VPN サービス の 安全性 と 利用のメリット

スポンサーリンク
Reports-icon

PC や モバイルデバイス での VPNサービス 利用時の 注意点

通信のセキュリティは Google が ウェブブラウザ と サーバ間の通信を暗号化する HTTPS を 推進したことにより 2014年 に 50% 程だった HTTPS のトラフィックが 2017年には 90% を超え、HTTPS 接続 が標準になったことで HTTP 接続で問題だった 中間者攻撃 (Man-in-the-middle attack) による 盗聴リスクは大きく減少した。

Google 透明性レポート – ウェブ上での HTTPS 暗号化

仮想プライベートネットワーク ( VPN ) はインターネットに 暗号化というトンネルを作って 接続するもので、HTTPS をサポートしていない サイトへもセキュアな通信が可能になるが、 HTTPS が普及した現在では Wi-Fi のフリースポットを使用する際 に VPN の利用が推奨されている程度で、VPN は従来の 通信の安全性確保 から プライバシーを保護するツールへと使用目的が変わってきており、 リーズナブルで質の高いサービスを提供するプロバイダがある一方で、個人情報の収集 や 広告収入を目的にしたアプリも多く存在するため 利用するサービスの選定が重要になる。



VPN サービス を利用するメリット

VPN サービスは ユーザーの デバイス と VPNプロバイダ のサーバを 暗号化された トンネルで接続し、VPNプロバイダ のサーバを経由して 目的のウェブサイトのサーバに接続することで ユーザには 3つのメリットがもたらされる。

安全な通信

スマートフォンの普及により Wi-Fi のフリースポットが増えているが、セキュリティベンダーは 個人情報の入力を避けるよう呼びかけているように 安全性の低い フリー スポットは Wi-Fi ハッカー による「 盗聴 」や「 なりすまし 」のリスクが高い。

VPN security & benefits 001

セキュリティベンダー「シマンテック」が発表した 2017年度の「ノートン Wi-Fi リスクレポート」では 国内でも70%以上の人が フリースポットで リスクのある行動をとっている実態が明らかになっているが、デバイス を VPN サーバに接続 することで Wi-Fi ハッカー の脅威から 通信を保護することができる。

ノートン Wi-Fi リスクレポート(PDF)

VPN security & benefits 002

フリー スポット を利用する機会が多い スマートフォン用のアプリでは 通信が暗号化されていないものが多く 通信内容を保護するためにも IPA ( 情報処理推進機構 )  でも VPNサービスの利用が推奨されている。

IPAテクニカルウォッチ「公衆無線LAN利用に係る脅威と対策」

公衆無線 LAN などのフリーWi-Fi を利用する際、暗号化設定がされていない場合や不特定多数の利用者と同一の暗号化キーを共有する場合には、AP との通信内容が盗聴されるというリスクは避けられない。
そのため、ID、パスワードといったログイン情報やクレジットカード番号、個人情報など、重要な情報を入力が必要となる場合はもちろん、第三者に知られては困る情報をやりとりする場合は SSL 対応サイトのみに限定することが重要である。
ただし、すべてのサイトが SSL に対応しているとは限らず、また SSL 対応有無を判断しながらの利用は利便性を大きく損ねるため、VPN 通信を利用することを推奨する。
なお、VPN 通信を利用すると、万が一、悪意の AP に接続してしまった場合の盗聴にも有効となる。

通信内容の秘匿化

インターネットへは ISP ( インターネット・サービス・プロバイダー ) を通じて接続するが、VPN サービスを利用すると ISP を経由した接続先が VPN サーバになり、VPN サーバ と ユーザー間 の通信が 暗号化されるため ISP には VPN サーバに接続した ログしか残らない。

ISP によるログの保管 と 検閲

ISP は ISP の ネットワークを通過した通信に対してログを取っており、裁判所の令状など法的根拠に基づいた 個人情報開示請求が承認されると サーバにアクセスした IPアドレス から 契約者の氏名・住所などが開示される。

日本にはプライバシーを保護する 電気通信事業法 第 4 条 第 1 項「通信の秘密 」があり「 通信の内容や宛先を第三者に知られたり、漏洩されたりしない権利 」が保障されており「 本人の同意を得る 」か「 正当行為 」「 正当防衛 」「 緊急避難 」に該当する 違法阻却事由がある場合 にのみ通信の秘密の侵害が許される。

ISP には ユーザーの通信内容を監視して許可なく操作できる検閲所としての機能があり「 違法阻却事由 」がある認められると、 ISP を通信が通過する際に ISP のネットワーク内にある DNSサーバ や 専用装置 によって通信が遮断される「 ブロッキング 」が行われ、2018年 4月 政府は ISP に「 漫画村 」「 Anitube 」「 Miomio 」の 3 サイト を ブロッキングするよう要請したほか、警察庁などによって児童ポルノ関連のサイトの閲覧制限も実施されている。

シギント

エドワード・スノーデン氏が NSA ( アメリカ国家安全保障局 ) による国際的監視網 ( PRISM ) の実在を暴露したことで 都市伝説的だった 公的機関による シギント ( 通信の傍受 ) への警戒感が強くなり、個人レベルでもプライバシーの保護対策を講じる人が増加している。

米英など5カ国「ファイブアイズ」、日独仏と連携 サイバー攻撃、中国の機密情報共有 

2019年 には 中国のサイバー攻撃に関する情報を共有するため ファイズアイズに 日本・ドイツ・韓国 や フランス が加わった枠組み「 5 アイズ アライアンス+ 」が発足。
ファイズアイズは 第二次世界大戦中に米国と英国で締結された諜報に関する 秘密協定「 UKUSA 協定 」がベースになっており、第二次世界大戦後に カナダ , オーストラリア , ニュージーランドが加わって 国内 / 国際的に情報を収集 , 分析 , 共有している。
VPN サービスの ノーログポリシー

VPN サービスを利用すると ISP のログには ユーザーが VPN プロバイダ のサーバに接続したログしか残らず、ユーザー と VPNサーバ 間は 暗号化されているため 通信内容 が漏れることもないが、VPN プロバイダ は ISP と同じ ユーザーの行動履歴を 記録できるため、行動履歴を完全に秘匿したい場合は VPN プロバイダ の ログ 管理 が重要になる。

2016年 米 FBI は  爆弾脅迫の疑いで Preston McWaters が利用していた 米国 の VPNプロバイダ 「Private Internet Access 」に対してログ の公開を求めたが、「Private Internet Access 」は ユーザーのログを保存しない「 ノーログポリシー 」を採用しており FBI へ提出するログがなく 被疑者のプライバシーが守られる結果になった。

VPN Provider’s No-Logging Claims Tested in FBI Case

通信の匿名化

通信内容の秘匿化 に関連しているが VPN サービスを利用すると ISP を経由して VPN サーバに 接続して VPN サーバから 閲覧サイト へ接続するため、ISPだけでなく 閲覧サイトのサーバにも VPN サーバの IP アドレスしか記録されない。

通常 ユーザーの身元は 接続元の IP アドレス を ISP で照合して 割り出されるが、VPN サービスを利用することで ユーザー のアクティビティは VPN サーバ への接続のみになり 接続元を 隠蔽 , 偽装 できる。

VPN プロバイダ の多くは 世界各国に サーバを設置しているため、海外からの接続を受け付けていない サイトへは 対象国 の VPNサーバに接続することで アクセスが可能になる。

Amazon prime video のように VPN を検知してブロックするサイトへの接続は不可。

VPN サービス の リスク

VPN は 通信の安全性 と プライバシー保護 に 有用なサービスだが、VPN プロバイダ が サービスを完全に履行していることが前提で「 信頼 」という不確定な根拠の元に成り立っている。

VPN の信頼を損なう事案

VPN プロバイダ は ISP と同じく ユーザーの トラフィック情報を収集可能で  ユーザーには VPN プロバイダ が データをどのように処理しているのか全く見えない。

VPN プロバイダ には ノーログポリシーを採用していないところも多く、特に 無料で提供されている モバイル用の VPN アプリでは ユーザーのアクティビティを 広告 や トラフィックの分析 データとして利用したり、プライバシーポリシーに 収集した データの 利用方法が記載されていないなど 信頼に値しないサービスがある。
PureVPN によるネットワークログの提供 問題

ログを一切記録しないとするVPNがFBIにログ提出 その内容とは?

2017 年 ノーログポリシーを採用しているはずの PureVPN は 米国 FBI の要請に応じて ネットワークログ ( ユーザーが PureVPN に接続した記録 ) を提出して ユーザーの特定に協力。

PureVPN は 提出した ネットワークログ は トラブルシューティングなどで使用するために自動生成されるもので ユーザーのアクティビティは保存されていないと釈明しているが「  ノーログポリシー 」の 信頼性が大きく損なわれることになった。

2018年に PureVPN は プライバシーポリシーを改定して 米国の情報システム監査人「 Altius IT 」より ゼロログ認定を受けており、現在はユーザーのアクティブログから個人を特定することができない。
Hotspot Shield Free VPN による 広告ネットワークへのルーティング問題

Hotspot Shield VPN’s Privacy and Security Promises Contradict Practices

米国に本拠を置く 非営利団体「 Center for Democracy & Technology 」は 2017年 「 Hotspot Shield Free VPN 」が ユーザートラフィックを広告ネットワークへルーティングしていることを指摘。
当時の「 Hotspot Shield Free VPN 」のプライバシーポリシーは ユーザートラフィックが保存され 第三者に開示できるという内容になっていた。

「 Hotspot Shield Free VPN 」は 2018年 6月 に プライバシーポリシーを改定し、ユーザートラフィックは保存せず「Hotspot Shield Free VPN」のみ ユーザーの位置情報が広告に使用されるなど、表記が具体的になり 以前よりもプライバシー保護が強化された内容になった。
Onavo Protect による ユーザーデータ収集の問題

Facebook に買収された イスラエルのソフトウェアベンダー「 Onavo 」は、提供していた 無料 VPN アプリ「 Onavo Protect 」を 使用して送信されてきたトラフィックを分析し、Facebook が買収などの営業戦略に利用していたことが明るみに出て大きな問題になり、VPN アプリ が スパイウェア として機能することを知らしめる事になった。

FacebookのOnavoをアプリストアから削除、ユーザーデータの無断収集を処罰

「 Onavo Protect 」は Google Playストア から 削除されている。
Hola VPN による 出口ノード利用と トラフィック販売 問題

イスラエル の ソフトウェアベンダー「 Hola 」が提供していた「 Hola VPN 」では  ユーザー のデバイスを「 出口ノード ( 最終的にサーバへアクセスする IP )」として使用していることが発覚し、VPN ユーザー の 帯域幅が 1GB あたり 20ドルで販売されていた。

Hola VPN turns your PC into an exit node and sells your traffic

出口ノードとして犯罪に利用された場合「 パソコン遠隔操作事件 」のように 全く覚えのない犯行の容疑者として検挙される可能性がある。

DNSリーク(DNS漏れ)

DNS ( Domain Name System )は IP アドレス と ドメイン名 を紐づけするシステムで オンラインで行われるやり取りは DNS サーバ を 経由して行われている。

有線・無線を問わず Android デバイス や PC では デフォルトで「 IP アドレスを自動取得 」する DHCP ( Dynamic Host Configuration Protocol ) が有効になっており、DNS サーバは契約しているISP や Google の Public DNS サーバが設定されている。
DNS に デフォルトデートウェイ と 同じ IP アドレスを入力すると ISP の DNSサーバ を使用することになる。
VPN サービスでは  VPN プロバイダ が提供している 暗号化された DNS サーバを利用するのが一般的で「 アクセスの匿名化 」が確保されるため アクセス元の IPアドレスは 見えないのだが、本来 見えないはずの IP アドレスが見えてしまっている状態が「 DNS リーク ( DNS 漏れ )」 と呼ばれる。

VPN security & benefits-006
暗号化された DNS サーバへの接続が 切断されると DNSクエリは 暗号化されていない ISP の DNSサーバ などに転送されて 通信を維持するため、VPN サービスは 強制的にネットワークを遮断する「キルスイッチ」機能を実装して DNSリークを阻止している。

アクセス権限 と マルウェア

無料アプリ が 多数提供されている モバイルアプリでは VPN サービスには 不要な 「 アクセス権限 」を要求し「 広告表示 」や「 個人情報の収集 」に 利用しているほか、Google Play ストア で 公開されているアプリでも「 潜在的な脅威 」は存在しており Easy VPN , Secure VPN , Troid VPN , Zero VPN , Proxy Master , SlowDNS , AppVPN などの VPN アプリから マルウェアが検出されている。

法的強制力 と プロバイダの拠点

VPN プロバイダ を選ぶ際のポイントになるのが プロバイダの拠点で、ノーログポリシーを採用している プロバイダであっても 公的機関から法的に 特定 IP アドレスの監視 や アカウントのロギング を強制される可能性がある。

日本では「 違法阻却事由 」があれば「 通信の秘密 」を侵害でき、適用範囲が曖昧な「緊急避難」が都合よく適用される可能性があるように、ファイブアイズ や ナイン アイズ ( 5 アイズ + フランス , デンマーク , ノルウェー , オランダ ) 、SIGINT Seniors Europe  ( 9 アイズ アライアンス + ドイツ , ベルギー , イタリア , スウェーデン , スペイン ) 、上海協力機構( ロシア , 中国 , パキスタン , インド , キルギス , カザフスタン , ウズベキスタン , タジキスタン ) など 情報共有が行われてい 国 に拠点を置く VPN プロバイダ にはリスクがある。
プライバシーヘイブン

ファイブアイズ などと異なり 「 イギリス領バージン諸島 」「 パナマ 」「 セイシェル 」「 ケイマン諸島 」「 マレーシア 」は法的に ユーザーのプライバシーが保護されており 大手 VPN プロバイダ が 拠点を置いている。

透明性レポート – 令状のカナリア ( Warrant Canary )

「 令状のカナリア 」は VPN プロバイダ など 個人情報  を取り扱う企業が 公的機関 から データ提出要求を受けていないことを表している。

vpn-security-benefits-001

「 令状のカナリア 」には 法的な根拠はなく 安全性を保証したものでもないが プライバシー保護 の 1つの指標になっている。

VPN サービス

Android-protonvpn-icon

ProtonVPN のインストールと使い方

無料プランでも最高レベルのセキュアな通信が可能な VPN サービス 「 ProtonVPN 」はスイスの VPN プロバイダ「 Proton Technology AG 」が提供している VPN アプリ。 日本語は未サポ […]

TunelBear-icon

TunnelBear VPN のインストールと使い方

カナダの VPN プロバイダー「 TunnelBear 」が提供する安全な VPN 接続 サービス 「 TunnelBear VPN 」はカナダの VPN プロバイダー「 TunnelBear 」が提供している VPN […]

gz-system-purevpn-icon

PureVPN のインストールと使い方

VPN プロバイダトップクラスになる 300,000 以上 の IP アドレスを所有し Netflix や P2P 接続も可能な VPNサービス 「 PureVPN 」は 香港を拠点にした「 GZ Systems 」が提 […]

nordvpn-icon

NordVPN for Windows のインストールと使い方

ノーログポリシーを採用し パフォーマンスに定評のある VPN サービス NordVPN は キプロスの VPN プロバイダ「 Tefincom SA 」が パナマを拠点として提供しているVPN サービスで、2020年 1 […]

 





関連記事

Reports-icon

VPN サービス の 安全性 と 利用のメリット

PC や モバイルデバイス での VPNサービス 利用時の 注意点 通信のセキュリティは Google が ウェブブラウザ と サーバ間の通信を暗号化する HTTPS を 推進したことにより 2014年 に 50% 程だ […]

Reports-icon

旅行中にネットワークを保護する方法

無料 WI-Fi を安全に利用する VPN 接続 国内・海外を問わず 旅行中は 空港などにある 無料の Wi-Fi アクセスポイントは非常に便利で 使用する機会も多い。 企業幹部がターゲットにされた マルウェア「 Dar […]

turbo-vpn-icon

Turbo VPN – 使用リスクのあるVPNアプリ

使用状況などのデータが中国へ転送される 危険なVPN アプリ Turbo VPN は Google Play ストア で  100,000,000+ 以上 インストールされている 人気の VPN アプリで ユーザーの評価 […]





タイトルとURLをコピーしました