信頼できるID、IDエコシステム、インターネット運転免許証など、様々な名称で呼ばれていますが、基本的な考え方は常に同じです。つまり、説明責任を強化し、詐欺や個人情報窃盗に対抗し、サイバー犯罪の抑止力となる単一のオンライン認証システムを構築することです。長年にわたり、民間部門でこのような計画が数多く提案され、何度も失敗してきました。そして、それには十分な理由があります。これらの計画は非現実的であるだけでなく、歴史を無視し、オンラインで直面する主要な脅威を混同し、そして何よりも最悪なことに、利益よりもはるかに多くの害をもたらす可能性があるのです。
この議論の反対側を見るには、ここをクリックして、私たちの賛否両論の「論点」をお読みください。
まずは、比較的最近の計画の一つ（ただし、最新のものではありません。最新の計画は、デンマーク警察が提案した、オンライン上の匿名性を完全に禁止するという新しい提案です）から始めましょう。オバマ政権の連合型インターネットIDシステムです。「サイバースペースにおける信頼できるアイデンティティのための国家戦略（.pdf）」、または単に「N-Stick」とも呼ばれるこの政府主導の提案は、オンライン詐欺や個人情報窃盗を削減すると同時に、電子商取引の円滑化を目指しています。
Nスティック
表面的には、この構想には賞賛すべき点が数多くある。経済的にも個人的な面でも、私たちがウェブへの依存度を高めていることを認識しているだけでなく、「個人、組織、サービス、デバイスが互いに信頼できるオンライン環境」の構築に向けて取り組むことを約束している。しかも、個人情報は一切漏洩しない形で実現するという。政権は、このような政府運営のプログラムは本質的に疑わしいと認識するほど賢明だったため、NSTICを商務省主導で民間部門が実施する、完全に「オプトイン」型のシステムとした。
話が良すぎるように聞こえるなら、それは事実です。もう少し深く考えてみると、NSTICは実際にはサイバーユートピアの空想に過ぎません。善意、高尚な目標、プライバシーの保証といった言葉の裏に隠されたこの計画は、せいぜい国民に、明らかに誤った安心感、プライバシー、そしてコントロールの感覚を与えるだけでしょう。最悪の場合、対処しなければならない、新たなプライバシーの悪夢を次々と生み出すことになるかもしれません。
ここに問題があります。いや、むしろ問題点があります。オンラインIDスキームによくあることですが、NSTICの目標達成は「状況に応じて解決策を見つけ出そう」というアプローチに陥っています。技術的な保証、ID発行に対する政府の権限、国籍、匿名性、さらにはインセンティブやビジネスモデルといった疑問は、どれも未解決のままです。必要な詳細が欠如した計画はどれもそうですが、答えよりも多くの疑問を生じさせる傾向があります。確かに、これらの取り組みは実行が難しいことは認めざるを得ません（特に、インターネットという広大な未開の世界を相手にしていることを考えると）。しかし、規制政策や手続き上の安全策に取り組まずに前進するのは無責任であり、率直に言って時間の無駄です。同様のスキームが過去にも試みられ、全く同じ理由で失敗していることを考えると、政府にとってこれはもはや明白なはずです。では、オバマ政権はなぜ、マイクロソフトやグーグルのような企業が既に失敗しているのに、NSTICが成功すると考えているのでしょうか？ええ、それもよく分かりません。
ACLUの言論・プライバシー・テクノロジープログラムのジェイ・スタンリー氏は、この問題を次のように簡潔にまとめている。「[NSTIC]は基本的に戦略であり、計画ではない。」
実際のリスクとは何ですか?
同様に、この戦略の立案者たちは、私たちが実際にオンラインで直面する主要なリスクについて、根本的に誤解しているように思われます。この場合、インターネットでのトラブルのほとんどは認証が不十分であることが原因であるという前提が根底にあります。コロンビア大学のコンピュータサイエンス教授、スティーブ・ベロビン氏に聞けば、これは明らかに誤りだと断言できます。USENETの構築に尽力した彼なら、おそらくそのことを知っているはずです。パスワードベースのセキュリティには多くの欠陥があるのは事実ですが、私たちが常に直面している最大の問題は（そして今もなお）バグのあるコードだとベロビン氏は言います。実際、政府のNSTIC草案への最初の回答で彼が指摘したように、「世界中のあらゆる認証システムをもってしても、認証システムを迂回する悪者を阻止することはできない」のです。
これは様々な方法で実行されてきました（そして実際に実行されています）。ハッカーは認証が行われる前に、悪用できるバグを見つけることができます。また、認証システム自体の中にバグを見つけることもできます。単純な事実として、インターネットにはバグのあるネットワークサーバーが溢れています。実際、バグのあるコードはあらゆる大規模コンピュータプログラムの一部であり、ソフトウェアの複雑さが直接招きます。マルウェアに遭遇したことがある人なら、このことはよく知っているはずです。
また、NSTICが既存のシステム以上に私たちのオンライン上の匿名性を守ってくれるという見方も疑わしい。政府は「信頼できる第三者」や個人情報を漏洩しない「リンク不可能な」証明書の利用の利点を喧伝しているが、結局のところ「誰かがどこかの時点で、あなたが本当に本人であることを確認し、認証している」と、電子フロンティア財団のシニアスタッフ弁護士、リー・ティエン氏は述べている。
「では、問題は、認証機関はあなたのデータを具体的にどう使っているのか、という点です。」彼らは政府や警察にデータを引き渡すよう強制される可能性はあるのでしょうか？ また、第三者の話だとしたら、最終的には、その貴重な情報を金儲けしようとする動きが出てくるのではないでしょうか？ そうでなければ、関係企業は一体どうやって利益を得るのでしょうか？ 繰り返しますが、肝心なのは、これらの認証情報は依然としてインターネット上のどこかに残り続けるということです。つまり、それをホストする者は（たとえ中央データベースがなくても）、IDの匿名性を解除し、個人に紐付けることも可能になるということです。皆さん、これは匿名性ではありません。
すべてのセキュリティ対策を政府の単一のバスケットに
そして、ウェブへの単一のアクセスポイントを使うことの無数の危険性も忘れてはなりません。オバマ政権の「アイデンティティ・エコシステム」の鍵となるのは、まさにこの種の認証情報の利用です。これは、スマートフォンやスマートカードに搭載され、ワンタイムのデジタルパスワードを生成する独自のソフトウェアの形をとる可能性があり、計画によれば、このアプローチにより、煩わしいパスワードをすべて記憶する必要がなくなるとのことです。素晴らしいと思いませんか？しかし、それは違います。
どれほど強力な認証方式であっても、単一の「信頼できる」認証情報に切り替えればオンライン上の安全性が向上すると疑うなら、ニュースを注意深く見ていないことになります。NSTICが実際に行うことは、ハッカーやサイバー犯罪者にとって、またしても格好の標的を生み出すことです。そして、そのような認証情報が漏洩した場合、一体何が起こるのでしょうか？誰が責任を負うのでしょうか？これらもまた、政府が答えを出していない疑問です。
最後に、政府はシステム全体をオプトイン方式にすることを計画しているという事実があります。これは国民のビッグブラザーに対する恐怖を和らげるのに役立つかもしれませんが、この計画が効果を発揮するには、世界中で実際に導入される必要があります。実際、NSTICの成功の根幹は、大規模な導入にかかっています。そして現時点では、特に未解決の疑問や保証の欠如を考えると、誰かが急いで登録するだろうと考える理由はありません。
強制IDはさらに悪い
こうしたオプトインの取り組みは、インターネットの強制ライセンスという、より奇妙な領域へと私たちを導きます。これは、驚くほど多くの著名なセキュリティ専門家や技術者が支持するもう一つの計画です。これはインターネットの運転免許証のようなものだと考えてみてください。すべての市民がハードウェアIDという形で一種の学習許可証を取得し、事前に承認された特定のサイトにアクセスできるようになります。責任あるブラウジングをすれば問題ありません。しかし、少しでも違反を犯せば、追跡され、サイバー攻撃を受ける覚悟が必要です。
これらの計画の背後には二つの根拠がある。第一に、支持者たちはサイバー犯罪の取り締まりがますます困難になっており、インターネット、特にコンピューターは銃や車と同じくらい危険になり得ると強調する。第二に、こうした賢明な人々の多くは、私たちは既にウェブ上でプライバシーを失っていると主張する。ISPは私たちに関するあらゆる情報を把握しており、携帯電話は私たちがどこにいても追跡している。では、なぜ私たちはオンライン上で真に匿名であるなどという幻想を抱いているのだろうか？
これはまさに、セキュリティ界の巨人カスペルスキー研究所のCEOユージン・カスペルスキー氏や、マイクロソフトの最高研究戦略責任者クレイグ・マンディー氏などの支持者が、こうしたシステムを合理化するために用いているものである。
「車を購入すると、車は登録され、運転免許証も取得します」と、カスペルスキー氏は2010年にこの問題について書いたエッセイで述べています。「銃を所有したい場合も同様です。銃は、それを購入した人に登録されます。問題はなぜでしょうか？それは危険だからです。コンピューターは、銃や車よりもはるかに大きな危害を及ぼす可能性があります。」
これは誤解を招くだけでなく、事実上ほぼすべての点で間違っています。普通の銃や車の所有者でさえ、甚大な被害をもたらす可能性があります。平均的なインターネットユーザーの場合はどうでしょうか？それほどではありません。大規模なコンピューターネットワーク（ボットネットなど）が危険になり得ることは事実ですが、それを殺傷兵器と同一視するのはあまりにも馬鹿げています。この論理は（NSTIC計画と同様に）、認証が実際には大きな問題ではなく、ソフトウェアの不良コードと、それを悪用する人々やプログラムが問題であることを認識していません。さらに、プライバシーは死に絶え、ISPは既に私たちに関するすべてを知っているという論理であれば、これらの必須IDはなぜ必要なのでしょうか？既に知られている何かまたは誰かを認証するのですか？それは単にビッグブラザーに連絡して必要な情報を得るだけの問題でしょう。
NSTICと同様に、インターネットIDの義務化には規模の問題があります。このような計画が実用化に近づくためには、やはり大規模な導入が必要です。各国が何らかの形で一致団結し、普遍的なオンラインIDシステムを承認すると想定するのは、あまりにもナイーブすぎます。ましてや、プライバシーに深刻な影響を与えるシステムであればなおさらです。
不十分な解決策
結論は？現在の安全対策は不完全で断片的であるとはいえ、ハッカーに悪用される可能性のある新たなオンラインIDを作成することは、プライバシーの強化やオンライン取引に対する人々の安心感の向上には繋がらない。確かに、インターネットは世界的なマスコミュニケーションシステムとして設計されたわけではない。しかし、まさにそのように進化してきた。そして、法的に完全に整備される前に、遡及的に監視したり、新しいセキュリティ対策の大規模な導入を強制したりすることは、まさに破滅を招くだけだ。実際、いわゆる「信頼できるID」制度は、問題の根本原因を真に解決できる、明らかに魅力のない解決策を覆い隠しているだけなのだ。オンライン詐欺への意識向上を継続し、法的な安全対策を実施することが重要なのだ。
結局のところ、信頼できるアイデンティティエコシステムの真の目的は、真の匿名性を排除することにあります。そして、もしあなたがオンラインで「イケてる」人間だと誰もが知っていたら、インターネットをこれほどまでにユニークで貴重なものにしている要素そのものが変わってしまうのです。
