要約

  • 2026年8月1日の作業部会草案DNS Filtering Transparencyが運ぶのは、フィルタリング事件データベースの運営者IDと事件IDである。経験したフィルタリングとその記録との結び付きを認証する仕組みではなく、リゾルバには何をいつ通知するかを選ぶ余地がある。
  • 次にアプリケーションが、提案されたIANAレジストリのローカルコピーを使い、どのデータベース運営者を扱い、信頼し、表示するかを決める。登録はURIテンプレートの所在を安定させるが、事件記録や政策判断の正しさを保証しない。
  • 事件ページを取得すれば、IPアドレスと機微な名前への関心が運営者へ伝わり得る。したがって、利用者の明示的な操作は第三の判断であり、監査記録は送出、表示、取得を混同してはならない。

透明性の理想像は分かりやすい。名前解決に失敗したとき、単なる技術障害ではなくフィルタリングだったと利用者へ知らせ、誤判定の訂正や異議申立てに必要な情報へ案内する。意味のないエラーだけを残すより、はるかに有用である。

ただし、利用者が読む説明はフィルタリング装置から一直線に届くわけではない。リゾルバは外部記録への参照を選ぶ。ブラウザやOSは、その参照先を認めるか、画面に載せるかを選ぶ。そして利用者は、説明を読むための新たな通信を開始するかを選ぶ。

三つの判断主体は、同じ証拠も同じ責任も持たない。最終画面だけを保存して「DNSが理由を説明した」とまとめれば、発信されなかった候補、クライアントが抑止した候補、利用者がプライバシーを守るため開かなかった候補がすべて消える。

dbとidが示すのは参照先である

draft-ietf-dnsop-filtering-transparency-00は、構造化DNSエラーの中にfdbsという配列を置く。要素は、フィルタリング事件データベースの運営者を示すdbと、個別の記録を示すidの組である。複数の組を送る場合、すべて同じ基礎事件に関係しなければならない。

リゾルバが任意のURLや文章を画面へ差し込む設計ではない。アプリケーションは、提案中のDNS Filtering Database Registryをローカルに保持し、dbからレベル1または2のURIテンプレートを取り出し、idを代入する。見知らぬネットワークのリゾルバが、ブラウザの信頼された外観を借りて自由なリンクを表示する危険を抑える工夫である。

しかし、参照の形式が制限されても、事件との対応は証明されない。草案は、アプリケーションが経験したフィルタリングと表示情報との関連を認証できないと明記する。リゾルバを制御する攻撃者は、実在して正常に開ける運営者IDと事件IDを再利用し、関係のない問い合わせに結び付けられる。

つまり、ページが存在することと、ページが今回の出来事を説明することは別である。参照先が開けても、法的命令の存在や有効性、規則の適用範囲、対象の精度、管轄、日時、記録の完全性は確定しない。プロトコルは検証可能な手掛かりを運ぶが、裁定済みの事実を運ぶわけではない。

仕様の権威も誇張できない。00版はDNSOPが採択した作業部会Internet-Draftであり、以前の個人草案を置き換えた。RFCではなく、現時点のDatatrackerには目標とするRFC種別も表示されていない。実装提案として読むべきで、既に確立したIETF義務として扱うべきではない。

リゾルバは最初の開示集合を編集する

草案には、特定の情報を必ず伝えよという規定がない。リゾルバはどのデータベース提供者を扱うかを選び、どの場面でいつ参照を入れるかも自らの仕組みで判断できる。応答に現れる一覧は、初めから選択済みの集合である。

一つの事件に複数の公的記録があっても、一つだけを載せるかもしれない。内部のフィルタ規則を外部IDへ結び付けられないかもしれない。安全対策、保護者設定、企業規則、法的要求で開示方針が異なるかもしれない。ここから不正を推測する必要はない。重要なのは、一覧を完全な目録と呼ばないことである。

fdbsがない応答は、「使える参照を受信しなかった」ことしか示さない。フィルタリング、命令、事件記録、訂正経路の不存在は示さない。さらに、ホスト側の構造によっては、アプリケーションがDNS応答の詳細へアクセスできない。リゾルバが送った情報が表示層まで届かない場合もある。

リゾルバ側の記録には、観測時刻、可能なら認証済みのリゾルバ関係、EDEコード、送出したdb/id、選択規則、既知だが送らなかった候補の有無を残すべきだ。問い合わせ名や個人情報は最小限に抑え、アクセスを制限する。一方、選択が行われたという因果関係まで削除してはならない。

アプリケーションは説明の配信者になる

二番目の制御面は、ブラウザ、OS、その他の利用アプリケーションにある。草案は、アプリケーションごとに対応するデータベース運営者が異なることを前提とし、リゾルバの識別、運営者の識別、ローカル設定などを踏まえて表示を判断させる。

これは装飾の判断ではない。どの組織の説明を利用者へ届けるかという配信判断である。同じDNS応答を受け取った二台でも、一方はdbを認識してリンクを示し、もう一方は認識しないことがある。一方は明示設定したリゾルバからの情報だけを扱い、もう一方は運営者の信頼リストも参照する。OSが構造化データをブラウザへ渡さない場合もある。

したがって、リンクが見えない理由を最終画面だけで確定できない。リゾルバが送らなかったのか、アプリがIDを知らなかったのか、信頼判断で落としたのか、ホストが情報を隠したのかが分からない。逆にリンクが見えても、アプリが背後の政策を検証したとは限らない。

ローカルレジストリには時間の問題もある。登録済みテンプレートは連絡先によって更新できる一方、草案はアプリ側のコピー更新に長い遅延があり得ると注意する。過去の利用者がどこへ案内されたかを再現するには、その時点のローカルコピーが必要である。今日のIANA情報だけでは、昨日の宛先を証明できない。

登録そのものも信頼の証明ではない。草案は先着順を提案し、IANAには欺瞞的または実体のない申請を拒める余地を置く。RFC 8126によれば、先着順は通常、形式と重複を確認するだけで実質審査をしない。レジストリが答えるのはIDとテンプレートの対応であり、事件説明の真実性ではない。

アプリ側の証跡には、レジストリコピーの日付またはハッシュ、展開したテンプレート、対応運営者一覧、信頼ポリシーの版、採用・抑止した項目、判断理由の分類、利用者へ示した通知形態が必要になる。これがなければ、古いテンプレートの障害を資料の不存在と誤解し、クライアントの抑止をリゾルバの沈黙と誤解する。

説明を読む行為が別の観測を生む

事件ページはDNSメッセージの中にはない。読むにはデータベース運営者へ接続する。その結果、運営者はIPアドレスと、そこにいる誰かが特定のフィルタ対象名を調べた事実を知り得る。敏感な対象では、「理由を知ろうとした」こと自体が危険な情報になり得る。

そこで草案は、プライバシー保護プロキシなどを用いない限り、利用者の明示的な操作なしに事件URLを自動取得してはならないとする。リゾルバとデータベース運営者が協調する場合、あるいは同一主体である場合、固有の事件IDで複数の活動を関連付ける危険も示している。

アプリはページを先読みせず、「追加情報がある」ことだけを先に示せる。直接接続と保護された経路を区別し、送信先を説明し、選択後に初めて通信を始める。監査のために利用者の詳細な閲覧履歴を新設する必要はない。自動取得が無効だったこと、操作が先行したこと、経路の種別、取得結果だけを最小限に残せばよい。

透明性を確認するログが新たな監視台帳になれば、本来の目的を損なう。残すべきなのは決定の順序であって、誰がどの敏感な名前を調べたかという恒久的な行動記録ではない。

構造、暗号化、登録は別々の保証である

この提案はStructured Error Data for Filtered DNSに依存する。同草案は、連絡先、理由、組織名、下位エラーなどを機械処理可能にする一方、適切な検証なしに自動で信頼、表示、またはセキュリティ判断へ利用してはならないと定める。また構造化データの経路には暗号化DNSを要求する。

機械可読性は正確性ではない。暗号化は受動的な盗聴への保護であって、送信元の主張の正しさではない。JSON名やデータベースIDの登録は、構文と参照の安定化であって、制度的権威の委任ではない。保証を層ごとに分けるからこそ、新しい説明を安全に利用できる。

RFC 7754は、フィルタリング政策を決める主体と実施する主体を分けている。法律、行政、事業者方針、技術設計、実装へ翻訳される各段階で、意図しない結果が入り得る。迅速な通知は誤りの是正に役立つが、個別の法的・倫理的判断をプロトコルが代行するわけではない。

三部構成の開示連鎖票

Daniel Kadeが提案する開示連鎖票は、三つの区画を持つ。リゾルバ区画には応答観測、認証状況、EDE、送ったID組、選択規則、既知の不掲載状態を置く。アプリ区画にはレジストリのスナップショット、実際のテンプレート、対応・信頼設定、表示判断、通知種別を置く。利用者区画には、取得の提示、明示操作の先行、プロキシ利用、取得成否だけを置く。

不明点は不明のまま残す。リゾルバを認証できなければ後から名前を補わない。不掲載理由が分からなければ推測しない。古いコピーは現在値で上書きしない。後日変わった事件ページを、当時の内容だったことにしない。裁判所命令や組織方針が別に確認できるなら、独立した由来を持つ証拠として結び、IDから推定しない。

この票はフィルタリングを承認するものではない。説明ができるまでの経路を説明可能にするものだ。参照がどこで失われ、誰の判断で表示されず、どの取得方法が新たな危険を生んだかを追跡できる。見やすい一文が、実際には存在しない「三者共通の結論」を装うことを防ぐ。

出典