2024.07.08. 公正経済 — マルチステークホルダー・インターネットガバナンス協議会（KIGA）が先月28日、ソウル中区のカトリック聖フランシスコ会修道院教育会館で開催した「第13回韓国インターネットガバナンスフォーラム（KrIGF）」では、サイバーセキュリティ、AI、ガバナンス分野の専門家らが集まり、インターネットの管理・運営に関する懸案を議論した。
行事で、イ・ジン サイバー安保研究所長は「電気通信網を利用した犯罪捜査手法に関する考察――ボイスフィッシング事例を中心に」をテーマに、サイバー犯罪の動向と対応・捜査手法、法・制度的改善方案などを発表した。
発表内容の中には、国家情報院のサイバー安保活動、検察・警察のサイバー犯罪捜査、軍のサイバー作戦遂行を共通して貫くキーワードがあった。まさに「傍受」だ。
イ・ジン所長は「迅速かつ正確な傍受活動のためには、傍受システムの自動化・標準化が必要だ」と力を込めて述べた。
――韓国の傍受制度をどう見るか。
「韓国政府が加入を推進している国際条約の一つに『ブダペスト条約』がある。2022年5月に採択されたブダペスト条約第2議定書は、インターネット犯罪に関するより広範な証拠収集および共有、個人情報保護の強化を規定したもので、現在、基本条約には60カ国余りが加入している。条約は、不法な通信傍受、コンピューター利用詐欺、児童ポルノコンテンツの流布、著作権法侵害、コンピューターサーバー攻撃やハッキングなどをサイバー犯罪と規定した。
また、リアルタイムのトラフィックやコンテンツ提供の協力をはじめ、迅速な資料保存の要請、緊急時の支援要請、犯罪行為に対する国家送還の法的根拠の用意などの内容も協約事項に盛り込んだ。このうち、注目すべき点はリアルタイムのトラフィックやコンテンツ提供の協力だ。簡単に言えば、インターネット犯罪の疑いがある者に対する傍受結果を協約国間で伝達できるということだ。
ところが、国ごとに司法システムは多様だ。韓国のように傍受のために裁判所の令状を事前に発行してもらわなければならない国がある一方、米国のように事後令状制度を運営する国もある。参考までに、米国は9.11テロ以降、国家安全保障を目的に事前令状なしでも傍受できるよう法律を整備した。
米国はカレア法（Communications Assistance for Law Enforcement Act, CALEA Act）に基づき、自国内の傍受・通信履歴照会システムを構築した。このシステムの名称もカレアだ。米国のほとんどの通信会社、インターネットサービスプロバイダー（ISP）はカレアシステムを構築・運用しており、米国政府は初期の構築事業で補助金を支給したこともある。
一方、韓国は現在、こうした傍受および通信記録照会システムを運用していない。また、令状請求、発付、執行に至る過程の相当部分が今なお手動で行われている。標準化・自動化された傍受システムがないため、国際協力において限界を露呈せざるを得ない」
――傍受制度をどう改善できるか。
「韓国型カレアシステム、いわゆる『K-カレア（仮称）』の国内導入および運営が必要だ。
まず、『電気通信事業法』に規定された電気通信事業者および『相互貯蓄銀行法』、『銀行法』、『与信専門金融業法』、『インターネット専門銀行設立および運営に関する特例法』などによる金融機関すべてを『刑事司法手続における電子文書利用等に関する法律（刑事手続電子文書法）』による『電子的送達および通知に同意した登録利用者』と定めなければならない。その後、刑事手続電子文書法第17条に基づき、検事や警察が傍受令状を電子文書で発行してもらい、これを提示または送信する方法で令状を執行すればよい。
令状の電子的執行のための技術的措置としては、電子文書である令状を受け付け、該当資料を収集して回答するK-カレアシステムを構築することだ。K-カレアシステムを通じて令状に記載された時間と執行の対象などを明確に識別して回答資料を生成すれば、透明な令状執行はもちろん、被送達人も今後、令状執行過程での不法性の有無を判別するための資料を蓄積できるため、令状執行の対象者が最小限の防御権を維持するのに役立つ可能性がある。
韓国も米国のようにK-カレアシステム導入機関・企業に補助金を支給する方法も考慮できるだろう。導入時には、通信会社、ISP、一定基準以上の個人情報処理者などにこのシステムを優先導入させ、その後、システム運営対象を徐々に拡大する方案を提案する。
さらに、傍受は捜査のために必須の措置だが、傍受そのものよりも、傍受の実行手続きに「民主的統制」の原理を適用するための「サイバー安保基本法」など上位法が先に制定される必要がある。サイバー安保研究所は、この法律が制定されるよう立法支援活動を行ってもいる。このほかにも、コンソーシアム型ブロックチェーンのような「改ざん不可能な傍受活動記録体系」を通じて、公権力が民間を監視する手段へと変質することを積極的に防止すべきであり、これを通じて国民的同意を得ることが重要だ」
――「コンソーシアムブロックチェーン」について詳しく教えてほしい。
「研究所が提案するコンソーシアムブロックチェーン監視システムは、国家権力の傍受行為などの情報収集行為が民主的統制の原理に従って適法かつ正当に遂行されるよう支援し監督するシステムだ。
情報機関が記録した情報を、分散型台帳技術を通じてすべての参加者に共有し、情報の暗号化および公開遅延機能を通じて機密情報を保護する仕組みだ。データを暗号化して保存するため漏えい事故を防ぐことができ、機密情報を一定期間非公開にすることで、収集情報の早期公開による安全保障上の懸念を解消することもできる。
また、ブロックチェーン技術の特性上、コンソーシアム参加者の一部が資料を任意に改ざんしても、そのブロックチェーンを構成する参加者全員のデータが改ざんされることはないという特徴がある。結果として、改ざん行為に関する記録まで併せて保存されるため、不正な資料改ざんを防止する効果もある。
コンソーシアムブロックチェーンネットワークは、政府、監督機構、情報機関、国家安全保障機関、市民代表など多様な利害関係者が参加する構造だ。国会などの監督機構は情報収集活動の承認および監査、情報の分類および公開決定、情報セキュリティ管理、透明性確保などを担当する。情報機関は情報収集要請を提出し、承認を受ければ情報収集活動を遂行する。情報収集活動のすべての過程を記録してコンソーシアムブロックチェーンに保存する。国家安全保障機関は国家安全保障関連情報の要請および検討を遂行する。市民代表はブロックチェーンネットワークを通じて情報の閲覧および検証、監督機構の情報セキュリティ管理および透明性確保を監視する。
コンソーシアムブロックチェーン体系では、情報収集の要請、承認、実行、監査、報告などの手続を自動化し、情報の分類および公開規則を明確に定義できる。これを通じて市民の権利保護も達成できる。
――傍受の話をしていたら、最近のKTの顧客傍受論争が思い浮かぶ。
「KTの行為を簡単に整理すると、ウェブハード更新サーバーのトラフィックをすり替えて、ユーザーの同意なしにプログラムをインストールしたものだ。
ウェブハードサービス事業者は、ウェブハードサービス利用者のPCにグリッドプログラムを設置させる。グリッドプログラムとは、ウェブハードサービス利用者がダウンロードするファイルを、ウェブハードサーバーからではなく、該当ファイルを保有している他のウェブハード利用者から受け取らせる役割を果たすものだ。結果として、ウェブハードサーバーのトラフィックを減らすことができる。
このようなグリッドプログラムは、KTのようなISPに損害を与える。ISPはウェブハードサーバーで発生したトラフィックを計算し、ウェブハードサービス事業者に費用を請求するが、グリッドプログラムが使用される場合、定額制インターネットサービスを利用する顧客からトラフィックが発生することになる。定額制プランの利用者からは追加料金を取ることができないため、ISPはその分の損害を被る構造だ。
ISPがウェブハードサービス事業者を制裁する方法も適切なものがない。グリッドプログラムをインストールする主体が一般の顧客だからだ。そのためKTは、顧客の通信パケットをキャプチャーしてウェブハード用グリッドプログラムの使用の有無を検知し、グリッド利用者を対象にパケットすり替えの手法でグリッド無力化プログラムを配布したとみられている」
――顧客の通信パケットをキャプチャした行為は傍受ではないのか。
「技術的に通信パケットの内容を自動分析することを傍受と見るかどうかという論争は以前からあった。
例えば、「ウェブサイト遮断違憲確認（2019憲マ158）」事件を見てみよう。放送通信審議委員会と情報通信サービス提供事業者（ISP）7社は2018年6月に協議体を構成し、サーバー名表示（Server Name Indication、SNI）フィールドを活用して有害な情報が含まれたインターネットウェブサイトを遮断できる「SNIフィールド遮断方式」を導入することで合意した。
保安接続プロトコルを使用すると、やり取りされるデータの大部分は暗号化されるが、利用者がサーバー側に最初に送るデータのうち、接続しようとする目的地を特定するSNI部分は暗号化されない状態で現れる。SNI遮断方式はこれを検知して接続を遮断する。
セキュア接続プロトコルの使用が一般化し、既存の方式では利用者がアクセスしようとするウェブサイトが何であるかを把握して接続を遮断することが不可能になったため、不法情報などへのアクセスを遮断するためには、セキュア接続プロトコルを使用しても遮断が可能なSNIフィールド遮断方式のようなより高度な技術的方法を動員することが不可避だ。
憲法裁判所はSNI遮断方式の場合、利用者とサーバー間の暗号化通信のうち一部の内容を閲覧することではあるが、その中でも暗号化されていない状態で公開されているSNIを自動化されたシステムが確認して遮断するだけだと判断した。つまり、暗号化を解除して公開されていない内容まで閲覧するわけではないとして、傍受には該当しないと見たのだ。」
――それならKTに過ちはないと見るべきか。
「通信パケットのヘッダーなどを確認してグリッド使用有無を確認したKTの行為は、憲法裁判所の決定によれば傍受とは見なせない。
また、KTとインターネットサービス利用顧客間の約款には、サービス品質向上のための通信パケット分析などに関する免責条項がある。グリッドが活性化するほど網に負荷が発生することになるため、KTの立場では、KT網自体のインターネット品質向上のためにグリッドの使用有無を検知する権限があるとみることができる。
問題となる部分は、グリッド無力化プログラムの配布だ。まず、KTはこのプログラムを配布するにあたり、利用者の同意を得なかった。配布方式もパケットすり替えを利用した点が問題だ。簡単に言えば、利用者が知らないうちに通信パケットをグリッド無力化プログラムに差し替えて伝達したということだ。結果として、利用者は意図しないプログラムをインストールさせられたことになる。この部分はKTの過ちが明らかであり、これについての徹底した反省、謝罪、そして再発防止対策の発表などが必要だと思われる」
0件のコメント
まだコメントはありません。