VPNとは本当は何なのか

長年、VPNの噂を耳にしても気にも留めませんでした。アンチウイルスソフトと同じです。私はアンチウイルスを使いませんし、使ったとしてもごく稀です。あらゆるデータを3か所にリアルタイムでバックアップし、ダウンロードするもの、クリックするリンク、訪問するウェブサイトには細心の注意を払っています。これで100%安全というわけではありませんが、私にはこのやり方が合っています。ある日、月額2ユーロ少々のVPNのセールを見かけ、好奇心から契約してみました。機能としては申し分ありませんでしたが、役に立った場面はごくわずかでした。たとえば、当時はアメリカ国内からしか利用できなかったサービスを試すような場合です。より安全になったと感じたでしょうか？ いいえ。もしまた同じ価格で提供されたら更新するかもしれませんが、そうでなければしません。これは単に私個人の体験であり、何かを証明するものではありません。そこで、VPNが正確には何をしているのかを自問してみました。私なりの理解はこうです。

受取人の住所がはっきり見える状態でポストに手紙を投函する場面を想像してみてください。手紙が封筒に入っていれば中身は読めなくても、郵便配達員はあなたが誰に送ったかを見ることができます。この配達員がインターネット事業者です。VPNは、その手紙を別の封筒に入れ、開封して転送してくれる仲介者宛てに送ります。いつもの配達員には本当の宛先が見えなくなります。見えるのは、あなたがその仲介者に手紙を送っているということだけです。

接続元のネットワークを管理している者、たとえば空港のWi-Fiからは、あなたがどこへアクセスしているかが見えなくなります。しかし仲介者は、通信事業者が以前見ていたものを目にすることになり、すべての通信がそこを通過するため、時にはそれ以上の情報が見えます。監視が消え去るわけではありません。監視する相手の手が変わるだけです。名前の由来もそこにあります。

さらに、メールを開いたり銀行にログインしたりといった現代の通信のほぼすべては、ブラウザの鍵マークのおかげで、すでに送信先サーバーまで暗号化されて届いています。これはVPNがあってもなくても同じです。VPNが保護を追加するのは、自身のサーバーまでの最初の区間だけです。そこから先は、いつもと同じ経路をたどります。

だからこそ、時にはそのように宣伝されていても、VPNが約束できないことがあります。メールや銀行にログインしていれば、VPNがあろうとなかろうと、そのサービス側はそれがあなただと把握しています。また、誰もあなたの通信を見ていないと保証するわけでもありません。見ている相手が変わるだけです。企業が「ログを保持しない」と言うのは、大手プラットフォームが「メッセージは暗号化されており、私たちは読んでいません」と言うのと同様、単なる約束にすぎません。監査によってある時点でそれが裏付けられることはあっても、約束が守られることを信頼している状態に変わりはなく、設計上破ることができない仕組みというわけではありません。

そして、会話の内容についても同じです。メッセージングアプリがすでにエンドツーエンドで暗号化を行っていれば、VPNが何かを加えることはありません。暗号化されていない場合でも、VPNがそれを修復することはありません。メッセージの通り道を保護するだけであり、届いた後にアプリやそのサーバーがメッセージをどう扱うかまでは保護できないからです。

だからといって、VPNが無意味だというわけではありません。公共Wi-Fiや、閲覧履歴を売りたがる通信事業者、あるいはサービスを遮断する国に対して接続先を隠すことは実際の仕事であり、VPNはそれを上手くこなします。ただしマーケティングは、その保護層が提供できる以上のことを約束しがちです。

VPNであれ、保護を約束する他のサービスであれ、問いかけるべきことは「暗号化されているか？」ではありません。おそらく少なくとも一部分は暗号化されているでしょう。問うべきは別のことです。他者から引き上げた信頼を、自分は今だれに預けているのか？ そして、その信頼に根拠がなかったと分かったとき、自分には何が残るのか？

VPNが適切に機能するとき、変わるのは接続の仲介者だけです。メッセージがいかなるサーバーも通過しないSolo2のようなアプリは、会話から仲介者そのものを排除します。両者は競合するものではなく、異なる問題を解決しているのです。

この2つを混同することは、実際以上に守られていると信じ込んでしまう非常にありがちな原因です。