米国のVPNプロバイダーがLavabit事件を受けて消費者向けサービスを停止

カリフォルニアに拠点を置くVPNプロバイダーは、暗号鍵を米国政府に引き渡す代わりに、プライバシーに配慮したサービスを停止することを決定しました。これは、オンライン通信を監視するための政府の積極的な動きに起因する、いわば萎縮効果の継続としか言いようがありません。

サンフランシスコに拠点を置く小規模な仮想プライベートネットワーク（VPN）プロバイダーであるCryptoSealは、消費者向けサービスの終了を決定しました。同社のウェブサイトに掲載された通知には、「本通知をもって、当社の消費者向けVPNサービスであるCryptoSeal Privacyは即時終了します。サービスの運用に使用されているすべての暗号鍵はゼロフィルされました…サービスの運用に付随して作成されたすべての記録は、当社の能力の範囲内で削除されました。」と記載されています。

CryptoSealのCEOライアン・ラッキー氏は電子メールで、「当社は米国でこのようなサービスを安全に運営できるようにする技術システムに取り組んでいるが、最善の解決策は議会による立法措置であり、できればラバビット事件がうまく解決されることだと考えている」と述べた。

VPN はインターネットへの安全なトンネルであり、ユーザーが自分の位置を隠し、地域の制限を回避し、公衆 Wi-Fi 接続で安全を確保し、少なくとも最低限のオンラインプライバシーを維持できるようにします。

CryptoSealは、Lavabit事件を受けて消費者向け事業の閉鎖を決定したと発表した。Lavabitはセキュリティ意識の高いメールプロバイダーだったが、SSLセキュリティキーを米国政府に引き渡すよう強制されたことを受け、8月に事業を停止した。

「ペンレジスター命令により、当社のシステム全体の暗号鍵を引き渡さざるを得なくなるという結果は、当社の見解では不合理であり、おそらく違憲であるが、この問題が解決するまで、当社はサービスを進めることができない」と同社は電子メールで述べた。

ラッキー氏によると、同社の消費者向けサービスは顧客数が1,000人未満だったが、利益は出ていたという。

同社の消費者向けサービス「CryptoSeal Privacy」で使用されている暗号鍵は「ゼロフィル」されたとラッキー氏は述べている。サービスのユーザーログは保持していないものの、「サービスの運用に付随して作成されたすべての記録は、可能な限り削除済みです」。

ラッキー氏はメールの中で、企業向けVPNサービス「CryptoSeal Connect」はユーザーベースとリスクプロファイルが異なるため、引き続き提供されると述べた。「ユーザーは企業監視に同意しており、ユーザーは監視が求められる規制対象業界に属しています」と同氏は記している。

ラッキー氏はPCWorldへのメールで、「当社は2011年5月に設立されましたが、私は2010年10月から少し取り組んでいました。消費者向けサービスは2013年5月/6月に開始されました」と述べた。

背景

Lavabitは、政府から要請されたあるユーザーの通信をリアルタイムで監視することに即座に応じることができなかったため、SSLキーの引き渡しを求められました。Lavabitは、もし事業を継続していたら、SSLキーの引き渡しによって、政府は調査対象となっている1人のユーザー（おそらくNSAの内部告発者であるエドワード・スノーデン氏）だけでなく、Lavabitの全顧客の通信を監視できたはずだと述べています。

CryptoSealは声明の中で、同様の要求に迅速に対応することは「技術的に不可能」であると述べた。Lavabitのような状況に陥り、暗号鍵の引き渡しを求められるよりも、消費者向け製品の提供を停止することを決定した。

CryptoSealは声明の中で、政府が現在同社に暗号鍵の提出を求めているかどうかについては言及しなかった。しかし、声明の文面から判断すると、CryptoSealのサービス停止は、米国法執行機関による監視要請を回避するための予防措置だったようだ。

Lavabitとは異なり、CryptoSealは完全に事業を停止するわけではなく、企業顧客向けのVPNサービスを引き続き提供します。これは、Lavabitの訴訟を受けて8月にSilent Mailメールサービスを終了した、別のセキュア通信プロバイダーであるSilent Circleと似ています。Silent Circleはメリーランド州と英国にオフィスを構える暗号化通信プロバイダーで、現在は終了しているメールサービス以外にも様々なサービスを提供しています。

CryptoSealのサービス停止がどの程度のユーザーに影響を与えるかは不明ですが、おそらく少数でしょう。Googleのウェブキャッシュによると、CryptoSealは少なくとも10月16日水曜日からサービス停止の告知を出していました。しかし、サービス停止が注目を集めたのは、10月21日月曜日にCryptoSealユーザーがYcombinatorのHacker Newsにサービス停止について投稿した時でした。

2013年10月22日午前8時55分（太平洋標準時）にIDGニュースサービスから提供されたCryptoSealの回答を更新しました。