電子メールのセキュリティを考える
多くのユーザにとって、暗号化の利用はやり過ぎに思えるかもしれない。だが、『 PGP & GPG: Email for the Practical Paranoid 』の著者Michel Lucas氏は、情報を秘密にするかどうかの選択権があるのは良いことだ、と述べている。「ただ私は心から‘プライバシーを守るための選択肢が必要だ’と思っているに過ぎず、多くの人々も同じように考えているはずだ」（同氏）。
Lucas氏の著書には、GNU Privacy Guard（GPG）とPretty Good Privacy（PGP）の使い方が見事に説明されている。しかし、GPGやPGPの利用は、多くのユーザにとっては手間がかかって面倒に思われる追加の手順である。
たとえメッセージの署名や暗号化の必要性を十分承知していても、相手にもそうした操作をしてもらうにはどうすればよいだろうか。Lucas氏は次のように答えている。まずは単にメッセージの署名から始めて「それを続けていれば、やがて周囲の人々はあなたが真剣なのを知り、その重要性をわかってくれるだろう。なかにはそれに合わせてくれる人もいるだろうから、あなたのPGP署名メッセージを受け取った人々の何人かはメッセージを暗号化して返信してくるはずだ」
Windows派の友人や家族に暗号化を使うように説得できる人には、OutlookやOutlook Expressに代わるものとしてLucas氏はMozilla Thunderbirdを勧めている。というのもMicrosoftは「（暗号化のための）堅固なプラグインを書くのに必要な明確でオープンなAPIを提供していない。それに、私がコンピュータの手助けをしている人々は、Thunderbirdを使い始めた途端に（サポートを求める）電話をかけてこなくなった」と彼は語っている。
法律と電子メール
電子メールのプライバシーが法律で保護されているという考えは、ある程度は正しい。電子フロンティア財団（Electronic Frontier Foundation：EFF）の上級幹部弁護士Lee Tien氏は「法律による電子メール送受信のプライバシー保護は、電話による通話とほぼ同じ扱いであるが、その傍受を規制する厳格なルールが存在するため、政府が合法的に電子メールの傍受を行うには、盗聴の命令書を入手する必要がある」と説明している。
しかし、政府の場合は電子メールの検閲に裁判所命令が必要だからといって、インターネットサービスプロバイダ（ISP）の場合もそうなるわけではない。ISPとの契約内容にはISP側にメールを調べる権利が与えられていることがあり、プライバシーが「サービス約款（ToS）で放棄されている可能性もある」とTien氏は指摘する。
いずれにしても米国では現在、電子メールの法的保護は、通信傍受法（Wiretap Act.）に依るところが大きい。1968年に審議を初めて通過して以来、1986年の電子通信プライバシー法（Electronic Communications Privacy Act：ECPA）においてなど数回の改正があったが、依然として電子メールを扱うには不十分な内容である。
最初に起案された通信傍受関連の法律は、電話の通話 ― その場限りのやりとり ― を対象にしていた。録音されない限り、電話で行われた会話があとに残ることはない。これに対して電子メールの場合は、メッセージが送信先に届いた後も複数の場所に保存されることがあり、これまでになかった形態の調査が可能だ。メッセージのコピーが保存される場所には、送信者のコンピュータ、送信者が利用しているISPのサーバ、受信者側のISPのサーバ、受信者のコンピュータのほか、メールが経由してきたこれらマシンのバックアップ先も含まれる。
電子メールに関しては、まだ通信傍受法は確立の途上にある。たとえば、サーバ経由で送られた電子メールは電子的通信であって「記録された」ものではないと、この法律に照らして法廷が判断を下すまでには4年もかかった。
その判例を作ったCoucilman氏の事件は、暗号化や電子メールの管理がなぜ必要なのかを示すよい例である。この事件では、希少価値のある書籍の目録を作成していたInterloc社が顧客向けに電子メールサービスを提供していたのだが、同社の副社長Bradford Councilman氏は、顧客宛てにAmazon.comから送られてくるメールのコピーを組織的に行う決断を下した。AmazonからInterlocの顧客へと送られるメールはprocmailスクリプトを使ってコピーされたため、顧客がそのメールを受信すると、Councilman氏もそのコピーを見て業務上の目的に利用することができたのだ。
当初、法廷は、送信中の電子メールは私的なものではないと判断したため、第三者のサーバ経由で送られたメッセージは、顧客による交信を詮索したがるISPにとっては格好の標的と考えられていた。第1巡回控訴裁判所（The First Court of Appeals）はこの判断を覆したのだが、Interlocの顧客に対するCouncilman氏の行為はこれにはあたらないとされていた。
結論として、自分の電子メールが第三者の管理するサーバを経由したり、そうしたサーバに保存されている場合は、秘匿すべきメッセージの暗号化を検討するのがよさそうだ、ということになる。また、自分のメールに第三者の手が及ばないような方法を考えるのもいいだろう。
ただし、暗号化された電子メールのうち、保護されるのは本文の内容だけであることに注意が必要だ。ヘッダやログファイルには、メールの送信日時、送信先、件名、添付ファイルに関する情報が含まれている。せっかく暗号化しても、自分の管理下にないサーバを使ってメールを送信すれば、本文の内容は別として、送信者や受信者の情報は、サーバのログにアクセスできる誰かに見られるおそれがあるのだ。
Webメールの危険性
Yahoo! Mail、Gmail、HotmailのようなWebメールが非常に流行っている。複数の場所での利用に便利という理由でWebメールしか使わない人も多い。しかし、「Webメールには大きな危険が伴う。というのも、別のサーバ上に存在しているからだ」とTien氏は注意を促している。
Lucas氏もTien氏も個人的にWebメールを使っていないし、ほかの人にも勧めていない、と聞いても、おそらく驚くことはないだろう。Webメールを使うと「ほかの誰かにデータを預け、そのすべてに対してアクセス権を与えることになってしまう」とLucas氏は指摘する。
このことは、ISPに自分のメールが読まれる可能性だけでなく、その通信内容の閲覧を求める別の機関がISPに対して召喚状を出せることも意味している、とTien氏は話す。
実際にISPまたはWebメールプロバイダのサービス約款の内容を読み、同意するとどんな権利をISPに与えることになるのか、またサーバに残っているメールの引き渡しを求める召喚状を受け取ったときにISPがどう行動するのかを確認しておくことだ。「私が求めているのは、メールの引き渡しまたは保管の問題が果たして法廷侮辱罪に値するかどうかを判断できる自由だ」とLucas氏は述べている。裁判所命令を突きつけられたISPが何の抵抗もせずに要求されたデータをすべて引き渡してしまうことも十分にあり得るのだ。
Webメールにしかアクセスしない場合は、もう少しそのセキュリティを高めることができる。ほとんどのWebメールクライアントにはメッセージの署名または暗号化の機能がないが、クライアントの外側で暗号化を行ったものを添付ファイルとして送信することは可能だ、とLucas氏は説明する。Webメールのインタフェースを使って普通にテキストでメッセージを入力しているのは、よほどWebメールプロバイダを信用している人だといえる。
セキュリティとプライバシーは自らの手中にある
ほとんどの場合、電子メールによる自分の交信内容を誰かが監視しようとしているという状況はそうそう起こらないだろうだが、メールを暗号化せずに送信したり、それを保存する第三者を介在させることの危険性について考えておく価値はある。
実家の母親にメモを送るだけなのに、メールを暗号化して自分で管理するのは確かに行き過ぎかもしれない。だがそうでないなら、暗号化していないメールを他人の手に委ねていいのかどうかについて考えてみても損にはならないはずだ。
Lucas氏は次のように述べている。「人々が心に留めておくべき重要な点は、私の著書を購入するかとかGPGを使っているかに関係なく、セキュリティは自分たちの手中にある、ということだ。結局、自分のプライバシーとセキュリティを守るのは自分自身なのだ」
NewsForge.com 原文
