脅威モデルと信頼モデル

誰から何を守り、誰を信頼する設計なのかを整理し、匿名運用の前提を作ります。

匿名性を考えるとき、最初に決めるべきことがあります。

それは、「誰から、何を守りたいのか」です。

すべての相手から、すべての情報を、完全に隠すことは現実的ではありません。 また、必要な対策は人によって変わります。

一般個人、ジャーナリスト、内部告発者、活動家、企業の担当者では、守るべきものも、想定する相手も違います。

この前提を整理する考え方が脅威モデルです。 そして、どのサービスや相手を信頼するのかを整理する考え方が信頼モデルです。

この記事では、匿名性を考える前提として、脅威モデルと信頼モデルを整理します。

脅威モデルとは何か

脅威モデルとは、誰が何を狙い、どのような手段でリスクが生まれるのかを整理する考え方です。

匿名性では、次のような問いから始めます。

• 誰から守りたいのか
• 何を知られたくないのか
• どの情報が結びつくと困るのか
• 相手はどの程度の能力を持っているのか
• どこまでのリスクを許容できるのか

たとえば、友人に別アカウントを知られたくない場合と、強い権限を持つ組織から取材源を守る場合では、必要な対策はまったく違います。

脅威モデルを作らないまま対策を選ぶと、必要以上に複雑なことをしたり、逆に重要なリスクを見落としたりします。

守りたいものを決める

最初に考えるのは、何を守りたいのかです。

匿名性で守る対象は、本名だけではありません。

「匿名でいたい」と言うだけでは不十分です。 何と何が結びつくと困るのかを具体的に考える必要があります。

誰から守りたいのかを決める

次に、相手を考えます。

匿名性では、相手によって見える情報や使える手段が違います。

相手を決めることで、必要な対策が見えやすくなります。

相手の能力を見積もる

相手が誰かだけでなく、どの程度の能力を持っているかも重要です。

友人がSNS検索をするだけなのか。 サービス運営者がアクセスログを見られるのか。 職場や学校の管理者がネットワークログを見られるのか。 国家機関が通信事業者へ記録開示を求められるのか。

能力が違えば、必要な対策も変わります。

すべての相手を最大能力で想定すると、現実的な行動が難しくなります。 一方で、相手の能力を低く見積もりすぎると危険です。

目的に合わせて、現実的な範囲で考える必要があります。

信頼モデルとは何か

信頼モデルとは、誰を信頼し、誰を信頼しない前提で仕組みを使うのかを整理する考え方です。

匿名性ツールを使うと、情報が見える相手が変わります。 見える情報が消えるのではなく、別の相手に移る場合があります。

たとえばVPNを使うと、接続先Webサイトからは自宅IPが見えにくくなる場合があります。 しかし、VPN事業者には利用者の通信に関する情報が見える可能性があります。

Torを使うと、接続先からはTor出口ノードに見える場合があります。 ただし、Torの使い方を誤ると、ログイン状態やブラウザ情報から結びつく可能性があります。

匿名性を考えるときは、「このツールは安全か」だけでなく、「誰を信頼する設計なのか」を見る必要があります。

脅威モデルがないと対策がずれる

脅威モデルがないと、対策が目的からずれやすくなります。

たとえば、接続先Webサイトに自宅IPを見せたくないだけなら、VPNで足りる場合があります。 しかし、VPN事業者を信頼できない相手として考えるなら、VPNだけでは目的に合わないかもしれません。

実名アカウントと匿名アカウントを結びつけたくない場合、通信経路よりもCookie、ログイン状態、ブラウザ分離、文体、投稿時間のほうが重要になることもあります。

内部告発者が組織内資料を扱う場合、ネットワーク経路だけでなく、文書メタデータ、アクセス権、配布履歴、相談先の信頼性が重要になります。

対策は、守りたいものと相手によって変わります。

リスクの段階で考える

脅威モデルは、毎回最大級の危険を想定するためのものではありません。

リスクには段階があります。別名で趣味の投稿をしたい人と、職場に不正を告発する人では、同じ匿名性という言葉を使っていても必要な準備が違います。

リスクが高いほど、記事だけで判断しないことが重要になります。

弁護士、支援団体、報道機関の安全担当など、信頼できる相談先を使う判断も脅威モデルの一部です。

まず作るべき簡単な脅威モデル

最初から複雑な脅威モデルを作る必要はありません。

まずは、次の表を埋める程度で十分です。

これを考えるだけでも、必要な対策がかなり整理されます。

まとめ

脅威モデルとは、誰から何を守りたいのかを整理する考え方です。 信頼モデルとは、どの相手やサービスを信頼する前提で行動するのかを整理する考え方です。

匿名性では、すべての相手からすべてを隠すことは現実的ではありません。 守りたいもの、想定する相手、相手の能力、残る手がかり、信頼する相手を分けて考える必要があります。

VPN、Tor、公共Wi-Fi、暗号化、アカウント分離などの対策は、目的によって意味が変わります。

まずは「誰から、何を、どの程度守りたいのか」を決めることが、匿名性を考える出発点です。

関連ツール

関連記事