米国政府はDebianプロジェクトに侵入したのか？――その答えは「ノー」

Debianは最も人気のあるLinuxディストリビューションのひとつです。堅牢で信頼性が高く、ArchやGentooと比べると初心者にも比較的扱いやすいのが特徴です。UbuntuはDebianをベースに構築されており、Raspberry PiのOSとしても広く採用されています。

しかし、Wikileaks創設者のジュリアン・アサンジ氏によれば、Debianは米国の諜報機関の掌中にあるとされています。

本当にそうなのでしょうか？

2014年のWorld Hosting Daysカンファレンスでの講演で、アサンジ氏は、特定の国家（名前こそ挙げませんでしたが、つまり米国のことです）が、一部のLinuxディストリビューションを意図的に脆弱な状態にし、監視網の支配下に置いたと述べました。講演の20分以降で発言の全文を確認できます。

しかし、アサンジ氏の主張は正しいのでしょうか？

Debianとセキュリティを検証する

アサンジ氏の講演では、無数のディストリビューションが意図的に妨害されたと語られています。しかし、Debianについては名前を挙げて言及しているため、ここではDebianに焦点を当てて検証してみましょう。

過去10年間で、Debianには数多くの脆弱性が発見されてきました。システム全体に影響を及ぼす深刻なゼロデイ型の脆弱性もあれば、リモートシステムとの安全な通信能力に影響するものもありました。

アサンジ氏が明示的に言及した唯一の脆弱性は、2008年に発見されたDebianのOpenSSL乱数生成器のバグです。

乱数（正確には擬似乱数ですが、コンピュータ上で真のランダム性を得ることは極めて困難です）はRSA暗号化に不可欠な要素です。乱数生成器が予測可能になると、暗号の有効性は急落し、トラフィックの復号が可能になってしまいます。

確かに、過去にNSAは、生成される乱数のエントロピーを減らすことで商用グレードの暗号強度を意図的に弱めたことがあります。しかしそれはずっと昔の話で、当時は強力な暗号技術が米国政府から疑いの目で見られ、武器輸出規制の対象にさえなっていた時代です。サイモン・シンの『The Code Book（暗号解読）』は、フィル・ジマーマンのPGP開発初期の時代や、米国政府との法廷闘争について詳しく描いています。

しかしそれは昔話であり、2008年のバグは悪意によるものというより、驚くほどの技術的無能さの産物だったようです。

DebianのOpenSSLパッケージから2行のコードが削除されました。理由は、ValgrindとPurifyというビルドツールで警告メッセージが出力されていたからです。該当行を削除すれば警告は消えます。しかし、DebianのOpenSSL実装の完全性は根本的に損なわれてしまったのです。

ハンロンの剃刀が説くように、無能さで簡単に説明できることを、わざわざ悪意のせいにしてはいけません。ちなみに、このバグはウェブコミックXKCDでも風刺されました。

この件について執筆したIgnorantGuruブログでは、近年のHeartbleedバグもまた、セキュリティ機関がLinux上の暗号技術を意図的に弱めようとした産物かもしれないと推測しています。

HeartbleedはOpenSSLライブラリの脆弱性で、攻撃者が脆弱なサーバーのメモリを読み取り、トラフィックの暗号化に使われる秘密鍵を入手することで、SSL/TLSで保護された情報を盗む可能性があるものでした。当時、オンラインバンキングや電子商取引システムの完全性が脅かされ、数十万のシステムが影響を受け、ほぼすべてのLinuxおよびBSDディストリビューションに波及しました。

セキュリティ機関がその背後にいた可能性がどれほどあるかは分かりません。

堅牢な暗号アルゴリズムを設計するのは極めて難しく、実装するのも同様に困難です。遅かれ早かれ、新たなアルゴリズムの作成や実装の書き直しが必要になるほど深刻な脆弱性が発見されるのは避けられません（OpenSSLでは頻繁に発見されています）。

だからこそ暗号アルゴリズムは進化的な道を辿ってきたのです。旧来のものに欠陥が見つかれば、新しいものが構築されます。

オープンソースへの政府干渉の前例

もちろん、政府がオープンソースプロジェクトに関心を持つこと自体は珍しくありません。強制、浸透、資金援助などを通じて、ソフトウェアプロジェクトの方向性や機能に具体的な影響を与えたとして非難された事例もあります。

ヤシャ・レヴァインは私が最も尊敬する調査報道ジャーナリストの一人です。現在はPando.comで執筆していますが、それ以前は伝説的なモスクワの隔週紙The Exileで腕を磨きました。同紙は2008年にプーチン政権によって廃刊にされています。11年の歴史の中で、刺激的で物議を醸す内容と同じくらい、レヴァイン（そしてPando.comでも執筆する共同創設者のマーク・エイムズ）による鋭い調査報道でも知られていました。

この調査報道の才能はPando.comでも発揮されています。ここ1年ほどで、レヴァインはTorプロジェクトと、彼が「米軍産監視複合体」と呼ぶもの――実際には海軍研究局（ONR）と国防高等研究計画局（DARPA）――との繋がりを浮き彫りにする記事を多数発表してきました。

Tor（The Onion Router）についてご存じない方のために説明すると、トラフィックを複数の暗号化されたエンドポイント経由で中継することで匿名化するソフトウェアです。これにより、身元を明かしたり現地の検閲を受けたりせずにインターネットを利用できます。中国、キューバ、エリトリアのような抑圧的な体制下に住む人々にとっては有用なツールです。最も手軽な入手方法のひとつは、FirefoxベースのTor Browserです。

ちなみに、あなたが今この記事を読んでいる媒体自体もDARPAの投資の産物です。ARPANETがなければ、インターネットは存在しなかったでしょう。

レヴァインの主張を要約するとこうなります。Torは資金の大部分を米国政府から得ているため、必然的に政府と結びついており、もはや独立して運営できない。さらに、Torのコントリビューターの中には、何らかの形で米国政府と関わった経験を持つ者が少なくない、というものです。

レヴァインの主張を全文読むには、2014年7月16日公開の「Almost everyone involved in developing Tor was (or is) funded by the US government」をご覧ください。

続いて、The Interceptで執筆するマイカ・リーによる反論もお読みください。反論の要点はこうです。国防総省自身も、工作員を守るためにTorに依存しており、Torプロジェクトは資金の出所について常にオープンだった、というものです。

レヴァインは優れたジャーナリストで、私自身も敬意と賞賛を抱いている一人です。しかし時折懸念になるのは、彼が政府――どんな政府であれ――を一枚岩の存在だと考えがちな点です。実際はそうではありません。政府とは、それぞれ独自の利害と動機を持ち自律的に動く、独立した歯車からなる複雑な機械なのです。

政府のある部門が自由のためのツールに投資する一方で、別の部門が反自由・反プライバシー的な行動に走ることは、十分にあり得る話です。

そしてジュリアン・アサンジ氏が示したように、論理的な説明がもっと無害なものであるときに陰謀を仮定するのは、驚くほど簡単なことなのです。

WikiLeaksはピークを過ぎたのか？

私だけでしょうか、それともWikiLeaksの全盛期は過ぎ去ってしまったのでしょうか？

つい最近まで、アサンジ氏はオックスフォードのTEDイベントやニューヨークのハッカーカンファレンスで講演していました。WikiLeaksのブランドは強く、スイス銀行システムのマネーロンダリングやケニアの蔓延する汚職など、本当に重要な問題を暴いていました。

しかし今や、WikiLeaksはアサンジ氏という人物の影に覆われています。スウェーデンでの重大な刑事告発から逃れ、ロンドンのエクアドル大使館に事実上の亡命生活を送っている男です。

アサンジ氏自身は、かつての悪名を超えることができず、今では聞く耳を持つ人なら誰にでも突飛な主張をするようになっています。ほとんど悲劇的ですらあります。WikiLeaksが成し遂げてきた重要な仕事が、ジュリアン・アサンジという余興によって脱線させられたことを考えるとなおさらです。

しかし、アサンジ氏についてどう思うにせよ、ほぼ確実に言えることが一つあります。米国がDebianに侵入した証拠は一切存在しないということです。他のLinuxディストリビューションについても同様です。

写真クレジット：424（XKCD）、Code（Michael Himbeault）