ロシア政府の「信頼されたルート証明機関」を信頼してはならない

Electronic Frontier Foundation

先週、ロシア・デジタル開発通信省は、ロシア市民に政府公認のウェブブラウザをダウンロードするか、ブラウザの基本設定を変更するよう指示した。

こうした変更は、ロシア人が国際的な制裁を受けているウェブサイトや政府系サービスにアクセスするために不可避な側面もある。だが、ロシア政府がサービスを維持するために実施している応急的措置は、現在、そして将来に渡ってロシア市民の監視を可能にしてしまう。極めて憂慮すべき事態である。

ICANNとRIPEは、ロシアのトップレベルドメイン、ドメインネームシステムのルートサーバへのアクセス、IPアドレスの取り消しを求めるウクライナの要請を拒否した。だが、国際的な制裁はロシアのインターネットインフラに大打撃を与えている。ウェブ上のデータセキュリティを支える認証局（Certificate Authorities: CAs）が、「.ru」で終わるドメインからのオーダーを拒否しはじめ、ロシアに拠点を置く銀行の証明書を取り消したことも、その一因となっている。DigicertやSectigoといった国際的なCAがロシアのウェブサイトでほとんど機能しなくなったことで、ロシア政府が介入し、市民に “Russian Trusted Root CA “をインストールするよう提案しているのである。

ロシアの新たなルート証明機関の機能は完全には明らかにはされていないが、証明書の有効期限は10年間となっている。また、ドメインの証明書を発行するだけでなく、そのドメインと通信するユーザのトラフィックを監視（inspect ）する機能も備えている。

新たな“Russian Trusted Root CA”は10年間有効

この国家主導の新たなルートCAは、ロシアへの国際的な制裁が発端ではあるようだが、ロシア政府は以前からインターネットインフラを厳格に管理しようとする調光を見せている。ロシアは2019年に「主権インターネット」検閲法を可決し、昨年にはロシア政府グローバルインターネットからの切断テストを実施している。

インターネットは、伝送路やデータセンターだけで成り立つものではない。インターネットインフラには、ドメインネームシステムのリゾルバ、CA、インターネットゲートウェイ、ドメインレジストリなどの技術サービスも含まれる。ロシアという国家が、これらすべてのサービスを完全に国産化し、国家管理下に置くことにはかなりの困難を伴う。だが、それを試みるインセンティブは高まり続けている。たとえば、ネットワークハードウェア・メーカーのシスコは先日、ウクライナ侵攻を受けてロシア企業との関係を絶ち、ロシア政府による監視や検閲の強化には協力しない姿勢を鮮明にした（皮肉なことに、シスコはロシア以外の国の検閲の支援にはいささかの抵抗も無いようで、実際、同社は中国の「グレートファイアウォール」の構築に必要なカスタム技術の開発で中心的な役割を果たした）。

自己完結型の国家インターネット、いわゆる「スプリンターネット（splinternet）」は、国内の自立であると語られることもあるが、国家による監視のリスクを必然的に伴うことになる。これを試みた国はロシアが初めてではなく、2019年にカザフスタンが独自のルート証明書による無差別監視を試みている。またイランは「国際ゲートウェイ」管理法案を提出し、同国のアウトバウンドトラフィックを武装勢力と治安当局が管理する特別機関に経由させようとしている。EUでは、ユーザのセキュリティの名目で、セキュリティ保証をせず、異議申し立てもできないにもかかわらず、ブラウザ側に政府CAを義務づける提案もなされている。いずれも、他の（訳注：強権的な）政府にも実行可能な危険なテンプレートを用意するものである。

ロシアが国外のインターネットから自国を切り離すのか、それはいつになるのか、そもそも実行可能なのか、我々にはわからない。だが、ロシア侵攻に反対するたくさんの人々であれ、そしてロシア人であれ、我々のデジタルセキュリティはすでに危険にさらされているのである。ロシア市民がインストールを命じられたロシア政府の認証局は、インターネットユーザの暗号化プライバシー保護をバイパスできるようにし、今後10年に渡るデジタル監視への道を開くものになるだろう。

You Should Not Trust Russia’s New “Trusted Root CA” | Electronic Frontier Foundation