Surfshark VPNが自主的に第三者セキュリティ監査を実施、その結果とは？

人気VPNサービス「Surfshark」が、サービス品質を保証するため、自主的に第三者機関によるセキュリティ・プライバシー監査を受けました。この独立した監査では主にネットワークとインフラのセキュリティが精査され、Surfsharkのユーザーは「VPNが実際にデータを守ってくれる」という確信を得られる結果となっています。

監査では、Surfsharkに「非常に堅牢なセキュリティ基盤」があることが確認された一方で、いくつかの容易に修正可能な問題も発見されました。

第三者監査が証明したSurfsharkのセキュリティ信頼性

Surfsharkは、ベルリンに拠点を置くセキュリティ企業「Cure53」に監査を依頼しました。監査ではサーバーのセキュリティ、VPNの設定内容、そして関連インフラストラクチャが詳細に調査されています。

Cure53の公式レポート（PDF）によると、Surfsharkの全体的なセキュリティは「堅固（solid）」であり、「総合的な結果は良好と評価されるべき」と結論付けられました。

テストチームが発見したセキュリティ上の問題はごくわずかで、システム内の4つの「セキュリティに関連する」脆弱性が明らかになった程度です。しかも、これらの問題はいずれもSurfsharkユーザーに実際のセキュリティ被害をもたらすものではなく、VPN事業者は指摘を受けてすぐに修正対応を行いました。

特筆すべき発見としては、システムやコンピュータ内でプログラムを実行する権限を付与するUnixプログラム「sudo」の旧バージョンが使われていた点が挙げられます。これは社内のアップデートプロセスがやや杜撰だったことを示唆しますが、簡単に是正できる問題です。

テストチームは、Surfsharkの保守担当者がVPNプロバイダーとして直面するセキュリティおよびプライバシーに関する課題を明確に理解していることに疑問の余地がない。……数多くの潜在的リスクに対する徹底的な調査と模範的なカバレッジが行われたにもかかわらず、深刻な問題は一切検出されなかった

つまり、Surfsharkのユーザーは、自分が選んだVPNサービスが安全かつ堅牢であることを安心して信頼できるのです。

VPNに求められるもの：セキュリティとプライバシー

VPNを選ぶ際に重要な要素は2つあります。それは「セキュリティ」と「プライバシー」です。ほとんどのVPNサービスは前者を提供していますが、後者までしっかり備えているとは限りません。実は多くのVPNサービスは、広告配信を目的としたり、運営所在国の法律で義務付けられていたりする理由から、ユーザーのデータを記録（ログ保存）しています。

その点、Surfsharkは「ノーログVPN」を掲げており、サービス利用中のユーザーアクティビティを記録しない方針です。覗き見から身を守るためにVPNを使うのであれば、ノーログであることは極めて重要です。ログが残っていては、そもそもVPNを利用する意味が薄れてしまうからです。

プライバシー監査への期待

今回の監査では、プライバシーおよびロギングに関する部分までは調査対象外でした。ただし、Surfsharkの利用規約には「IPアドレス、閲覧履歴、セッション情報、使用帯域幅、接続タイムスタンプ、ネットワークトラフィック、その他類似のデータを収集しない」と明記されています。

とはいえ、完全な監査がなければ、この主張を客観的に検証する手段はありません。今後、Surfsharkがプライバシー監査も受けて、自社のプライバシー・ロギングポリシーを裏付けてくれることを期待したいところです。