パラノイド陰謀論者のオンラインプライバシー＆セキュリティ完全ガイド

前回は、Googleの強力なエコシステムから脱却する方法を紹介しました。今回はより幅広いトピックを取り上げ、私の経験や専門家の知見から得た実践的なヒントを共有します。あなたのオンライン生活をより安全にするための何かしらの気づきが得られれば幸いです。

Google、Twitter、Facebookへのアプリ連携を解除する

ウェブサイトに登録する際、Facebook ConnectやGoogleログインのボタンが常にあり、面倒な入力フォームをスキップできる甘い誘惑となっています（「本当にこの長いフォームを埋めたいですか？ボタン一つで数クリックで完了ですよ」と）。しかし、これらを利用すると、私たちの閲覧履歴を含む多くの情報をFacebookやGoogle、さらにはTwitterに渡すことになります。閲覧習慣こそが、マーケティングプロファイルの材料なのです。

まずはこれらの特権を取り消しましょう。Googleのページ、Facebookのページ、Twitterのページから一括解除できます。その後、ウェブサイト登録には本物のアドレスに転送される使い捨てメールアドレスを使用することをおすすめします。この分野のゴールドスタンダードはBlurです。無料プランでも十分な機能が利用できます。

仮想プライベートネットワーク（VPN）を使用する

VPNについては以前から詳しく解説してきました（おすすめVPNサービスまとめも公開済み）。私は個人的にTunnelBearを愛用していますが、他にも多くの優秀なサービスがあります。インターネットを利用するすべての人がVPNを使用すべきです。実際、GHacksは「VPNが次のブラウザ標準機能になるか？」と問うています。

VPNはあなたのIPアドレスを変更し、すべての通信をVPNサーバー経由でルーティングします。これにより、VPNソフトで選択した国からアクセスしているように見せかけられます。真の位置情報を隠せるほか、公衆Wi-Fiでのログイン情報盗聴も防げます。ただし、公衆PCの利用はそもそも避けるべきです。キーロガーが仕込まれている可能性があるからです。

Torブラウザを使用する

「Torを使うと即座にNSAやイギリスのGCHQの監視対象になる」と言われてきました。しかし、彼らはもともと監視しているのであれば、違いはないと考えます。以前、Torブラウザが侵害された懸念もありましたが、多少の保護でもないよりはマシです。必ず公式サイトからダウンロードしてください。Torが何か分からない方は、当サイトのTorガイドを参照してください。

セキュリティ＆プライバシー保護のブラウザ拡張機能を常に導入する

HTTPSはサイトが暗号化証明書を持っていることを示し、サイトへの侵入を防ぎます。一般ユーザーは、URLに「https」が含まれるサイトを極力利用すべきです。

これを自動化するのが、Electronic Frontier Foundation製のブラウザ拡張機能「HTTPS Everywhere」です。自動的にHTTPS版へリダイレクトし、HTTPS非対応サイトはホワイトリストで除外できます。

Chromeユーザーには、Google Analytics Opt-Out、Password Alert、Chrome UTM stripperもおすすめです。最後のものはURLからトラッキング用の「UTM」パラメータを削除します。SNSやメルマガのリンクをクリックした際、URLにUTMコードが付いているのを確認できるでしょう。

WhatsAppをやめ、Telegramを使う

私と妻はWhatsAppでしか連絡を取りませんが、決して少数派ではありません。2015年1月の月間アクティブユーザー7億人が、4月には8億人に増加しています。アプリ自体は気に入っていますが、SSL暗号化がなく、セキュリティホールだらけなのが気になります。さらにFacebook傘下であるため、長期的なプライバシー保護の観点からは不安が残ります。Facebookのプライバシー設定は、私が熱い夕食を食べる頻度で変更されます。

代わりに評判なのがTelegramです。iOS、Android、Windows Phone、PC、Mac、Linux、ブラウザ版と全プラットフォームに対応。WhatsAppのクローンのような見た目ながら、豊富なプライバシー機能を備えています。メッセージの暗号化、タイマーによる自動削除、サーバーの世界分散によるサービス停止耐性（FBIによる一方的な停止を防止）などです。類似アプリにはSignalやWickrがあります。

検索はシークレットモードで行う

仕事でGoogle Appsを使うなど、Googleを使わざるを得ない場合があります。Googleのサービスはログイン状態が共有されるため、YouTubeからログアウトするとGmailもログアウトしてしまいます。これが煩わしく、常時ログインしていると、検索履歴、視聴動画、閲覧ニュース、位置情報など、すべてが記録され続けます。

メールにはログインしたまま、検索だけをプライベートにするには、検索時にシークレットモード（Firefoxならプライベートブラウジング）を使用します。さらにVPNアプリでIPアドレスを遠くの国（オーストラリアなど）に変更すれば完璧です。名前をブルースに変えるだけで済みます。

インスタントメッセージを「Off The Record（OTR）」で暗号化する

インスタントメッセージ（IM）は執筆中の集中を妨げるためあまり好きではありませんが、クライアントや同僚との連絡には必要です。最近は「Off The Record（OTR）」を試しています。これはPidginやAdium用のプラグインで、チャットメッセージを暗号化し、中間者攻撃（通信経路での盗聴）を防ぎます。

会話開始時にOTRを任意にするか、必須にするか選べます。ただし、暗号化を嫌がる相手も多いため、拒否される可能性があります。その相手との会話がどれほど重要か、判断が必要です。

パスワードではなくパスフレーズを使う

アカウント保護にはパスワードが常識とされてきましたが、パスフレーズの方が優れています。エドワード・スノーデンがジョン・オリバーのインタビューでこの概念を解説しています。

@_Fn56@3Cxp0#_Z@ のようなパスワードが安全に見えますが、このXKCDの漫画が示す通り、パスフレーズの方がはるかに強力です。

パスフレーズ生成ツールはネット上に多数あります。単語4つ程度で十分ですが、覚えやすいフレーズならもっと長くても構いません。ダイスを使って生成する方法もありますが、それはやりすぎ感があります（私にも限度があります）。

ノートPCのWebカメラにシールを貼る（PC内蔵カメラはカバーを閉じる）

Webカメラは孫の顔を見せたり、新しい子犬を見せたりするのに最適です。しかし、LEDライトが消えていても、知らないうちに覗かれている可能性があります。信じられないなら、Webカメラハッキングの事例やこちらの記事を読んでから判断してください。

24時間365日監視されたくなければ、使用していない時はカメラを覆っておく必要があります。多くの外付けWebカメラにはレンズカバーが内蔵されています。必ず使ってください。ない場合は買い替えを検討しましょう。私はLogitechを愛用しています。ノートPCの場合は、シールを正方形に切ってカメラに貼るか、絆創膏でも代用できます。

ネット上の自分の写真を削除し、アバターやイラストを使う

顔認識技術は急速に進化しており、今後さらに進むでしょう。FBIは今年、5000万枚以上の顔画像をデータベースに登録する見込みで、他国の機関も同様です。ロンドンでは、通りを歩けば複数のカメラに撮影されます。Facebookは「写真タグ付けの自動化」のため独自の顔認識を導入し、Microsoftは写真から年齢を推定する技術を開発しています（データブローカーは大喜びでしょう）。

さらに恐ろしいのは、NameTagというスマホアプリです。あなたの写真を撮るだけで、瞬時にSNSアカウントを特定できます。「デート相手を探すため」だそうですが、ストーカーに悪用されない保証はどこにもありません。

こうした事態を受け、反顔認識運動が台頭しています。顔認識への対抗は重要です。もしシステムがあなたを「指名手配中のテロリストと酷似」と判定したら？ 独房で「私はアルカイダのNo.2ではありません」と弁明し続ける羽目になります。

オンライン顔認識データベースに登録されないために、3つのことを実行してください。まず、Facebookの設定で顔の自動タグ付けを無効化します。次に、ネット上の自分の写真を検索し、可能な限り削除します。最後に、それらを自分のアバターや鉛筆画に差し替えます。私はFace Your Mangaでアバターを作成しました。外出時はパーカーとサングラスを着用し、うつむいて歩きましょう。

ブラウザの「Do Not Track（トラッキング拒否）」をオンにする

主要ブラウザにはすべて「Do Not Track」機能があります。しかし正直なところ、これはサイト側が要請を尊重するかどうかに完全に依存します。これは「迷惑電話お断り登録」に似ています。拒否の意思表示はできますが、業者が無視して電話をかけてくるのを物理的に防げません。Do Not Trackも原理的には同じです。理想論ですが、オンにしておいて損はありません。

このサイトでDo Not Trackの詳細、ブラウザ別の設定方法、実際に対応しているサイトの一覧が確認できます。残念ながら、対応サイトはごく少数です。

PGPとGNU Privacy Guardでメールを暗号化する

最も難易度が高い項目を最後に残しました。数週間試行錯誤しましたが、いまだにうまくいっていません。隣に10歳の天才児でもいれば頼めるのですが、残念ながら私の隣人はタイプライターを「最新のクールなガジェット」と思っている高齢者ばかりです。

PGP（Pretty Good Privacy）は、メールを第三者には解読不能な暗号文に変換し、受信者が復号できる仕組みです。送信者と受信者の双方が公開鍵と秘密鍵のペアを持つ必要があります。

Thunderbirdを使っているならEnigmail、OutlookならOutlook Privacy Pluginが利用できます。WindowsならGPG4win、MacならGPGTools、Linuxならこの記事が参考になります。Webメールでも暗号化は可能です。

他にもオンラインのセキュリティとプライバシーを強化するおすすめの方法があれば、コメント欄で教えてください。