ISPは私たちについて一体どんな情報を入手できるのか？

by Matthew

ネット検索、地図の表示、映画の視聴など、私たちは当たり前のようにインターネットを利用していますが、「インターネットをどのように利用しているのか」については利用者本人だけでなく、実はインターネットサービスプロバイダ(ISP)も把握できます。「ISPは一体どのような情報をどのくらい入手できるか？」ということについて調査したプライバシー法の研究者であるPeter Swire氏の論文を、セキュリティサイトのUpturnがわかりやすく解説しています。

What ISPs Can See
https://www.teamupturn.com/reports/2016/what-isps-can-see

01：インターネット全体から見ると、暗号化はまだまだ行われていない

by Ministerio TIC Colombia

今日、多くのウェブサイトでHTTPが利用されていますが、ウェブサイトがHTTPだった場合、ISPはユーザーがどのようなコンテンツを求め、どのURLを訪れたのかを特定可能です。

上記のような事態を避けるために、トラフィックの多いサイトや人気サイトの中にはウェブサイトに暗号化を行うところも。この時、インターネット上のトラフィック全体を分母として、暗号化されているコンテンツと暗号化されていないコンテンツを見てみると、かなりのコンテンツが暗号化されており、2016年末にはトラフィック全体の70％が暗号化されるだろうと予測されています。しかし、北米におけるダウンストリーム方向のトラフィックのうち、35％はNetflixのコンテンツです。映画を1本見た時のトラフィックとインターネットで検索をした時のトラフィック量を比較すると、2万倍近くになることもあり、トラフィック量の比較だけで暗号化全体の傾向を見るには限界があります。

また、ムービーの視聴よりもネット検索の方がより個人情報を含みやすいということで、健康・ニュース・買い物というカテゴリにわけて調査したところ、健康分野のうち86％、ニュースのうち90％、買い物のうち86％のウェブサイトが暗号化されていないことが判明。健康分野について言えば、検索結果に特定の病気の症状などが表示され、個人情報に大きく関わっているにも関わらず情報が保護されていないわけで、ISPは特定ユーザーが検索したウェブサイトのURLやウェブページにどんなコンテンツが含まれるのかも確認可能です。

一方で、広告・アナリティクス・埋め込みムービーなどをサードパーティーに依存しているウェブサイト管理者にとって、暗号化されていないHTTPから暗号化されたHTTPSへの移行は大事です。ウェブサイトを暗号化するにはサードパーティーのパートナーに対してもHTTPSをサポートしてもらう必要がありますが、2156件のオンライン広告サービスを対象とした2015年の調査では広告サービスのうち85％がHTTPSを採用していないことが判明しており、実現は非常に難しいと見られています。

Webページのアクセス状況を調べて訪問者数の多いページをランキングするWebサイト「Alexa」でトップ100位入りするニュースサイトの利用している広告サービスが、どのくらい暗号化されているのかを表すのが以下のグラフ。ニュースサイトが読者に対して安全性を確保しようと思うと、赤いグラフが全てグリーンになるか、もしくは赤いグラフに該当するパートナーを切る必要があるとのことです。

また、IoT(モノのインターネット)も暗号化に失敗しているものの1つ。研究者がスマート火災報知器の「Nest Protect」やデジタル写真立ての「Pix-star」といった人気のデバイスを調べたところ、多くのデバイスが暗号化されない状態でインターネットにアクセスしていることがわかりました。

02：例えHTTPSを利用していてもISPはインターネットユーザーが訪れているウェブサイトのドメインを確認可能

by Atomic Taco

暗号化によってISPはインターネットユーザーの訪れたURL詳細やコンテンツの内容を確認できなくなりますが、しかし、たとえHTTPSを採用していてもユーザーが訪れているドメインは確認可能。DNSクエリはほとんど暗号化されていないためです。

インターネットユーザーはブラウジングする際に自らクエリをISPに送っているため、ISPが「DNSクエリを使って情報を収集する」という行為は現実に起こりうることで、かつコストもさほどかかりません。最新のツールを使えばインターネットユーザーが送ったリクエストを後の分析のために記録しておくことも簡単です。また、たとえユーザーの使用するコンピューターがISP以外のDNSサーバーを利用していたとしても、DNSクエリは暗号化されていない外部サーバーからISPのサーバーまで届き、検閲される可能性はあります。

実際に、ISPは悪意あるマルウェアの感染を防ぐために、ユーザーのDNSクエリをモニタリングしています。また、いくつかの小規模なISPが「ネットワークマネージメントのため」という名目でDNSクエリの情報を分析している、ということも2011年の調査で判明しました。もちろん、大手のISPがDNSクエリの収集し、プライバシーの侵害しているとする証拠は現在のところありません。現時点で言えるのは、「今日のテクノロジーはISPがDNSクエリを監視したり、DNSクエリに干渉したりを可能にしている」というところまでです。

また、1人のユーザーがどのドメインを訪れたのかというリストは、たとえ短いものであっても非常に重要な情報を含みます。以下のような情報を見ると、ユーザーが中絶のために病院や施設に行こうとしていることがわかってしまうためです。

[2015/03/09 18:34:44] abortionfacts.com(中絶のための情報サイト)
[2015/03/09 18:35:23] plannedparenthood.org(ヘルスケアコミュニティのウェブサイト)
[2015/03/09 18:42:29] dcabortionfund.org(中絶資金を提供するためのNPOのウェブサイト)
[2015/03/09 19:02:12] maps.google.com(Googleマップ)

さらに長期にわたって情報を集めれば、ユーザーが何に興味を持っていて、どのような趣味があるかも、もちろん特定できます。ISPがユーザーのDNSクエリを確認できるという状態は、今後、ユーザーのプライバシーをさらに危険にさらす可能性を含むわけです。

03：暗号化を解かなくても情報は入手できる

by *sax

暗号化はユーザーが訪れたURLをISPに直接見られないようにしますが、上記でも述べたように、それでも多くの情報を明らかにします。また、直接暗号化を無効化させなくとも情報にアクセスするサイドチャネル攻撃と呼ばれる方法がいくつも編み出されており、インターネットの検閲を行っている政府の中にはサイドチャンネル攻撃を実際に利用しているところもあると言われています。

例えば、過去の研究ではOS・ブラウザの種類・プラグインの設定といった組み合わせからウェブサイトを訪れたユーザーの特定が可能であることがわかっています。また、Googleの予測検索で出てくる言葉のリストを分析することでユーザーが検索ボックスに入れた言葉を導きだすことも可能で、これと似た方法を用いることで、ユーザーの病状や、収入、投資対象などを推論することも可能とのこと。

上記のことからわかるのは、暗号化してあるデータは、ノウハウがあれば暗号化を解くことなく内容を知ることが可能ということ。ISPについても同じことが言え、暗号化されたウェブサイトがURLの詳細を表示しなくても、ユーザーがどのURLを訪れたかを知ることができるわけです。

サイドチャンネル攻撃による情報漏れは予防が難しく、個人情報が侵害される恐れがあります。現在はまだ実験段階・研究段階であるものが多いサイドチャンネル攻撃ですが、コンピューター・サイエンスの進化からいって、現実に用いられる日も近いかもしれません。

04：プライバシー保護のためのVPNはほとんど利用されていない

by NASA's Earth Observatory

ユーザーが自分のインターネットトラフィックを守る方法の1つにVPNの利用が挙げられます。VPNは主に企業で用いられ、遠隔地の社員が会社の社内ネットワークにアクセス可能にするものですが、その利点の1つに「VPN専用のプロトコルを用いてトンネリングすることでセキュリティを高められる」というものがあります。Swire氏は論文で「インターネットの保護に関してVPNは有望」と記述していますが、今後VPNが用いられていくかどうかについては、疑問視されているところ。

2014年に行われた調査によると、北米のインターネットユーザーのうちVPNを利用しているのは15％で、しかも「ISPの監視を避けるために日常的に使う人」はほとんどいなかったとのこと。VPNユーザーの多くは仕事上で利用しており、プライバシー保護を目的としているひとはいないそうです。

インドネシアやタイ・中国といったインターネット上での検閲が厳しい国では、VPNをセキュリティ向上目的で利用している人が比較的多いそうですが、セキュリティ的に確実なVPNを利用しようと思うと月々にかかる費用が増すことに加え、通信速度も遅くなってしまうことが大きな障害となっています。

ただし、VPNを利用すればISPによって閲覧したウェブサイトのURL・ドメインをチェックされる可能性は減りますが、もちろん完璧にプライバシーを保護できるわけではありません。VPNの設定によっては適切に保護が行われない場合もあるのですが、素人には設定が難しく、誰かに設定について尋ねる必要が出てくることも。

当たり前のように利用しているインターネットですが、非常に繊細なプライバシー情報を含んでいることを私たちは常に自覚するべきで、Upturnは「このレポートでISPは何が可能であるかを人々が理解し、ブロードバンドのプライバシーに関する議論が起こることを願う」と締めくくっています。