暗号通貨ユーザーのためのネットワーク・セキュリティ(2)
この記事について
以下の記事の続きです。
https://spotlight.soy/detail?article_id=bj8t69tml
ルーターのセキュリティ
最も身近なネットワーク機器といえばルーターですが、家庭用ルーターは残念ながら非常に脆弱なものが多いです。
ルーターのセキュリティについて詳細に解説しているウェブサイトがあります。
https://routersecurity.org/
可能な限りルーターの機能は削り、各種脆弱なデフォルト設定を変え、パスワードとSSIDをデフォルトのものから変更しておくことが重要です。
具体的には
- UPNPの無効化
- ポート制限
- 可能であればサブネットの変更(192.168.0.1/24 から 10.33.199.1/24 に変えるなど)
- 管理画面パスワード変更
などです。
古い家庭用ルーターはアップデートができないものもあります。可能な限りポートを閉じ、必要であればローカルVPNで内部のネットワークをつなぎましょう。
また、選択肢として可能であれば、常にWifiではなく有線通信を利用しましょう。ローカルネットワーク内における盗聴や通信改ざんのリスクはそれだけで非常に小さくなります。
ISPのセキュリティ
ISPというのはインターネットプロバイダとしてインターネットとユーザーの仲介をする巨大なネットワーク管理者です。
このISPにも匿名性や攻撃耐性の概念が存在します。
国際的な例を挙げると、日本から欧州のサーバーに通る経路で地理的に最も近いのはロシアを経由するものですが、インフラの都合上ロシアとの回線は非常に細いものです。シベリア地域は人口密度が低いので集中的に太い回線を置く意味がないのです。インターネットは最適な経路でパケットをルーティングするので、日本から欧州にパケットを送る場合、かなりの割合で米国を経由することになります。米国は通信傍受で前科がある国です（最近NSAの電話盗聴プログラムは廃棄され、インターネット監視も割に合わないとして表向きはなくなるようですが(https://nakedsecurity.sophos.com/2019/04/26/nsa-asks-to-end-mass-phone-surveillance/, https://www.nytimes.com/2019/03/04/us/politics/nsa-phone-records-program-shut-down.html )この国を経由しないと他のネットワークに接続できないのはセキュリティ上よくないことです。
できるだけアメリカを通らない経路を使おうとする場合は、複数のVPNやプロキシをチェーンさせることになります。
例:
> フランス<->インド<->シンガポール<->日本NTT (TATA)
>
> スウェーデン/フィンランド(フランス経由?)<->香港<->日本NTT(Telia)
>
> ロシア<->ウラジオストク<->日本KDDI(mongo)
> (モンゴル本国へはアメリカ経由、モンゴル資本のロシア内ISP)
>
> イギリス<->日本 (謎？) IIJ
参考: ロンドン<->東京 回線のISPを発見
https://medium.com/@samejima/%E3%83%AD%E3%83%B3%E3%83%89%E3%83%B3-%E6%9D%B1%E4%BA%AC-%E5%9B%9E%E7%B7%9A%E3%81%AEisp%E3%82%92%E7%99%BA%E8%A6%8B-1ec3f2e1b49f
参考: 陸揚げ拠点、北海道が有力 日欧通信ケーブル 現実味
https://www.nikkan.co.jp/articles/view/00479593)
国内の例を挙げると、ISPにも様々な種類があり、その中にはログをどのくらいの期間保存するかで差があります。もちろん匿名性のためにはログの保存期間は短い方が良いです。最新の情報は不明ですが、一覧があるので参考にするといいと思います。
https://kandato.jp/term/%E3%83%AD%E3%82%B0%E4%BF%9D%E5%AD%98%E6%9C%9F%E9%96%93/
参考: ネット履歴を「残せ」警察庁vs「消せ」総務省
https://president.jp/articles/-/9687
安全な構成
Tails OSを使うか、あるいは普通のOSであってもTorブラウザやTorの設定をしたソフトウェアを使うだけで本来は十分です。もしISPが敵対的であったり、自国政府が信頼できなかったり、Torの中央ディレクトリが西側諸国に支配されていると考えたり、将来的に検閲が導入されることを危惧しているのであれば、以下のようなパラノイア的構成を使うこともできます。
ファームウェアの更新が遅くサポートも十分でないISP指定の家庭用ルータは、自分のネットワーク内であっても盲目的に信頼すべきではありません。
LinuxかBSDをインストールした不要なノートPCを信頼できないルーターに直接繋いで、VPNで内外をつなぐルーターにするといいでしょう。
この自作ルーター(A)には
- socksプロキシサーバ
- 内部用ネットワークのVPNサーバー(または有線で直接接続する場合はdhcpサーバー)
- 外部接続用のVPNクライアント
- VPNを多重化するソフトウェア (例えばVPN-Chain https://github.com/TensorTom/VPN-Chain)
- キルスイッチ用ファイアウォール(pf, iptables)
- 必要であれば検閲耐性のあるソフトウェア(shadowsocks, l2tp-ipsecのvpnなど)
を入れておきます。また、上の基準で消去法で選んだ複数のVPNプロバイダからダウンロードした設定ファイルを最低2つ用意します。
自分の家のIPアドレスから直接見えるVPN(a)とさらにそのVPN(a)上から接続するVPN(b)を考えます。
- (a)はサーバーの数の多さではなく、質と安定性を売りにしている、個人で運営しているような小規模VPNや、格安のコンテナ型VPSを買って自作したVPNでもよいでしょう。どうせ(a)の接続先IPアドレスはほとんど変える必要がないので大きなVPNサービスを利用する意味はあまり無いです。
- (b)は中間ノードとして振る舞うのでサーバーの数が多い、人気のVPNを使うといいでしょう。定期的に中間サーバーを変えると精神衛生上良いです。
さらに、AにVPN接続する、常時稼働する別のコンピュータBを用意します。
Bでは以下のようなソフトウェアを常時動かします
- 帯域設定をしたbittorrentクライアント(LinuxのDVDなど合法なものに限ってダウンロードと再配布を行う)
- 帯域設定をしたi2pd
- その他ランダムな通信を継続的に発生させるソフトウェア(RSSフィードリーダーのサーバー、クローラー、中身の無いTor Hidden Serviceのウェブサーバー etc.)
自分が普段使うPCやスマートフォンなどのクライアントをCとし、CもローカルVPN経由またはAのプロキシサーバ経由で別のVPNサーバに接続します。CがAのプロキシサーバ経由で使うVPNは接続する度にIPアドレスが変わるようにしておきます。またLinuxの場合はcreate_apというツールを使うことでアクセスポイントを直接作成できます（ハードウェアが対応している必要があります）。
この状況では
- ISPが接続タイミングで通信を特定することが難しい(Bのソフトウェアによる撹乱があるため)
- ISPが直接接続しているIPアドレスと実際に出口として使われるIPアドレスが異なるため、接続先のIPアドレスから全国のISPに照会をかけても接続点が互いに国交のない外国にある場合などは特定が事実上不可能になる
- ISPから見ると全ての通信は単一のIPアドレスとの恒常的な通信に見える
- 全体としてはVPNを利用した高速なTorのように振る舞う
- VPNの接続順序と地理的な関係を上手に選べばアメリカを経由せずに常時EUやロシアとの通信が可能になる
ような状況になります。
ここでさらにオーバーレイ・ネットワークとしてCからTorやAのプロキシサーバ経由のVPN/Tor接続を行い、日常のブラウジングを行います。
VPNを中継するわけではなくTorのように多段化しているので中間の3つのVPN事業者のうち一箇所でもログ提出を拒否するところがあれば発信元の特定は困難になります。
課題としては
- VPNの１つでも通信が不安定になると全体が不安定になる
- Aのルーター内に接続先情報が残っているためハードウェアに直接触られると脆い（A,Cをフルディスク暗号化しておくことである程度防げる）
- 金がかかる（工夫次第で月700円以下まで下げることは可能だが、コストを顧みない構成だと月2000-3000円掛かることにもなりうる。転売されているアカウントは別のリスクがある）
- 既に遅いTor/Tails OSの通信は更に遅くなる
などがあります。
暗号通貨との関連
ネットワークを匿名化しないと、トランザクションの情報はIPアドレスと紐付いて記録され、プライバシーが侵害される可能性があります。
ビットコインの全体としての仕組み自体は匿名性なしでも成り立つものですが、利用者側から見て様々な防御策は必要です。
また、今後世界的に国家によるネットワークの妨害が中国以上に厳しくなり、容易にネットワークへの接続ができない状態になってしまうとビットコインの利用が困難になる可能性も考えられます。そのような事態が本当に来るかどうかはわかりませんが、悪い方に考えて予め対策しておくのは重要です。
多くのオーバーレイ・ネットワークによる匿名化技術を使うこともセキュリティを高めますが、ルーターの設定など身近な穴を潰していくことも重要です。「安全な構成」であげたようなネットワークを作る必要性は現在の日本では薄いので、ルーターのセキュリティ設定を見直すところと、Tails OSを余ったUSBメモリにインストールしてみるところから始めてみると効率が良いと思われます。
過去記事リスト
暗号通貨ユーザーのためのネットワーク・セキュリティ(1)
https://spotlight.soy/detail?article_id=bj8t69tml
暗号通貨ユーザーのためのネットワーク・セキュリティ(2)
https://spotlight.soy/detail?article_id=xwada9rw4
暗号通貨のプレマインについてもう一度考えてみる (1)
https://spotlight.soy/detail?article_id=f18pngmal
暗号通貨のプレマインについてもう一度考えてみる (2)
https://spotlight.soy/detail?article_id=w19kfuoxb
サイドチェーン完全に理解した(1)
https://spotlight.soy/detail?article_id=fuhmf3v4a
サイドチェーン完全に理解した(2)
https://spotlight.soy/detail?article_id=09td38ogu
ビットコインのサイドチェーンがもたらすメリットとアルトコインへの負の影響 | サイドチェーン完全に理解した(3)
https://spotlight.soy/detail?article_id=xenqycujl
サイドチェーンの問題点を考える | サイドチェーン完全に理解した(4)
https://spotlight.soy/detail?article_id=1lkzboesj
サイドチェーンはこうやって使う | サイドチェーン完全に理解した(5)
https://spotlight.soy/detail?article_id=693eud9j7
ビットコインのサイドチェーンがもたらす不都合な未来 | サイドチェーン完全に理解した(6)
https://spotlight.soy/detail?article_id=cj4sgrxim
Ethereumをもう一度ちゃんと批判する
https://spotlight.soy/detail?article_id=evrs1yn3d
詐欺とは何であるか
https://spotlight.soy/detail?article_id=7rwt4fj9s
[翻訳] レジスタンスの公理
https://spotlight.soy/detail?article_id=8vknao9mr
写真: https://en.wikipedia.org/wiki/File:Ethernet_port.jpg
This file is licensed under the Creative Commons Attribution-Share Alike 4.0 International license.
You are free:to share – to copy, distribute and transmit the work
to remix – to adapt the work
Under the following conditions:attribution – You must give appropriate credit, provide a link to the license, and indicate if changes were made. You may do so in any reasonable manner, but not in any way that suggests the licensor endorses you or your use.
share alike – If you remix, transform, or build upon the material, you must distribute your contributions under the same or compatible license as the original.
