システムに内在するリスクをチェックセキュリティ診断(脆弱性診断)
企業や組織のWebアプリケーション、各種サーバー、スマートフォンアプリケーション、IoTデバイスなどの特定の対象について、内外の攻撃の糸口となる脆弱性の有無を技術的に診断します。外部に公開す るシステムを安心かつ安全に維持するためには、定期的なセキュリティ診断が欠かせません。
July 26, 2017 08:00
by 江添 佳代子
ロシア連邦議会下院は2017年7月21日、市民のインターネット利用を制限するための法案を全会一致で採択した。 これはロシアでのVPNやプロキシなどの利用を非合法化する法になると伝えられている。この採択を受け、モスクワでは2000人以上の市民が「インターネットの自由」や「ロシア当局によるオンライン監視の中止」を求めるデモ行進を行った。一部の報道によれば、このデモ活動では少数の人々(a handful of people)が拘留されたという。
日本のネットユーザーに「もしもVPNを禁止されたらどう思いますか」と尋ねても、おそらくはピンとこない人のほうが多いだろう。日本はVPNの利用者が極端に少ない国だからだ。「vpnMentor」が発表した統計によると、世界のインターネットユーザーの平均VPN利用率は25%。日本での利用率はわずか6%で、これは調査対象国の中で最も少ない数字となっている。
ロシアのVPN利用率は、世界平均とほぼ同じ24%。取り立てて高い割合ではない。しかしロシアとVPNについて考えるときは、「この3年間のロシア政府の試み」について考慮するべきだろう。北米や南米などでは、「閲覧できる国が限定された動画を視聴するためにIPアドレスを偽装したい」などの呑気な理由でVPNを利用するユーザーも多いのだが、ここ数年間のロシアでは、もっと切実な理由でVPNの需要が高まってきた。
ロシアは2014年頃から、テロ対策として市民のオンライン活動を制限する動きが強まっている(※1)。具体的には、「特定のウェブサイトへのアクセス禁止」や、「アクセス禁止の対象となるコンテンツのブラックリストの編さん」、そして「ユーザーのオンライン活動の監視」を行うためのルール制定が進められてきた。そして昨年には、「対テロ法」とも「伝道規制法(※2)」とも見なされている「Yarovaya Law(ヤロヴァヤ法)」が採択された。
※1…このような動きがいつ頃から強くなったのかを断定することはできないが、筆者が記憶しているのは、「ソチオリンピック開催の数日前から、ソチ周辺の街では『Hunters(ゲイコミュニティの間で人気が高かった出会い系アプリ)』へのログインができなくなった」というニュースだ。その後、Huntersはハッキングの被害に遭い、7万人以上のユーザープロファイルを削除された。このときHuntersの代表者は、「ロシア政府がインターネットを管理しようとしている。この攻撃はインターネット検閲の拡大に繋がるものだ」と語っていた。つまり2014年の初頭には、まだ「政府にとって望ましくないサイトがアクセス制限されたらしい」という話題がニュースとして報じられており、オンライン検閲の拡大が「恐れられて」いた。
※2…この法律の施行後、ロシアは特定の宗教に属している市民への盗聴を行っている。それは「エホバの証人」を過激派団体と認定し、その活動を禁止する動きに繋がった。
2016年に可決、施行されたYarovaya Lawは、それまでのロシアの対テロ法よりも一歩進んだ内容となっており、当局による「市民の通話やデータ通信の盗聴」を合法化するものだった。そのうえで「テロ的な活動への賛同をインターネットで表現した市民に対する懲役刑」は最長7年、「ロシアによるウクライナへの関与をソーシャルメディアで批判した市民に対する懲役刑」は最長で8年に延長している。
このYarovaya Lawは国際的な批判を浴びた。米国からロシアに亡命したスノーデンでさえ、それを「ロシアの新しいビックブラザー法」と呼び、「実現不可能で、不当な人権侵害」「決して署名されるべきではない」と強く非難したほどだ。
ただし、この法は2016年7月に発効したものの、部分的には延期の扱いとなっている。たとえば同法は、ロシアの電話通信企業やインターネットプロバイダーに対して「市民のすべての通信記録を6ヵ月間、すべてのメタデータを3年間保管し、また暗号化されたメッセージを諜報機関が解読できるようにすること」を義務づけている。しかし、そのように膨大な量のデータを長期的に保管しようにも、また暗号化された通信を解読できるよう努めようにも、莫大な予算とインフラが必要となる。急に義務化を命じられたところで、企業が現実的に対応できるはずもなかった。
部分的に延期された部分はあるものの、過去数年間のロシアでは政府によるインターネットの管理と検閲が着々と進められてきた。したがって、このような状況でも国から禁じられたウェブサイトへアクセスできるようにするための手段、あるいは自分のウェブ閲覧を諜報機関に監視されないための手段として、VPNやプロキシ、Torを用いてインターネットに接続することを選ぶ市民の数も増えていった。
しかし今回の新たな法案が施行されれば、これらの「抜け道(あるいは解決策)」が塞がれるということになる。今回、モスクワで行われたロシア市民による抗議デモには、このような背景があった。
2017年7月に下院を通過した今回の法案がどのような内容であったのか、具体的には何が禁止され、誰に対してどのような措置が執られるのかは、国やメディアによって微妙に報道の内容が異なっており、ところどころに曖昧な表記もある。
実は7月11日(この法案が下院を通過したと言われている7月21日の10日前)には、英国の『The Register』がいち早く「ロシア下院がVPNの使用を禁止する新しい法律を満場一致で承認した」という内容の記事を掲載した。この記事には、新たな法案の内容も詳しく掲載されている。同誌によれば、この法は「政府がブラックリストに挙げたウェブサイト(※3)へのアクセスをブロックしないVPNやTorブラウザなどのあらゆる匿名化サービス」を禁止するものであり、さらに(自分の検索したサイトが)遮断されていることを市民が気づかないようにするため、各検索エンジンに対しても「ブロックしたウェブサイトのリファレンスを取り除くこと」を要求すると記されている。
なぜ、それが10日前に報じられたのか? 同誌によれば、このとき参加者たちは「今日の議案の初提示の会議が開かれたことを外部に漏らさないように」と言い渡されたようだ。つまりはリーク情報だったということになるだろう。「公式に発表された採択日」の10日前のリーク情報をそっくりそのまま信じるのは少々危ないので、ここでは21日の『AFP』が報告した表現を紹介することにしよう。
AFPによると今回の新たな法案は、ロシア連邦のメディア・通信の監査機関Roskomnadzorに対して「それらの(=VPNやプロキシなどの)サービスのリストを編さんすること」、および「『ロシアによる特定のウェブサイトの禁止令』を遵守させないように用いられるすべてのものを禁止すること」を求める内容となっているようだ。さらに、オンラインのメッセージサービスを利用している全ての市民に対して、「電話番号」をIDとして自分を識別させるように義務化する試みも、同じ日に承認されたと報告されている。
この法案が上院でも可決されれば、大統領の署名を経て2018年1月に施行される運びとなる。下院における「議案の初提示で満場一致の可決」という結果から考えるに、おそらくは予定通りの施行となるだろう。
※3…「ロシア政府がブラックリスト化しているウェブサイト」の中には、「検閲の回避を可能とするソフトウェア」を提供している全てのウェブサイトも含まれている。