要約

  • RFC 9614 は、主体を示す「誰」と活動・データを示す「何」を、アクセスを共有するデータ、メタデータ、エンティティの集合であるコンテキストに分けて考える。
  • 暗号化や複数プロキシは有用だが、共通の支配、永続識別子、アプリの入力、統合ログ、時刻、サイズ、障害時の迂回があれば、分割は再び結び付けられる。
  • 実効的な証明には、コンテキスト図、運用主体、保持期間、結合可能性、サイドチャネル、縮退動作と、実トラフィックに近い再識別試験が必要である。

局所的に正しい部品を積み上げても、全体が同じ性質を持つとは限らない。リレーは暗号文しか扱わない。ゲートウェイには利用者の直接アドレスを渡さない。仕様試験は双方とも合格する。それでも一つの会社が両方の観測記録を長期間持てば、時刻やメッセージ長を手掛かりに対応関係を探せる。

この失敗は暗号の破綻ではない。むしろ暗号が担当した境界は守られている。問題は、「分けて観測する」という構成を「誰にも結び付けられない」という運用結果に読み替えたことにある。

RFC 9614 は 2024 年 7 月に IAB ストリームの情報提供文書として公開された。プライバシー・パーティショニングを、利用者を識別する情報、すなわち「誰」と、その利用者の活動やデータ、すなわち「何」を分けるアーキテクチャとして整理する。コンテキストとは、同じアクセス範囲を共有するデータ、メタデータ、エンティティの集合である。

目標は、クライアント自身を除き、一つのエンティティが「誰」と「何」の双方が見えるコンテキストに参加しないようにすることだ。この表現には重要な含意がある。サーバー台数や接続本数ではなく、誰がアクセスを支配し、何を組み合わせられるかを数える必要がある。

箱の境界より権限の境界

一台の装置が複数コンテキストに参加することも、複数の装置が一つの実効的コンテキストになることもある。別々のサービスが同じ監視基盤、管理者、サポートシステムを使えば、ログの保存先で境界は消える。反対に、一組織内でも鍵、権限、保持、監査を厳密に分ければ、意味のある障壁を作れる。ただし、その障壁は名称ではなく証拠で評価する。

したがって、ホップ数をプライバシー指標にしてはならない。中継を追加すれば、ある参加者の視野を狭めたり、匿名集合を大きくしたりできる。同時に、障害点、ログ、委託先、非共謀を期待する相手も増える。コンテキストの増加は、必ずしも保護の単調増加ではない。

RFC 6973 はインターネット・プロトコルのプライバシー脅威とデータ最小化の基礎を示す。RFC 9614 は、その視点を情報同士の関係に向ける。単独のアドレスや検索語、時刻は限定的でも、結合すれば誰が何をしたかになる。各項目の機微性だけでなく、結合キーを調べる必要がある。

完全な棚卸しは層をまたぐ。ネットワークアドレス、名前解決、暗号終端、トランスポート接続、認証トークン、端末指紋、請求、分析、不正対策、問い合わせ履歴を同じ図に載せる。通常経路だけの図では、運用データが再集合する場所を見落とす。

暗号化は観測者を変える

TLS は終端以外に内容を読ませない。しかし終端は平文を扱い、多くの場合は接続元も知る。同じサービスがアカウント認証と要求処理を行えば、その地点では「誰」と「何」が既にそろっている。暗号化が成功しても、パーティショニングが成功したとは限らない。

VPN も観測者を移す。アクセス事業者から宛先の一部を隠す代わりに、VPN 事業者が入口と出口を観測できる。脅威モデル次第では明確な改善だが、観測が消えたわけではない。新しい観測者の支配、保持、法的環境まで評価対象になる。

接続を二つに分けても、同じアカウントトークン、端末指紋、希少な操作列があれば関連付けられる。RFC 8981 の一時 IPv6 アドレスは、安定したアドレスによる追跡を軽減する。しかし上位層の識別子が固定なら、その利点を上書きする。ある層の更新性は、別の層の永続性を消さない。

RFC 9000 の QUIC や RFC 9180 の HPKE は重要な基盤である。しかし、誰が両端を運営するか、ログを何日残すか、暗号化された本文にメールアドレスを入れるかまでは決めない。暗号は読み取り境界を定め、配備が支配境界を定める。

OHTTP の利点と条件

RFC 9458 は Oblivious HTTP を定義する。クライアントはゲートウェイ向けに要求を暗号化し、リレー経由で送る。リレーはクライアント接続を見るが本文を読めず、ゲートウェイは本文を処理するがクライアントから直接接続されない。RFC 9230 は関連する考え方を DNS over HTTPS に適用する。

この分離は実質的だ。通常の宛先が送信元と要求を一括取得する状態を変え、大規模な結び付けを難しくできる。ただし条件がある。リレーとゲートウェイがトランザクション単位の記録を交換すれば、二つの観測は再構成できる。本文にアカウント情報や位置が入れば、ゲートウェイは別経路で主体を知る。低トラフィック環境では時刻とサイズが暗黙の識別子になる。

適切な説明は限定的である。リレーは平文を受け取らない。ゲートウェイはクライアントの直接接続を受け取らない。定義された敵対者が関係を復元するには、追加情報または別コンテキストとの協力が必要になる。この説明なら、匿名性を過大に約束せず、監査項目も明らかになる。

検証では既知の操作を流し、サイズ、時間間隔、同時実行を変える。その後、リレーのみ、ゲートウェイのみ、共通運用者、外部観測者の各視点から照合する。キャッシュミス、キュー、再送、閑散時間、障害時にも繰り返す。安定時だけ成立する保護は、運用上の保護ではない。

Privacy Pass は配備モデルで性質が変わる

RFC 9576 は Privacy Pass のオリジン、アテスター、イシュアーなどの役割を示す。プライバシー特性は、誰が各役割を運営し、どの識別子を見て、観測時刻を対応付けられるかで変わる。異なる役割名は異なる支配を意味しない。

同じ企業グループが複数役割を持つ場合も、共通クラウドやセキュリティ監視を使う場合もある。珍しい証明の直後に珍しい利用が起きれば、共通識別子がなくても候補は絞られる。プロトコル名だけではなく配備の組み合わせを明示しなければならない。

ここでは所有関係が技術情報になる。委託先、管理者権限、インシデント時の横断アクセス、分析アカウント、法的命令が、実効コンテキストを決める。非共謀契約はリスクを下げ得るが、短い保持、アクセス記録、独立監査、違反時の帰結が必要だ。共有データベースを紙だけで分割することはできない。

一方、独立事業者の数を増やすほどよいとも限らない。各社は遅延、可用性、攻撃面、強制の接点を追加する。目標は数の最大化ではなく、測定可能な保護を達成し、障害時も検査できる最小構成である。

時刻とサイズも内容である

氏名のないログでも識別に使える。珍しいサイズのメッセージがリレーに入り、直後にゲートウェイへ到着すれば候補ができる。複数メッセージの間隔はより強い署名になる。利用の少ない時間帯や地域障害は匿名集合を小さくする。

パディングはサイズ差を減らし、遅延やバッチ、カバートラフィックは時刻を曖昧にする。しかし帯域、計算、応答時間を消費する。偽トラフィックにも規則性が生まれ得る。RFC 9614 が万能設定を示さないのは、脅威とサービス要件が異なるからだ。

重要なのは、残る限界を製品説明に含めることである。アクセス網から内容を守れても、両端を見る広域観測者には弱いかもしれない。日常的な大量追跡を妨げても、狙いを定めた長期分析には耐えないかもしれない。限定された保護でも、正確に述べれば価値がある。

測定は平均だけでなく裾を示す。再送、長い要求、希少エラー、地域停止に遭遇した利用者は、平均的な利用者より著しく識別しやすい。照合の適合率、再現率、候補集合、保持期間を報告し、例外時に再測定する。

縮退経路は隠れた合流点

複数中継は遅延と障害依存を増やすため、運用者は直接モード、単一ホップ、診断ヘッダー、不正対策例外を用意する。可用性や安全を守る合理的な機能だが、誰が何を見るかを変える。

フェイルオープンはサービスを継続し、より多くの識別情報を露出し得る。フェイルクローズは分離を守り、サービスを拒否する。唯一の正解はない。しかし、故障前に方針を決め、発動を可視化し、影響時間とデータを記録することはできる。

各縮退イベントには、原因、開始と終了、対象者、新たに見える項目、通知、例外ログの後処理を残す。平常時の図だけでは、最も危険な瞬間のプライバシーを説明できない。

不正対策も同じ圧力を生む。レート制限や詐欺検出は安定した信号を好む。裏側で万能識別子を戻せば分割は消える。コンテキスト限定トークン、集約、短期保持、より多い誤検知などの選択肢にはコストがある。そのコストを隠すのではなく、経営判断に載せる必要がある。

RFC 9297 と RFC 9484 は HTTP データグラム、カプセル、HTTP 上の IP プロキシに関する背景を与える。豊かな経路を構成できることと、実際に使われた経路・残ったメタデータを証明することは別である。

プライバシーの受領証を作る

最初に、版管理されたコンテキスト台帳を作る。各コンテキストのデータ、メタデータ、アクセス主体、支配運用者、委託先、識別子、指紋、保持、許可された結合、削除を記す。暗号終端を明示し、通常経路と再送、診断、不正対策、障害迂回を併記する。

次に、分離の強さを区別する。暗号を破らなければ不可能な結合、契約で禁止された結合、慣行として行わないだけの結合は同じではない。この区別がなければ、変更可能な運用方針が技術的保証として売られる。

さらに、攻撃者の仕事を測る。許可されたチームが、時刻、サイズ、順序、地域、希少イベントを用いてテスト取引を照合する。現実の保持期間とトラフィック変動を使い、成功率と匿名集合を記録する。

最後に変化を監視する。買収、分析基盤統合、保持延長、委託先変更、緊急アクセスは、プロトコル変更なしにコンテキストを統合する。これらを単なる運用変更ではなく、製品のプライバシー境界変更として扱う。

出典