ウェブは荒々しい世界です。NSA以外にも、あなたを狙う者が潜んでいます。いわゆる「シックス・ストライク・アンチパイラシー・イニシアチブ」が本格化している今、ハリウッドがあなたのピアツーピア活動を監視しているかどうかは分かりません。さらに、悪意のあるハッカーがメール、Facebook、Twitterのパスワードをリセットしようと試みることもあります。
完全な隠遁生活を送る以外に、どんなセキュリティ対策も100%の安全を確保することはできません。しかし、いくつかの簡単な予防策を講じることで、オンラインでのプライバシーを維持し、よほどの悪意のある者以外を阻止することは可能です。
ラインを確保する
オンラインセキュリティにおいて最も深刻なミスの一つは、メール、銀行、その他の機密性の高いアカウントに公共Wi-Fi経由で接続することです。カフェ、ホテル、空港などで多くの時間を過ごすなど、どうしても公共Wi-Fiを使わざるを得ない場合は、仮想プライベートネットワーク（VPN）へのアクセス料金を支払えば、公共ネットワークでのプライバシーを大幅に向上させることができます。
VPN は暗号化されたトンネルとして機能し、悪意のある人物がユーザーとインターネットの間に侵入してログイン認証情報やその他の機密情報を盗むことを防ぎます。
これはVPNを使用する大きな理由ですが、それだけではありません。インターネットサービスプロバイダーに自宅でのオンラインアクティビティを監視してもらいたくない場合もあるでしょう。通常、インターネットに接続すると、ISPはすべてのアクティビティを監視できます。しかし、VPNを経由すれば、ISPはVPNへの接続のみを把握できます。さらに、多くのVPNはAmazon、Hulu、Netflix、BBCのiPlayerなどのサイトの地域制限を回避できます。
しかし、すべてのサービスプロバイダーが同等というわけではありません。一部のVPNサービスは、ユーザーのブラウジングアクティビティをすべて記録するため、プライバシー保護のためにVPNを使用する意味がなくなります。
堅実なVPNの選択肢の一つとして、スウェーデンに拠点を置くIPredatorがあります。これは月額8ドルのサービスで、悪名高いトレント追跡サイト「The Pirate Bay」と提携しています。この提携に少し不安を感じるかもしれませんが、このサービスでは匿名性が最優先されていることは明らかです。IPredatorはユーザーのトラフィックデータを一切記録しないと謳っており、IPredatorサポートへのメール送信時にはPGP暗号化も使用できます。
プライバシー重視の層で人気のもう一つの選択肢はPrivate Internet Accessで、こちらもトラフィックを一切記録しないと謳っています。PIAの料金は月額7ドルですが、年間契約の場合は40ドルで購入できます。PIAは、米国、カナダ、英国、そしてヨーロッパ大陸の一部の国における地域制限を回避できます。
VPNはプライバシー保護に非常に効果的ですが、ここでお勧めするVPNは、FacebookやGoogleなどのウェブサイト運営企業によるブラウジングアクティビティのログ記録を阻止することはできません。ブラウザのシークレットモードを使用しても、完全に匿名性を保つことはできませんが、ウェブサイトがブラウザに保存されているCookieや履歴を読み取ってユーザー情報を取得するのをブロックできます。
クラウドに個人情報を残すのはやめましょう
Dropbox、Google Drive、SkyDriveといったオンラインファイル同期サービスは、インターネットを彩る最高のイノベーションの一つです。しかし、Dropboxで最新の写真を閲覧したり、iCloudからテキストドキュメントを取得したりといった利便性は素晴らしい一方で、多くのデータは企業のサーバー上に、暗号化されていない状態、あるいはユーザーの制御が及ばない暗号化レイヤーで保護された状態で保存されています。
つまり、あなたのデータは、適切な書類を入手した法執行機関に公開されるということです。たとえ、あなたのデータを見る客観的な根拠がいかに乏しくてもです。そして、情報に精通したハッカーであれば、ソーシャルエンジニアリングの手法、企業のサーバーセキュリティの弱点の発見、あるいはパスワードを推測しようとするブルートフォース攻撃などによって、あなたのアカウントに侵入することが可能です。
デバイス間で同期する必要がある機密データの場合は、暗号化されたクラウドストレージサービスを使用する方がよいでしょう。BoxCryptorやオープンソースのTrueCryptなどの無料ソフトウェアを使用して、PCでデータを暗号化してからDropboxに送信することで、自分でクラウドストレージサービスを構築できます。
ただし、はるかに簡単な方法は、組み込みのストレージ暗号化を提供するファイル同期サービスを見つけることです。
人気の暗号化ストレージサービスには、SpiderOakとWuala（発音はvoilà）があります。どちらのサービスも「ゼロ知識ソリューション」を謳っており、ユーザーがサーバー上に何を保存しているかをサービス側は把握しておらず、たとえ把握したくてもほとんど不可能です。例えばSpiderOakを使用すると、ユーザーが選択したパスワードはSpiderOakクライアントによって生成される暗号化キーに組み込まれます。量子コンピュータや偶然の推測を除けば、たとえSpiderOakの従業員であっても、ユーザーのファイルにアクセスする唯一の方法は、パスワードを入力することです。パスワード作成のベストプラクティスでは、文字、数字、記号を組み合わせた10文字以上のフレーズを選択することが推奨されています。
SpiderOakやWualaのようなサービスの欠点は、パスワードを忘れた場合、ほとんどどうしようもないことです。どちらの会社も、パスワードを回復する方法はなく、登録時に入力したパスワードのヒントしか提供できないと述べています。
厳格な標準セキュリティにもかかわらず、両サービスでは安全性の低い方法でデータにアクセスすることが可能です。SpiderOakのウェブサイトまたはモバイルデバイスからSpiderOakアカウントにログインすると、パスワードはセッション中、暗号化されたメモリに保存されます。SpiderOakによると、サーバーにアクセスできる人物によってデータが読み取られる可能性があるのは、この状況のみです。プライバシーを最大限に確保するには、SpiderOakのデスクトップクライアントからのみファイルにアクセスしてください。
Wualaは、PCと同様にモバイルデバイス上でデータの暗号化と復号化を行うと主張しています。しかし、WualaからWebリンクを使ってフォルダを共有する場合、暗号化キーがURLに含まれます。そのため、URLを受け取った人は誰でもそのフォルダの内容を閲覧でき、復号化のためにキーをWualaのサーバーに送信する必要があります。Wualaは、復号化後にキーを「忘れる」と主張していますが、それでもWualaの安全性は低いと言えるでしょう。
イリノイ州に拠点を置くSpiderOakは、2GBの無料オンラインストレージを提供しています。これは、デバイス間で同期する必要があるミッションクリティカルな文書を保存するには十分な容量です。さらに大きなストレージが必要な場合は、スイスに拠点を置くWualaは5GBを無料で提供しています。
どちらのサービスもバックアップ機能とDropboxのような機能を備えています。SpiderOakのHive同期はPC上の特別なフォルダとして保存され、WualaはネットワークドライブとしてPCと同期します。
あらゆるオンラインの安全なサービスと同様に、その会社に満足し、そのサービスがデータの安全を保つために主張していることを実行していると信頼する必要があります。
2要素認証でオンラインサービスを安全に
オンラインサービスを安全に保つための第一の防御策は、すべてのアカウントに10文字以上のユニークでランダムなパスワードを使用することです。ただし、パスワードは信頼できるパスワードマネージャーに保存することを忘れないでください。さらにセキュリティを強化するには、Google、Facebook、その他2段階認証を提供するすべてのサービスで2段階認証を有効にしてください。
2段階認証では、アカウントにアクセスする前に、パスワードに加えて短い数字のコードを入力する必要があります。このコードは通常、物理的なキーフォブまたはスマートフォンアプリから発行されます。幸いなことに、ほとんどの2段階認証コードはAndroidおよびiOS向けのGoogle Authenticatorアプリから取得できます。
Authenticatorは、Dropbox、Evernote、Google、LastPass、Microsoftなどのアカウントと自動的に連携します。Facebookはモバイルアプリ内で独自のコードジェネレーターを提供していますが、AuthenticatorにFacebookを追加することもできます。Facebookのニュースフィードから、右上の設定アイコンをクリックし、「アカウント設定」を選択してください。
次のページで、左側のナビゲーション列にある「セキュリティ」をクリックします。「セキュリティ設定」の下にある「コードジェネレーター」メニューオプションを探し、その右端にある「編集」をクリックします。
「セキュリティ コードを取得する別の方法を設定します」という文の最初の 2 つの単語のリンクをクリックします。
ポップアップウィンドウにQRコードが表示されます。Authenticatorを開き、「エントリを追加」オプションに移動して「バーコードをスキャン」を選択し、スマートフォンのカメラをモニター上のQRコードに向けます。数秒後、スマートフォンがFacebookアカウントのコードを識別し、Authenticatorに追加します。AuthenticatorでFacebookコードを入力し、すべてが正常に動作していることを確認したら完了です。
二段階認証は万能ではありませんが、アカウントへの侵入を阻止するためのハードルを高めることはできます。Twitterは独自の二段階認証を提供していますが、その方法はGoogle Authenticatorと互換性がありません。前回確認した時点では、Twitterの認証方法にはまだ改善すべき点がいくつかありました。
二要素認証だけではセキュリティ対策が不十分な場合は、すべてのオンラインアカウントで使用している予備のメールアドレスを見直しましょう。パスワード回復用のメールアドレスとして、1つまたは複数の固有のメールアドレスを使用することを検討してください。ただし、これらのメールアドレスを個人用メールに絶対に使用せず、他のアカウントと重複しないよう注意してください。
VPN、暗号化ストレージ、そして二要素認証は、データを安全に保ち、オンラインアクティビティのプライバシーを可能な限り確保するための優れたツールです。特にAuthenticatorで追加のコードを入力する際は、操作が少し面倒に感じることもあります。しかし、ハッキングを阻止できたのにハッキングされてしまった場合の大きな頭痛に耐えるよりは、今ちょっとした頭痛に対処する方がずっと楽です。
