Facebook（フェイスブック）改めMeta（メタ）が、エンド・ツー・エンド暗号化を同社の全サービスに全面展開することを「2023年中まで」延期する。このことは、同社の安全部門のグローバル責任者であるAntigone Davis（アンティゴン・デイビス）氏が英国のTelegraph（テレグラフ）紙に寄稿した論説記事によって明らかになった。
Facebook傘下のWhatsApp（ワッツアップ）には、すでに2016年からエンド・ツー・エンド暗号化が全面的に導入されているが、ユーザーがメッセージデータを暗号化する鍵をユーザーのみに持たせるこの機能は、同社の他の多くのサービスではまだ提供されていない。つまり、エンド・ツー・エンド暗号化が提供されていないそれらのサービスでは、メッセージデータを公権力に提供するよう召喚されたり令状が発行されたりする可能性があるということだ。
しかし、Facebook創業者のMark Zuckerberg（マーク・ザッカーバーグ）氏は、Cambridge Analytica（ケンブリッジ・アナリティカ）のデータ不正利用スキャンダルを受けて、2019年にはすでに「プライバシー重視のプラットフォームへと転換させる」取り組みの一環としてエンド・ツー・エンド暗号化を同社の全サービスに全面導入する計画であることを発表した。
ザッカーバーグ氏は当時、エンド・ツー・エンド暗号化の全面導入の完了時期について具体的な日程には言及しなかったが、Facebookは2021年初めに、2022年中には全面導入が完了する予定であると示唆していた。
それがこの度、同社は、2023年中の「いずれかの時点」まで完了する予定はないと発表した。明らかに先送りされているようだ。
デイビス氏によると、今回の延期は、子どもの安全に関わる捜査を支援するために情報を法執行機関に提供する能力を同社が保持できるようにして、安全性を確保しながらエンド・ツー・エンド暗号化を実装することに時間をかけたいと同社が希望しているためだという。
デイビス氏は次のように語る。「当社でもそうだが、ユーザーのメッセージにアクセスできない状態で、テック企業が虐待問題に立ち向かい続けることと法執行機関の重要な任務をサポートし続けることをどのように両立できるのかという点については、今も議論が続いている。プライバシーと安全性のどちらかを選ばなければならないような状態にしてはいけないと当社は考えている。だからこそ当社は、適切な方法でこの技術を導入するために、強力な安全対策を計画に盛り込み、プライバシー分野や安全分野の専門家、市民社会、政府と協力している」。さらに、同社は「プロアクティブな検知テクノロジー」を使用して不審なアクティビティを特定することに加え、ユーザーのコントロール権限を強化し、問題を報告する能力をユーザーに付与する予定だと同氏はいう。
Facebookが2年以上前に「全サービスへのエンド・ツー・エンド暗号化導入」計画を公に発表してからこれまで、英国を含む西側諸国の政府は、最高レベルの暗号化を全サービスに全面導入する計画を延期または断念するよう同社に対して強い圧力をかけ続けている。
英国政府はこの点で特に、Facebookに対して苦言を呈してきた。内務大臣のPriti Patel（プリティ・パテル）氏は、Facebookのエンド・ツー・エンド暗号化拡大計画は、オンラインの児童虐待を防止する努力を阻害するものになると、公の場で（繰り返し）警告し 、同社を、児童性的虐待コンテンツ（CSAM）の制作と配信を防ぐ闘いにおける無責任な悪役であるとみなした。
したがって、Metaが今回、英国政府ご贔屓の新聞に論説記事を寄稿したのは偶然ではなかったのだ。
Telegraph紙に寄稿された前述の論説記事の中で、デイビス氏は「エンド・ツー・エンド暗号化を展開するにあたり、当社は、市民の安全を確保する活動に協力しつつも、暗号化されていないデータの組み合わせを用いて各種アプリ、アカウント情報、ユーザーからの報告をプライバシーが保護された安全な状態に保つ」と述べ「この取り組みにより、すでに、子どもの安全を担当する当局機関に対し、WhatsAppから極めて重要な情報を報告することができている」と同氏は付け加える。
デイビス氏はさらに、Meta / Facebookは過去の事例をいくつも調査した結果「エンド・ツー・エンド暗号化をサービスに導入した場合でも、重要な情報を当局機関に報告することができていた」との結論に達したと述べ「完璧なシステムなど存在しないが、この調査結果は、当社が犯罪防止と法執行機関への協力を継続できることを示している」と付け加えた。
ところで、Facebookのサービスにおいてすべてのコミュニケーションがエンド・ツー・エンドで暗号化された場合に、同社は一体どのようにして、ユーザーに関するデータを当局機関に渡すことができるのだろうか。
Facebook / Metaがそのソーシャルメディア帝国において、ユーザーのアクティビティに関する手がかりを集めている方法の詳細をユーザーが正確に知ることはできない。しかし、1つ言えることとしてFacebookはWhatsAppのメッセージ / コミュニケーションの内容がエンド・ツー・エンドで暗号化されるようにしているが、メタデータはエンド・ツー・エンドで暗号化されていないということだ（そしてメタデータからだけでも、かなり多くの情報を得ることができる）。
Facebookはまた、例えば、2016年に議論を呼んだプライバシーUターンのように、WhatsAppユーザーの携帯電話番号データをFacebookとリンクさせるなど、アカウントとそのアクティビティを同社のソーシャルメディア帝国全体で定期的にリンクさせている。これにより、Facebookのアカウントを持っている、あるいは以前に持っていたユーザーの（公開されている）ソーシャルメディアアクティビティが、WhatsAppならではの、より制限された範囲内でのアクティビティ（1対1のコミュニケーションや、エンド・ツー・エンド暗号化された非公開チャンネルでのグループチャット）とリンクされる。
このようにしてFacebookは、その巨大な規模（およびこれまでにプロファイリングしてきたユーザーの情報）を利用して、たとえWhatsAppのメッセージ / コミュニケーションの内容自体がエンド・ツー・エンドで暗号化されていたとしても、Facebook / Metaが提供する全サービス（そのほとんどがまだエンド・ツー・エンド暗号化されていない）において、誰と話しているのか、誰とつながっているのか、何を好きか、何をしたか、といったことに基づいて、WhatAppユーザーのソーシャルグラフや関心事を具体的に把握できる。
（このことを、デイビス氏は前述の論説記事で次のように表現している。「エンド・ツー・エンド暗号化を展開するにあたり、当社は、市民の安全を確保する活動に協力しつつも、暗号化されていないデータの組み合わせを用いて各種アプリ、アカウント情報、ユーザーからの報告をプライバシーが保護された安全な状態に保つ。この取り組みにより、すでに、子どもの安全を担当する当局機関に対し、WhatsAppから極めて重要な情報を報告することができている」）。
Facebookは2021年の秋口に、WhatsAppが透明性に関する義務を遂行しなかったとして欧州連合から多額の罰金を科せられた。WhatsAppがユーザーデータの使用目的と、WhatsApp-Facebook間においてそのデータを処理する方法について、ユーザーに適切に通知していなかったことが、DPAの調べによって明らかになったためだ。
関連記事：WhatsAppに欧州のGDPR違反で約294億円の制裁金、ユーザー・非ユーザーに対する透明性の向上も命令
FacebookはGDPRの制裁金に関して控訴中だが、米国時間11月22日に、欧州の規制当局からの求めに応じて、欧州のWhatsAppユーザー向けのプライバシーポリシーの文言を少し変更することを発表した。しかし、同社によると、ユーザーデータの処理方法については、まだ何の変更も加えていないとのことだ。
さて、エンド・ツー・エンド暗号化そのものに話を戻すと、2021年10月、Facebookの内部告発者であるFrances Haugen（フランセス・ハウゲン）氏が、同社によるエンド・ツー・エンド暗号化テクノロジーの応用に関して懸念を表明した。このテクノロジーはオープンソースではなく、専有テクノロジーであるため、ユーザーはFacebook / Metaのセキュリティ方針を信じなければならず、同テクノロジーのコードが本当にそのセキュリティ方針を順守しているかどうか、独立した第三者が検証する術がない、というのが同氏の主張だ。
ハウゲン氏はさらに、Facebookがエンド・ツー・エンド暗号化をどのように解釈しているのかを社外の者が知る方法がないことも指摘し、同社がエンド・ツー・エンド暗号化の使用を拡大しようとしていることについて「Facebookが本当は何をするつもりなのかまったくわからない」と述べて懸念を表明した。
「これが何を意味するのか、人々のプライバシーが本当に保護されるのか、私たちにはわかりません」と英国議会の議員たちに語ったハウゲン氏は、さらに次のように警告した。「これは非常に繊細な問題で、文脈も異なります。私が気に入っているオープンソースのエンド・ツー・エンド暗号化製品には、14歳の子どもがアクセスしているディレクトリや、バンコクのウイグル族コミュニティを見つけるためのディレクトリはありません。Facebookでは、社会的に弱い立場にある人々を標的にすることが、この上なく簡単にできてしまいます。そして、国家政府がそれを行っているのです」。
WhatsApp doesn't recommend people to befriend and interact with. It doesn't host secret groups of unlimited size. It doesn't provide global search of every user. It doesn't group people by location or institutions like high schools. 9/
— David Thiel (@elegant_wallaby) November 22, 2021
ハウゲン氏は、エンド・ツー・エンド暗号化の支持については慎重に言葉を選んで発言し、エンド・ツー・エンド暗号化テクノロジーは、外部の専門家がそのコードや方針を厳正に調査できるオープンソースで対応することが望ましいと述べた。
しかし、Facebookの場合は、エンド・ツー・エンド暗号化の実装がオープンソースではなく、誰も検証できないため、規制当局による監視が必要だとハウゲン氏は提案した。ユーザーのプライバシーをどの程度確保するか（したがって、政府当局などによる潜在的に有害な監視からの保護をどの程度確保するか）、という点についてFacebookが誤解を招く指針を打ち出さないようにするためだ。
「私たちはプライバシーを保護し、危害の発生を防ぐ」という見出しの下で書かれた前述のデイビス氏の論説記事は、Metaが「外部の専門家と引き続き協力し、虐待と闘うための効果的な方法を構築していく」ことを誓う言葉で締めくくられており、英国議会の議員をなだめることによって、Facebookが一挙両得を狙っているように感じられる。
「Facebookはこの取り組みを適切な方法で進めるために時間をかけており、当社のすべてのメッセージングサービスでエンド・ツー・エンド暗号化を標準機能として導入することが、2023年中のある時点までに完了する予定はない」とデイビス氏は付け加え「Facebookはユーザーのプライベートなコミュニケーションを保護し、オンラインサービスを使用する人々の安全を守る」という、具体性のない宣伝文句をまた1つ発して記事を締めくくった。
英国政府は間違いなく、Facebookが今回、規制に配慮を示しながら非常に厄介な問題に関する記事を公に発表したことについて、喜ばしく思うだろう。しかし、同社が、パテル内相などからの長期にわたる圧力を受けて、エンド・ツー・エンド暗号化の延期の理由を「適切に導入するため」だと発表したことは「では、非常にセンシティブなプライバシーに関する問題という文脈において、その『適切』とは何を意味するのか」という懸念を強めるだけだろう。
もちろん、デジタル権利の擁護活動家やセキュリティの専門家を含むより大きなコミュニティも、今後のMetaの動向を注意深く見守っていくだろう。
英国政府は最近、児童性的虐待コンテンツ（CSAM）の検知または報告、作成阻止を目的として、エンド・ツー・エンド暗号化サービスにも応用できる可能性があるスキャニング/フィルタリング技術を開発する5つのプロジェクトに、およそ50万ポンド（約7700万円）の税金を投じた。「代替ソリューション」（プラットフォームにエンド・ツー・エンド暗号化を実装する代わりに、スキャニング / フィルタリング技術を暗号化システムに組み込むことによってCSAMの検知 / 摘発を行う）を開発することによって、革新的な方法で「テクノロジーにおける安全性」を確保するよう閣僚たちが求めたためだ。
したがって、英国政府は（ちなみに現在、オンライン安全法案の制定に向けても動いている）、子どもの安全に関する懸念を政治的な圧力として利用して、暗号化されたコンテンツを、エンド・ツー・エンド暗号化の方針のいかんに関わらず、ユーザーのデバイス上でスキャンすることを可能にするスパイウエアを実装するようプラットフォームに働きかける計画のようだ。
そのようにして埋め込まれたスキャンシステムが（閣僚たちの主張とは相容れないものの）堅牢な暗号化の安全性にバックドアを作ることになれば、それが今後数カ月あるいは数年のうちに厳密な調査と議論の対象になることは間違いない。
ここで参考にできるのがApple（アップル）の例だ。Appleは最近、コンテンツがiCloudのストレージサービスにアップロードされる前に、そのコンテンツがCSAMかどうかを検知するシステムをモバイルOSに追加することを発表した。
Appleは当初「当社は、子どもの安全とユーザーのプライバシーを両立させるテクノロジーをすでに開発している」と述べて、予防的な措置を講じることについて強気な姿勢を見せていた。
しかし、プライバシーやセキュリティの専門家から懸念事項が山のように寄せられ、加えて、そのように一度は確立されたシステムが（著作権下のコンテンツをスキャンしたいという市場の要求だとか、独裁政権下の国にいる反政府勢力を標的にしたいという敵対国家からの要求に応えているうちに）いや応なく「フィーチャークリープ」に直面する警告も発せられた。これを受けてAppleは1カ月もたたないうちに前言を撤回し、同システムの導入を延期することを表明した。
Appleがオンデバイスのスキャナーを復活させるかどうか、また、いつ復活させるのか、現時点では不明である。
AppleはiPhoneのメーカーとして、プライバシー重視の企業であるという評判（と非常に高収益の事業）を築いてきたが、Facebookの広告帝国は「利益のために監視する」という、Appleとは正反対の野獣である。したがって、全権力を握る支配者である創業者が、組織的に行ったプライバシー侵害に関する一連のスキャンダルを取り仕切った、Facebookという巨大なソーシャルメディアの野獣が、自社の製品にスパイウエアを埋め込むようにという政治的な圧力を長期にわたって受けた結果、現状を維持することになれば、それは自身のDNAを否定することになるだろう。
そう考えると、同社が最近、社名をMetaに変更したことは、それよりはるかに浅薄な行動だったように思えてくる。
画像クレジット：Justin Sullivan / Getty Images
［原文へ］
（文：Natasha Lomas、翻訳：Dragonfly）
