大量監視プログラム」で、「2007年～2012年の間に、Microsoft、Yahoo!、Google、Facebook、PalTalk、YouTube、Skype、AOL、Appleがプログラムに参加している」と、短いながらもなかなかに刺激的なことが書かれています。
――まあ、一言でいってしまえば単なるデマ、陰謀論の類だと思いますが。
と、言ってはみましたが。wikipediaには、間違った内容も散見されるというのは有名な話だと思いますが、何の根拠もなく「デマ」というのも、ほめられたものではありませんね。でも、一応根拠はあるのですよ。「英語版wikipediaの」PRISMのページなのですが。こちらは、日本語版とは違ってかなり長いのですが、それに見合った情報が記載されています。
wikipediaのデマがwipipediaによって否定される。それもまた、wikipediaらしくていいのかな、なんて思います。
◇
まあ、結局のところ、PRIZMのような大規模な盗聴システムなんて、実在しないのでしょうね。そんなものがあったら、ちゃんとした形でニュースになってるはずですし。……何より、そんなものが無いからこそ、以下に紹介するような、驚くべき事件が起こるのかなと思います。
まあ、起こしたのはNSAやCIAじゃなくて、FBI、連邦捜査局っていう組織なのですが。
◆――……
米連邦捜査局（FBI）が児童ポルノサイトの利用者を摘発するために行ったハッキング捜査に関して、プライバシー擁護団体は、1通の令状で世界120カ国のコンピューター8700台をハッキングした手法は憲法にも国際法にも違反しているとの主張を展開している。
……（中略）……
各団体が問題視しているのは、児童ポルノサイト「Playpen」の利用者に対してFBIが行った捜査の手法だ。Playpenは、匿名通信技術「Tor」を使ったブラウザーでアクセスできる児童ポルノサイトだったが、2014年にFBIはこのサイトを差し押さえることに成功した。
そしてFBIは、同サイトの利用者を突き止めるための手を打つことを決めた。基本的には、利用者をマルウエアに感染させるという手法だ。
この結果、FBIは、同サイトを利用した数百人を起訴することができた。しかし、その過程で、世界120カ国にあるコンピューターをハッキングする結果となった。
……―― CIOニュース「FBIのハッキング捜査、プライバシー擁護団体が不当性を主張」より引用 ――◆
要するに、Torでしか見れない違法な児童ポルノサイトの「利用者」を摘発するためにFBIは、押収した児童ポルノサイトにウイルス（マルウェア）を仕込んだ状態で運営をしてユーザーを感染させて、その児童ポルノサイトを見に来た人の個人情報を収集したという、そんな事件です。
大丈夫、ちゃんと裁判所から令状を取った上での行動ですから。警察権力の暴走とかじゃない、正当な捜査ですね、はっはっは。……うん、ちょっと笑い事じゃない話のようにも思えますが。もしくは笑うしかない話でしょうか（笑）
◇
また、これと似たような話がFacebookというSNSを運営していることで有名な民間企業にもありまして。ストーキングをしていたユーザーを突き止めるために、Tailsという、Torを利用しているツールの脆弱性を利用したという話なのですが。
◆――……
容疑者はネット上で犯罪行為を行うに当たり、身元の特定を避けるため、全てのインターネット通信に匿名化ソフトウェア「Tor」を経由できるOS「Tails」を使用して匿名化を図っていた。
……（中略）……
ところが、今回MotherboardがFacebookや元従業員へ取材した結果、容疑者の使うTailsの匿名化を破るためにFacebookがサイバーセキュリティ会社に数千万円で攻撃プログラムの開発を依頼していたことが分かった。これが、FBIが使用していたNITの正体だという。
……（中略）……
他に打つ手がなかったFacebookのセキュリティチームは、あるサイバーセキュリティ会社に数千万円の費用を支払ってTails向けの攻撃プログラムの開発を依頼する（この企業の名前は明かされていない）。その内容は、Tailsが備える匿名化技術を「ゼロデイ攻撃」（未公開の脆弱性を狙う攻撃手法）によって破り、発信元を特定するものだ。使われたゼロデイの脆弱性はTailsにインストールされている動画プレーヤーに存在していた。
……―― ITmedia「Facebook、匿名化OS「Tails」ユーザーの正体暴く技術を開発 米FBIへ提供していたことが明らかに」より引用 ――◆
……まあ、色々とぶっ飛んでて、どこまでホントの話なのか、実はちょっと自信がありません。でもまあ、そんなことを言ったらこの手の話はできませんしね。うん、ホントにあったことと信じることにします（笑）
◇
まあ、難しい話だとは思います。児童ポルノサイトを利用している時点で、その人が捜査の対象になるのはおかしい話でないという考え方もあるのです。「身元を隠したまま児童ポルノサイトを利用している人『だけ』を調査する」とはっきりしているのなら、その身元を調査するためにある程度強引な方法が使われるのも、わからない話ではないと思います。
ただ、インターネットには国籍がありません。令状を取った上での捜査とは言え、マルウェアに感染させるという捜査手法だと、外国人にも影響は出てしまいます。そういったことを「一つの国の」裁判所の発行した令状で行っても良いのかという問題はあると思います。
まあ、NSAやCIAよりもFBIや民間企業の方が過激に見えるのは、はっきりとした目的があるからというのはあると思います。NSAやCIAにとって、Torというのは面倒な技術でしょう。ですが、実際にTorを使っている個人に対して、何かをどうこうしたい訳ではないはずです。
ですが、FBIはそうじゃない。諜報機関から見れば無害な人も、治安当局から見れば「取り締まるべき犯罪者」になる。その結果、「相手が犯罪者だと特定できるときは」マルウェアや未知の脆弱性を使った攻撃をすることもある、そんな話だと思います。
――Torという技術に善悪が無いのは確かだと思います。ですが、「Torを使っている人」には、明らかに偏りがあるのも事実だと思います。
◇
結局、「完全な匿名性を保証する技術」なんてものは無いのだと思います。Torがどれほど優れた技術でも、その必要があれば、相手は身元を特定しようとします。
今回例にあげたFBIやFacebookの行為は、相手の犯罪行為に対応して行われたという側面があります。Torを非合法な目的に使ったからこそ、その「接続先から」身元を特定されたのです。
結局のところ、最後は「行為の正当性」になるのだと思います。FBIやFacebookがハッキングの手法を使って相手の身元を特定しても、その理由が正当なら社会に認められるし、そうでなければ非難される。
――児童ポルノを見るために違法サイトに行ったらマルウェアに感染した人が「FBIは不当だ」と叫んでも、その声に同調する人は少ないと思います。
FBIの行為には議論の余地があると思いますが、その議論は第三者によって行われるべきだと思います。本人の行動に正当性が無い以上、その人は議論に参加できない、ただの犯罪者でしかないと思います。
法と正義が一致しているのであれば、違法は裁かれてしかるべきだと思います。どんなときも、最後に身を守るのは技術ではなく正当性だと、そんな風に思います。
