VPN サービスの安全性と利用のメリット

VPN サービスを利用するメリットと VPNプロバイダ選択時の指標

VPN サービスを利用すると 安全な通信・通信内容の秘匿化・通信の匿名化 のメリットがもたらされるほか、接続サーバを指定することで 接続元の位置情報を偽装できるので ジオブロック ( 地理的位置で制限を加える技術 ) を回避できる。

VPN とは

仮想プライベートネットワーク ( VPN ) はインターネットに暗号化というトンネルを作って接続するもので、通信の安全性と IP アドレスの匿名化によりプライバシーの保護が確保される。

安全な通信

通信のセキュリティは Google がウェブブラウザとサーバ間の通信を暗号化する HTTPS を推進したことで HTTPS のトラフィックは 2017年に 90% を超え、 HTTP 接続で問題だった 中間者攻撃 ( Man-in-the-middle attack ) による盗聴リスクは大きく減少したが、スマホの普及で増加した Wi-Fi のフリースポットが Wi-Fi ハッカーによる盗聴や なりすまし のリスクに晒されている。

IPAテクニカルウォッチ「公衆無線LAN利用に係る脅威と対策」

フリースポットを利用する機会が多いスマートフォン用のアプリでは通信が暗号化されていないものが多く通信内容を保護するためにも IPA ( 情報処理推進機構 ) でも VPNサービスの利用が推奨されている。

日本人観光客の 4 人のうち 3 人は訪問先のフリーWiFi を利用している。

VPN サービスを利用することで 通信は暗号化やトンネリングによって保護されるため盗聴を防ぐことができる。

通信内容の秘匿化

インターネットへは ISP ( インターネット・サービス・プロバイダー ) を通じて接続するが、VPN サービスを利用すると ISP を経由した接続先が VPN サーバになり、VPN サーバとユーザー間の通信が暗号化されるため ISP には VPN サーバに接続したログしか残らない。

ISP によるログの保管と検閲

ISP は ISP のネットワークを通過した通信に対してログを取っており、裁判所の令状など法的根拠に基づいた個人情報開示請求が承認されるとサーバにアクセスした IPアドレスから契約者の氏名・住所などが開示される。

日本にはプライバシーを保護する電気通信事業法第 4 条第 1 項 通信の秘密 があり 通信の内容や宛先を第三者に知られたり、漏洩されたりしない権利 が保障されており、本人の同意を得る か 正当行為・正当防衛・緊急避難 に該当する 違法阻却事由がある場合にのみ通信の秘密の侵害が許される。

ISP にはユーザーの通信内容を監視して許可なく操作できる検閲所としての機能があり 違法阻却事由 がある認められると、 ISP を通信が通過する際に ISP のネットワーク内にある DNSサーバや専用装置によって通信が遮断される ブロッキング が行われ、2018年 4月政府は ISP に漫画村・Anitube・Miomio の 3 サイトをブロッキングするよう要請したほか、警察庁などによって児童ポルノ関連のサイトの閲覧制限も実施されている。

シギント

エドワード・スノーデン氏が NSA ( アメリカ国家安全保障局 ) による国際的監視網 ( PRISM ) の実在を暴露したことで、都市伝説的だった公的機関による シギント ( 通信の傍受 ) への警戒感が強くなり、個人レベルでもプライバシーの保護対策を講じる人が増加している。

米英など5カ国「ファイブアイズ」、日独仏と連携　サイバー攻撃、中国の機密情報共有

2019年には中国のサイバー攻撃に関する情報を共有するためファイズアイズに日本・ドイツ・韓国・フランスが加わった枠組み 5 アイズアライアンス＋ が発足。

ファイズアイズは第二次世界大戦中に米国と英国で締結された諜報に関する秘密協定 UKUSA 協定 がベースになっており、第二次世界大戦後にカナダ・オーストラリア・ニュージーランドが加わって国内 / 国際的に情報を収集・分析・共有している。

通信の匿名化

通信内容の秘匿化に関連しているが VPN サービスを利用すると ISP を経由して VPN サーバに接続して VPN サーバから閲覧サイトへ接続するため、ISPだけでなく閲覧サイトのサーバにも VPN サーバの IP アドレスしか記録されない。

通常ユーザーの身元は接続元の IP アドレスを ISP で照合して割り出されるが、VPN サービスを利用することでユーザーのアクティビティは VPN サーバへの接続のみになり、接続元を隠蔽・偽装できる。

VPN プロバイダの多くは世界各国にサーバを設置しているため、海外からの接続を受け付けていないサイトへは対象国の VPNサーバに接続することでアクセスが可能になる。

VPN プロバイダ

VPN は通信の安全性とプライバシー保護に有用なサービスだが、VPN プロバイダは ISP と同じくユーザーのトラフィック情報を収集可能で、VPN プロバイダの信頼性が重要になる。

VPN プロバイダにはノーログポリシーを採用していないところも多く、特に無料で提供されているモバイル用の VPN アプリではユーザーのアクティビティを広告やトラフィックの分析データとして利用したり、プライバシーポリシーに収集したデータの利用方法が記載されていないなど信頼に値しないサービスがある。

第三機関からの監査は VPN プロバイダ選定時に安全性の担保になる。

セキュリティ機関から監査を受けている VPN プロバイダはレポートを公開している。

ノーログポリシー

VPN プロバイダは ISP と同じユーザーの行動履歴を記録できるため、行動履歴を完全に秘匿したい場合はアクセスログを保存しないノーログポリシーの採用が必須。

DNSリーク ( DNS 漏れ )

VPN サービスでは VPN プロバイダが提供している暗号化された DNS サーバを利用するのが一般的でアクセス元の IPアドレスは見えないのだが、本来見えないはずの IP アドレスが見えてしまっている状態が DNS リーク ( DNS 漏れ ) と呼ばれる。

暗号化された DNS サーバへの接続が切断されると DNSクエリは暗号化されていない ISP の DNSサーバなどに転送されて通信を維持するため、VPN サービスは強制的にネットワークを遮断する キルスイッチ 機能を実装して DNSリークを阻止している。

プロバイダの拠点

ノーログポリシーを採用しているプロバイダであっても公的機関から法的に特定 IP アドレスの監視やアカウントのロギングを強制される可能性があり、プロバイダの拠点もサービス選択時の指標になる。

プライバシーヘイブン と呼ばれるイギリス領ヴァージン諸島・パナマ・セイシェル・ケイマン諸島・マレーシアは法的にユーザーのプライバシーが保護されており、トップ VPN プロバイダが拠点を置いていることが多い。

令状のカナリア ( Warrant Canary )

令状のカナリア は VPN プロバイダなど個人情報を取り扱う企業が公的機関からデータ提出要求を受けていないことを表している。

令状のカナリア に法的な根拠はなく、安全性を保証したものでもないが、プライバシー保護の 1つの指標になる。

テストツール

VPN プロバイダのサイトには IP アドレスチェッカー・DNSリークテスト・WebRTCリークテスト などが設置されており、アクセスすると 漏洩している と表示される。

サイトに設置してあるツールは 自社の VPNサービス以外の環境からのアクセスはすべて漏洩 と表示されるので、まったく信用に値しない。

DNS リークの確認

DNSリークの確認はプロバイダのサイトではなく、テストサイトにアクセスして確認する。

IP Leak.net

IP Leak.net の場合 Your IP address と DNS Address が同じ IP アドレスで、接続した VPNサーバの国が表示されていれば DNS 漏れはない。

DNS漏れが発生している場合は DNSサーバが国内になるなど接続先のサーバと違っている。

通信速度の確認

VPN アプリで最速サーバに接続して通信速度の確認を行う。

SPEEDTEST

VPN 接続時と未接続時で測定して大きな速度低下がないことを確認する。

プロバイダの統合

近年 VPN プロバイダは買収によって統合が進んでいるが、親会社や運営の実態が不透明なケースも多い。

Nord Security

リトアニアの Nord Security は NordVPN を提供している VPN のトッププロバイダ。

2021年10月 : Atlas VPNを買収
2022年 2月 : Surfsharkと合併

Kape Technologies

Kape Technologies PLC はイスラエルの富豪 Teddy Sagi 氏が所有するサイバーセキュリティ会社。

2017年3月 : CyberGhost を買収
2018年10月 : ZenmateVPN を買収
2019年 11月 : Private Internet Accessを買収
2021年 9月 : ExpressVPN を買収

Kape Technologies の前身はブラウザ拡張機能を開発した Crossrider で、開発したプログラムがマルウェアに利用されたことから悪名を轟かせ、Teddy Sagi 氏も過去に賄賂と詐欺の罪で有罪になったこともあり、買収された VPNサービスの安全性が危ぶまれているが、 Crossrider は 2016年に経営陣を一新してプログラム開発会社からサイバーセキュリティ会社に転向、買収された VPNプロバイダも独立運営している。

VPN比較サイト

VPN サービスの多くはアフィリエイトプログラムを提供しており、VPN の比較サイトやランキングサイトには収益を重視したものや、VPN プロバイダのグループ会社が開設しているものもある。

ランキングの指標は 通信速度・アクティブログ・拠点・匿名性・ストリーミングサービスのサポート・価格などだが、通信速度については接続元・接続先のロケーションによって異なるため、実際に接続するまで分からない。

VPN の信頼を損なう事案

第三機関からの監査がない VPN プロバイダはデータ処理が不透明で、実際に問題も発生している。