匿名VPNアカウントは本当に通信を匿名にするのか
メールなしの登録が変えるのはフォームの一項目だけです。送信元アドレス、アカウントのトークン、ブラウザのCookieは、それぞれ別の問いに答えます。
メールアドレスなしの登録が変えるのは、フォームの一項目だけです。ネットワーク上の送信元アドレスは変わりません。サービスが内部で発行する識別子も変わりません。ブラウザが訪れるすべてのサイトに送るCookieも変わりません。これらは三つの別々の問いであり、アカウントに関わるのは最初の一つだけです。以下では、各層が実際に何を保持しているのか、そしてどの判断が提供者ではなくあなたに属するのかを説明します。
匿名性は観察者ごとに決まる性質として扱ってください。どの観察者かと問えば、正直な答えは変わります。
仮名のアカウントもアカウントである
提供者は、法的な氏名を一度も尋ねずに、アカウント番号や端末キー、購読トークンを発行できます。それでもその対象はサービス内部でセッションを結びつけます。同じプランの同じトークンが、何か月も続くのです。
そのトークンに運営者が何を結びつけられるかは、他のシステム次第です。追跡できる方法で支払えば支払い記録が残り、連絡すればサポート用のアドレスが残り、端末識別子や接続の時刻が運用ログに残ることがあります。登録フォームが求めているのはそのどれでもなく、メールなしのフォームが排除しているのもそのどれでもありません。フォームが決めるのは何を求めたかであり、その後に何が存在するかではありません。
診断プロファイルを送ったりサポートチケットを開いたりすると、元のフォームが求めた以上の詳細が加わることがあります。
トンネルの終端が必ず見るもの
終端はあなたの接続を終わらせるので、アクセス網がそのセッションに割り当てた送信元アドレスと、セッションが始まった時刻を知っています。その接続がどの内部キーやアカウントに対応するかも知っています。その対応付けこそが、通信をどこへ送るかを決めるからです。
WireGuardの文書はここで異例なほど率直です。ピアの同一性は公開鍵であり、隠された特徴ではありません。
終端から宛先へ出ていくものは、別の接続です。出口アドレスが他の利用者と共有されていれば、向こう側のサイトが見るのはあなたのアドレスではなく共通のアドレスです。この分離は実在し、共有の出口が提供する唯一の分離でもあります。それはあなたのセッションを運営者から隠しませんし、両端を観察できる者に対してあなたを群衆に紛れさせもしません。まさにその相関の問題に、RFC 6973はその全長を費やしています。
宛先がなお受け取るもの
ウェブサイトが見るのは、出口アドレス、リクエスト、そしてあなたのクライアントが自発的に差し出すものです。Cookie、すでにログインしたセッション、ブラウザの指紋、保存されたアカウントは、VPN接続を通ってもそのまま残ります。トンネルはそれらを置き換えるのではなく運ぶからです。
個人アカウントにログインすれば、VPNアカウントがどんな表示名を持っていても、そのサイトに対してあなたは識別されます。
名前解決には独自の行が必要です。問い合わせが運営者の動かすリゾルバーへ行けば、運営者はあなたが尋ねた名前を見ます。公開リゾルバーへ行けば、そのリゾルバーが見ますし、経路上で暗号化されていないDNSを観察できる者も見ます。いずれにせよ、どのリゾルバーを使うかは、登録フォームがあなたの代わりに決めたことではないプライバシーの判断です。
相関が実際に起きる場所
通信の分析にページの中身は要りません。接続の時刻、転送量、どの終端がどの宛先と話すかというパターンは、両端を観察すれば送信元の接続と出口の接続を突き合わせられます。したがって共有の出口が守るのは単独の観察者に対してであり、協力し合う二人に対してではありません。
トランスポートの暗号化が変えるのは読めるかどうかであり、結びつけられるかどうかではありません。
スローガンに代わる三つの問い
それぞれの持ち主が違うので、ある層でなされた約束が別の層を覆うことはできません。下の行が、議論の全体を簡潔な形にしたものです。
| Observer | What it can hold | What actually changes it |
|---|---|---|
| Your access network | The connection to the VPN endpoint, with volume and timing | Nothing on the account form |
| The VPN operator | Source address, session times, key-to-account mapping, names if it runs the resolver | Retention policy, payment method, whether you contact support |
| The destination site | Exit address, cookies, logged-in identity, request content | Browser hygiene, logging out, separate profiles |
| An observer at both ends | Correlated timing and volume across the two connections | Padding, cover traffic, a different exit at a different time |
アカウントに関わるのは中央の行だけで、しかも一部だけです。その上下の行は、経路、保持、そしてあなた自身のブラウザが決めます。
ラベルではなく目録を読む
データの目録、保持期間、身元の手続きを公開している提供者は、検証できる何かをあなたに示しています。匿名だと言うだけの提供者は、一語を告げただけです。登録時に何を集めるのか、セッションが終わった後に何が残るのか、どの手続きで第三者にデータを渡すのかを確認してください。
その三つが欠けていれば、ラベルは何の証拠にもなりません。
本当に気にかける観察者から始め、次に表の一行をたどってください。どのアドレスを見るのか、どの識別子を保持するのか、どれだけ保持するのか。アカウントの名前を変えるのではなく、破綻している行を直してください。ここで結果を変える唯一の手順はそれです。