要約

  • 10月27日付の個人Internet-Draftは、サービスの利用規約や方針の全版について、文書名、版、固定URL、平文のSHA-256を含む封印をログへ入れ、その版のファイルを同じURLで提供し続ける設計を示す。
  • 企業やエージェントの署名鍵はドメインと結び、鍵の履歴を公開する。署名付きMerkle木のチェックポイントを監視者が保持すれば、過去の記録の差し替えを突き止められる。記録の存在と発言の正しさは別々に判断する。

「現行版」を出されても困る

返金、料金、データの利用範囲。争点は違っても、利用者が必要とするのは操作した日の文面だ。サービスから現在の規約へのリンクが届けば、利用者は自分のスクリーンショットを探すしかない。更新日時があっても旧版の一語一句は戻らない。画像を保存しなかった人ほど、事業者の管理する過去のページに頼ることになる。記録を多く持つ側が、争うべき文面そのものを選べてしまう。

Furkan Yanteriの10月27日付草案は、第4.2節で別の手順を提案する。サービスの規約と方針は版を出すたびに封印する。その封印に文書名、版の識別子、その版を取得できるURL、平文のSHA-256を入れる。封印済みの版は、後も同じURLで利用できなければならない。新しい規約に差し替える自由を残したまま、古い規約まで静かに書き換える余地を狭める仕組みだ。

四つの要素は一緒に要る。ハッシュだけでは、比べるべき旧ファイルが失われた時に内容を読めない。旧ファイルだけでは、あとから作って古い日付を載せた疑いが残る。URLは取得先を固定し、公開ログはその結び付きがいつ現れたかを記録する。旧版を消して「改定履歴はあります」と言うだけでは、当時の約束を検査できない。

IETFの記録によると、文書は個人提出のInternet-Draftで、状態はI-D Existsである。IETFが採択した標準や特定企業の規約紛争の報告として扱う理由はない。ここで読むべきは提案された証拠の置き場所と、誰がその置き場所を管理するかだ。

署名鍵にも履歴書が要る

草案は、声明の内容を機械が同じバイト列として扱えるよう、第3.1節で RFC 8785 に基づく制限付きのJSON正規化を使う。キーを再帰的に並べ、余分な空白を排し、値の種類も限定する。第3.2節では正規化されたペイロードをEd25519で署名し、RFC 8032がその方式の基礎となる。署名の検証は「どのバイト列か」を明確にする。規約の文言が公正か、企業の説明が真実かは、それだけでは決まらない。

企業やエージェントの鍵は、ドメインの_humancollab DNS TXTレコードを通じて結び付ける。最初の結び付けには所定のHTTPSファイルも使えるが、既存の鍵を交換するにはDNSによる証明が要る。旧鍵を別のドメインで使い回してはならず、各鍵が最初にどのログ索引で発言したかも公開履歴に残す。ドメインの支配者が変われば、現在の「認証済み」という表示の裏にある時系列を確かめられる。

この設計が任命するのは署名鍵だ。署名鍵を持つ者が、あらゆる顧客の契約を代表するわけではない。草案第6節の表も、署名とDNSの結び付けから言えるのはドメインの支配者が声明を出したこと、監視済みチェックポイントから言えるのは声明がその時点で公開記録に入っていたこと、と区切る。別の資料と食い違う発言は、その発言者への追及材料になる。暗号は発言を消しにくくする。発言内容の裁定まで引き受けるわけではない。

会社が自分だけで見張るログ

ログはRFC 9162に沿う葉と内部ノードのハッシュを使うMerkle木として設計される。収録証明と一貫性証明を出し、木の頂点を署名付きチェックポイントにし、公開した根にはOpenTimestampsを使った時刻の錨を付ける。監視者は前回見たチェックポイントと次のものを比べ、写しを持つ。草案は誰でも監視者になれるとし、運営者自身にもサービス基盤の外で一つ動かすよう求める。

「外で」という一語が効く。事業者がホームページ、旧規約、ログ画面、監視記録のすべてを一つの管理権限で扱えば、履歴を作る側と検査する側が同じ机に座る。木の大きさが同じなのに根の違う有効なチェックポイント二つがあれば、ログが矛盾する歴史を見せた証拠になる。だが二つの写しを別々の者が残さなければ、その証拠は生まれない。第三者は開設式の来賓ではなく、後日照合するための保管人である。

利用者が明細を見て「この料金を認めた覚えはない」と言う時、先に確定すべきは約款の旧文面だ。技術的な資料には、その平文、版とURLとハッシュを示す封印、独立して保存されたチェックポイントに対する収録証明、発言時のドメインと鍵の履歴をそろえる。これで当時どんな言葉があり、どの管理者がそれを示し、記録が途中で分かれたかを調べられる。利用者がその版を実際に読んだか、代理人に取引権限があったか、条項がその料金にどう働くかは、続く調査の問題となる。少なくとも利用者は現在の別文書を相手に争わずに済む。

規約の改定は事業者の通常の仕事だ。争点は過去の記録まで事業者の都合で動かせるかにある。昨日の文面を昨日のまま示せるなら、今日のページだけを証人に仕立てる手は使えない。

出典