OpSecとはプロダクトではなく、習慣である
運用セキュリティ——OpSec——とは、匿名の活動と実際のアイデンティティを結びつける情報を漏えいさせないための規律です。何であり、何でないかを明確にしておく価値があります。OpSecは購入するプロダクトでも、インストールするツールでもありません。世界最高のノーKYC・オフショア・暗号通貨払いのサーバーであっても、個人アカウントにログインした状態で自宅回線からSSH接続すれば、匿名性は保てません。OpSecとは、ツールを取り囲む習慣の集合体です。
ツールよりも習慣が重要な理由は、身元特定がほとんどの場合、暗号の解読やプライバシー技術の突破によるものではないからです。ほぼ必ず、ひとつの人為的ミス——誤ったIPからの接続ひとつ、使い回したユーザー名ひとつ、不注意な細かい情報ひとつ——が、匿名の活動と実名の活動を結びつけます。本ガイドは、被害をもたらすミスと、それを防ぐ習慣について解説します。アイデンティティとは切り離して管理したいサーバーを運用していることを前提に、実際にどうすれば切り離し続けられるかを説明します。
匿名の土台の上にセットアップを構築する
最初からアイデンティティが組み込まれていない土台があれば、OpSecははるかに楽になります。他のガイドで各レイヤーを詳しく説明していますが、ここでは基盤としての組み合わせ方を示します：
- 身元不要のアカウント。ノーKYCのホストは、名前・メール・電話番号に紐づいたアカウントではなく、トークンを発行します。プロバイダーが漏えいしたり、開示を強制されたりする情報が存在しません。
- 名前の残らない支払い手段。暗号通貨——追跡記録の残らないMonero、または新しいアドレスから送るBitcoin——を使うことで、購入がアカウントとあなたを再び結びつけることはありません。
- オフショアの司法管轄。データ保持義務がなく、国際協力の経路が限られた地域を選ぶことで、強引な情報請求があっても実質的な障壁が生まれます。
土台を正しく構築すれば、OpSecは「その後にアイデンティティを持ち込まないこと」だけを意識する問題になります。後から削除しようとするよりもはるかに簡単です。匿名で始め、匿名のまま維持する。
接続は最も一般的な情報漏えい経路
他の何よりも多くの人の身元特定につながるミスがあるとすれば、それは「身元が判明するIPアドレスから匿名サーバーに接続すること」です。自宅のインターネット回線はあなた名義で登録されています。その回線から匿名サーバーに直接SSHした瞬間、ISPのログにあなたとそのサーバーを結びつける記録が残ります——完璧なノーKYCのセットアップも、その接続によって無意味になります。
ルールは絶対です：あなたの身元が特定されるIPから匿名サーバーに触れてはいけません。Tor経由か、それ自体が匿名の別のVPN経由で接続してください——「たいてい」ではなく、毎回必ず。急いで一度だけ直接接続しただけでも十分です。これはプロジェクトのためにするすべての行動にも当てはまります：アカウントの登録、ツールのダウンロード、サイトのテスト。接続があなたに追跡できるなら、接続先がどれほど匿名であっても関係ありません。実際のIPは、匿名プロジェクトが絶対に見てはならないものとして扱ってください。
徹底したコンパートメント化
コンパートメント化とは、匿名のアイデンティティと本当のアイデンティティを、決して交わらない密封された別々の箱の中に保つことを意味します。ほとんどの身元特定は、二つのコンパートメント間に誤って架け橋が作られることで起きるため、これは最も強力なOpSecの習慣です。
- アイデンティティを運ぶあらゆるものを分離する。匿名プロジェクトには別のブラウザ——理想的には別のユーザープロファイル、または専用の仮想マシン——を使います。同じセッションで個人メール、SNSアカウント、または名前に紐づくものには絶対にログインしないでください。
- 名前を使い回さない。匿名プロジェクトと実名アカウントで同じユーザー名・ハンドル・アバターを使うことは、直接的なリンクを作ることになります。各コンパートメントは独自のものを持ち、他では使いません。
- 相互参照しない。実名アカウントから匿名プロジェクトに言及したり、匿名の立場から実生活に言及したりしないでください。小さくても真実の細部——都市、職業、独特の言い回し——は候補を絞り込みます。
- プロジェクトひとつ、コンパートメントひとつ。複数の匿名プロジェクトを運営している場合、それらも互いに分離しておき、ひとつの問題が残りを露出させないようにします。
壁を自動的なものにする規律——ブラウザ、セッション、アイデンティティが常に別々であるため、意識して思い出す必要のない状態——を目指してください。
サーバーとそのソフトウェアが何を公開しているかを監視する
サーバーは、接続方法に注意を払っていても、世界に情報を伝えます。監査すべき情報漏えいポイント：
- バナーとヘッダー。Webサーバー、メールサーバー、SSHはデフォルトでバージョン、場合によってはホスト名を通知します。広告する情報を削減してください。
- デフォルトページとエラーページ。デフォルトのエラーページやテストページは、ソフトウェア・設定、または複数のサイトがサーバーを共有していることを暴露することがあります。デフォルトを置き換えてください。
- ファイル内のメタデータ。画像やドキュメントにはメタデータ——デバイス、ソフトウェア、場合によっては位置情報——が含まれています。アップロード前に必ず除去してください。
- 外部に接続するソフトウェア。アナリティクス、外部フォント、アップデートのpingバック、サードパーティAPIは、サーバーを他のプロパティに結びつけたり、実際のアドレスを漏えいしたりする可能性のある外向き接続を生成します。匿名プロジェクトは自己完結させてください。
- サイト間の相関。匿名サイトと実名サイトで同じアナリティクスID、広告アカウント、TLS証明書、またはファビコンを使うと、両者が結びつけられます。コンパートメント間では何も共有しないでください。
原則として、サーバーが発信するすべてのものについて「これは観察者に何を伝えるか」を問い、あなたのアイデンティティを答えとするものはすべて取り除いてください。
支払いと更新の規律
匿名性は一度きりのセットアップではありません。毎回の更新を生き延びなければなりません。匿名で購入したサーバーも、1年後にカードで更新すれば、更新時に匿名性が崩れます。資金面も他と同様に規律を持って管理してください。最初と同じ匿名の方法——暗号通貨——で更新を支払い、カードは使わないでください。実用的な習慣として、ノーKYCアカウントに暗号通貨の残高を常に保持しておくと、更新が静かに処理され、スケジュールに沿った注目を集める支払いを新たに行う必要がなくなります。同じことがドメインにも当てはまります——同じ匿名チャネルを通じて更新し、「今回だけ」とカードを追加しないでください。
心構え：強度よりも一貫性
これらすべてを貫くのは、OpSecとは強度ではなく一貫性についてのものだという考え方です。一度の英雄的な努力で匿名になることではなく、例外を作らないことです。自宅からの接続ひとつ、使い回したハンドルひとつ、カードでの更新ひとつ、誤ったブラウザタブでの個人ログインひとつ——どの単一の失敗もリンクになり得て、他でどれほど注意を払っても取り消すことはできません。
それは厳しく聞こえますが、実際にはルーティンになります。匿名で土台をセットアップし、コンパートメントを一度構築し、別のブラウザとTor接続をデフォルトにすれば、規律は自動的に機能します。目標はパラノイアではありません——匿名であることがプロジェクトの普通の動き方であり、例外を覚えておく必要のないセットアップです。そのように構築すれば、匿名サーバーが毎日注意を払っているから匿名を保てるのではなく、他の状態になり得る経路が存在しないから匿名を保ち続けます。