暗号化の「見方を変えた」Appleが監視社会へのバックドアを開く

Electronic Frontier Foundation

Appleは、今後のオペレーションシステムのアップデートを公表した。その中には、新たに追加される「子どもの保護」のための機能が含まれている。「暗号戦争」について過去に耳にしたことのある人なら、これが何を意味するかをご存知だろう。Appleはデータストレージシステムとメッセージングシステムにバックドアを作ろうとしているのである。

児童性搾取は深刻な問題である。この問題に対処するために、プライバシー保護の姿勢を捨てたテクノロジー企業は、Apple社が初めてではない。だがその選択は、ユーザのプライバシー全体に大きな犠牲を強いるものになるだろう。Appleはこのバックドアの技術的実装がいかにプライバシーとセキュリティに配慮されているかを長々と説明するだろうが、結局のところ、徹底的にドキュメント化され、慎重に検討され、ごく狭い範囲のバックドアだと言っても、バックドアであることに変わりはない。

我々はAppleのこの方針に大いに失望している。EFFはこれまで幾度となく暗号化の重要性を述べてきた。そしてAppleは我々と同じ理由でエンド・ツー・エンド暗号化をこれまで強力に支持してきた。エンド・ツー・エンド暗号化に関するAppleの妥協は、国内外の政府機関を喜ばせることにはなっても、プライバシーとセキュリティ分野でのAppleのリーダーシップを信頼してきたユーザにとっては、衝撃の手のひら返しである。

同社がAppleデバイスに搭載しようとしてる機能は、大きく2つに分けられる。1つはiCloud Photoにアップロードされる写真をスキャンし、全米行方不明・被搾取児童センター（NCMEC：National Center for Missing & Exploited Children）が管理する既知の児童性虐待資料データベース（CSAM）の写真と照合する機能である。もう1つの機能は、子どものアカウント（未成年者の所有が登録されたアカウント）で送受信されるすべてのiMessageの画像をスキャンし、性的表現が含まれていないかを調べ、子どもが低年齢であれば、画像が送受信されると保護者に通知するというものである。この機能は、保護者がオン・オフを切り替えることができる。

Appleがこうした「クライアント・スキャン」機能をリリースすれば、iCloud Photoのユーザ、iMessageを使用する子どものユーザ、そしてiMessageで未成年者と対話する人は、この変更を踏まえてプライバシーとセキュリティの優先順位を慎重に検討しなくてはならなくなる。それまでは最も優れた暗号化メッセンジャーであったiMessageを安全に使用できなくなる可能性があるのだから。

悪用への扉を開くApple

これまで幾度も述べてきたが、今回も繰り返し言おう。子どもが送受信する性的画像にのみ使用できるクライアントサイド・スキャンシステムの構築は不可能である。たとえそのようなシステム構築を目指す善意の努力であろうと、結果としてメッセンジャーの暗号化自体の大前提を損ね、より幅広い悪用への道を開いてしまうことになる。

Appleが構築する“狭い”バックドアは容易に広げることができる。機械学習のパラメータを拡張すれば別の種類のコンテンツも探索できるし、構成フラグを微調整するだけで、子どもだけでなくすべてのアカウントをスキャンするようにもできる。これはいずれそのようなシステムになってしまうということではない。すでに完全に構築されたシステムであり、外部からの圧力によって僅かな変更が加えられるのを待っている状態である。たとえば最近インドで可決された規則には、プラットフォームがメッセージの送信元を特定し、コンテンツを事前審査せよという危険な要件が含まれている。エチオピアでは、24時間以内の「誤報」コンテンツの削除を義務づける新法が、メッセージングサービスにも適用される可能性がある。他にもさまざまな国（多くの場合、権威主義的な体制の国）で同様の法律が制定されている。今回のAppleの変更により、エンド・ツー・エンドのメッセージングサービスで、こうした法律が求めるスクリーニング、削除、通報が可能になる。悪用の例など容易に想像がつく。同性愛を禁止する政府がLGBTQ+コンテンツを制限するために、あるいは権威主義的な政府が人気の風刺画や抗議ビラを検出させるために、対象を拡大するよう圧力をかけてくることは明らかだ。

こうしたミッションクリープ（終わりなき拡大）は、すでに起こっている。本来は児童性虐待画像のハッシュ化のために開発された技術が、「テロリスト」コンテンツのデータベース作成に転用されている。このデータベースには企業も参加でき、テロコンテンツを禁止する目的でアクセスできる。データベースはテロ対抗のためのグローバルインターネットフォーラム（GIFCT：Global Internet Forum to Counter Terrorism）が管理しているが、市民社会からの再三の要請にもかからわず、外部監査が行われていないことが問題視されている。外部の監視を拒否する以上、このデータベースが過剰である可能性を否定できない。実際、プラットフォームは暴力や抑圧の記録、対抗言論、芸術、風刺などの批判的コンテンツに対して、定期的に「テロリズム」のフラグを（訳注：誤って）立てているのである。

iCloud Photosの画像スキャン＝プライバシーの低下

iCloud Photosにアップロードされた写真をスキャンするAppleの計画は、MicrosoftのPhotoDNAとの類似性が指摘できる。両者の主な違いは、Appleのスキャンがデバイス上で行われることだ。Appleは処理されたCSAM画像の（監査不可能な）データベースをオペレーティング・システム（OS）に配布し、処理された画像を不可視化するために変換した上で、その変換された画像とデバイス内部（の画像）との共通部分を用いて一致を検出する。このマッチングの結果はデバイスには通知されない。つまりこの機能が導入されると、すべてのiPhoneにNCMEC CSAMデータベースがアップロードされることになる。マッチングの結果はAppleに送信されるが、Appleは一致した写真の数が事前に設定された閾値を超えたときにのみ、一致したことを知ることができる。

一定数の写真が検出されると、その写真はApple社内の人間のレビュワーに送られ、CSAMデータベースのものと同一であるかが判断される。人間のレビュワーが一致を確認すると、その写真はNCMECに送信され、ユーザのアカウントは無効になる。繰り返しになるが、ここでの結論は、プライバシーやセキュリティ面での技術的詳細がどうであれ、iCloudにアップロードされたすべての写真がスキャンされるということである。

勘違いしてはならないのは、これはすべてのiCloud Photoユーザのプライバシーの低下であって、改善ではないということだ。

現在、AppleはiCloud Photoに保存された写真を閲覧する鍵を持っているが、それをスキャンしてはいない。市民団体はその（閲覧可能な）機能を削除するよう同社に求めてきたが、Appleはその要求とは逆のアプローチを選択し、ユーザのコンテンツの中身をより深く知ろうとしているのである。

 iMessageでの機械学習と保護者通知＝強力な暗号化の破棄

Appleのもう1つの新機能は、iMessageで送受信される写真をスキャンし、2種類の通知を行うことだ。この通知を実現するために、Appleは「性的に露骨な画像」を検出するための機械学習分類器（classifier ）をデバイスに展開していくという。Appleによれば、この機能は（開始時点では）ファミリーアカウントに登録された18歳未満の米国ユーザに限定される。この新しいプロセスでは、13歳未満の子どもが所有するアカウントが、デバイス上の機械学習分類器によって性的に露骨であると判断された画像を送信しようとした場合に、その13歳未満の子どもに対して、送信されるコンテンツについて保護者に通知するというポップアップ表示がされる。それでも13歳未満の子どもがコンテンツの送信を選択した場合、「保護者」に通知されることになる。画像は取り返しのつかないかたちでペアレンタル・コントロール・セクションに保存され、後に保護者が閲覧可能になる。13～17歳のユーザの場合は、保護者への通知機能はないものの、同様の警告がポップアップ表示される。

同様に、13歳未満の子どもがiMessageで「性的に露骨」と判断された画像を受信した場合、その写真の閲覧が許可される前に、（訳注：デバイス／アカウントのユーザである）13歳未満の子どもに「性的に露骨な画像を受信していることが保護者に通知される」という通知がポップアップ表示される。この場合も、13歳未満のユーザが画像の閲覧を承認すると、親に通知が行き、画像が携帯電話に保存される。

つまり、この機能がオフになっているiPhoneを未成年者が使用していた場合、この機能をオンにしている別の未成年者に写真を送信しても、iMessageが自分の画像を「性的に露骨」とみなしたという通知や、受信者の親に通知されるという通知は受け取れない。そして、受信者の親には、送信者が同意しなくても内容が通知されることになる。さらに、一度送信または受信した「性的に露骨な画像」は13歳未満のユーザのデバイスから削除することはできない（訳注：つまり、送信者がこの機能をオフにした未成年者で、自身の「性的に露骨な画像」を送信した場合、その画像が警告も通知もなく、受信者の保護者に閲覧されることになり、さらに保存され続けてしまうことになる）。

13歳未満のユーザは、こうしたコンテンツの送受信の前に、親に通知されないように送信しない／受信しないことを選択できる。だが、このような通知機能はAppleがユーザの肩越しに監視しているのと大差はない。13歳未満のユーザからすれば、実質的にAppleが保護者に与えた監視機能ということもできるだろう。

さらに、Appleが性的に露骨な画像を判別するために、監査が難しいことで知られる機械学習による分類技術を使用することも指摘しておかねばならない。長年の研究や調査から、人間の監督なしに使用される機械学習技術には、「性的に露骨」とされるコンテンツを含め、誤って分類するクセがあることを我々は知っている。2018年にブログプラットフォームのTumblrが性的コンテンツフィルターを実装した際、ポメラニアンの写真や、着衣の人物の自撮り写真など、ありとあらゆる種類の画像が「性的」とみなされたのはよく知られた話だ。また、ヌードを取り締まろうとしたFacebookも、コペンハーゲンの人魚姫像などよく知られた像の写真を削除している。このようなフィルターは表現を萎縮してきた歴史があり、Appleのフィルターも同様の結果をもたらすと考える根拠は十分にある。

「性的に露骨な画像」の検出には、デバイス上の機械学習を利用してメッセージ内容をスキャンすることになるため、AppleがiMessageを「エンド・ツー・エンドで暗号化されている」と謳うことは許されない。Appleとその支持者たちは、メッセージが暗号化前ないし復号後にスキャンされるため、「エンド・ツー・エンド」の約束は反故にはならないと主張するかもしれないが、強力な暗号化を支持してきた同社の手のひら返しをごまかすための言い逃れに過ぎない。

Appleが何と呼ぼうと、もはやセキュアなメッセージングではない

セキュアなメッセージング・システムとは、ユーザとその宛先の受信者以外がメッセージを閲覧したり、内容を分析して何が話されているのかを推測できないシステムを指す。エンド・ツー・エンド暗号化されていれば、メッセージがサーバを通過したとしても、サーバにメッセージの内容を知られることはない。そのサーバが、メッセージの大部分の内容に関する情報を明らかにするチャネルを有しているのであれば、それはエンド・ツー・エンド暗号化ではない。今回のケースでは、Appleはユーザが送受信した画像を見ることはないが、親に通知する画像をスキャンする分類器を作成することになる。そして、Appleは今後、ユーザのデバイスに送られる分類機に新たな学習データを追加したり、より広範囲の人々に通知を送ることが可能となり、言論の検閲や抑制が容易に行われうるようになってしまう。

問題はそれだけではない。このシステムは、子どもの利益を最優先に考えない親に、子どもを監視・管理する手段を与えるものであり、抑圧されている人々の世界を広げるというインターネットの可能性を潰すことにもなりかねない。また、家族に虐待者が含まれる場合には、家族間で共有するという機能がストーカーウェアとして悪用される可能性も想像に難くない。

ヒトは未成年者であろうとも、バックドアや検閲なしにプライベートなコミュニケーションを取る権利を有する。Appleはユーザのデバイスにこのようなバックドアを実装しないという正しい判断をくださなければならない。

Apple’s Plan to “Think Different” About Encryption Opens a Backdoor to Your Private Life | Electronic Frontier Foundation