間違いだらけのノーログVPN選び

はじめに

#

ノーログVPNについてはご存知でしょうか。 簡単に言えばログを保持しないと謳うVPNのことを指します。

なぜノーログなのか

#

トラフィックデータ

#

VPNプロバイダーは、ログの保持、監視しようと思えば簡単にできます。 問題はそのログを保持して悪用されるリスクがあるためです。

そのためVPNプロバイダーはノーログを謳います。 VPNプロバイダーの言うノーログはVPNサーバーのログの保持や監視をしないということを言っています。

しかし、そのノーログというのが本当に担保されているのかは、多くのVPNプロバイダーでよくわからないと言わざるを得ません。 また、これらは事後でないと実際にノーログかどうかわからないのも事実です。 そして、その後もノーログであるとも断言はできません。

ユーザーデータ

#

商用サービスである以上決済やアカウント登録など、それらの情報を保持しないとサービスを提供できません。 問題はそれらの情報が個人に結びつかず、そしてプロバイダーがなにを情報として保持してるのかがノーログVPNをみるうえで重要です。

そもそも

#

十分監査されてる暗号化アルゴリズムやVPNプロトコルでさえ未知の脆弱性が存在するかもしれません。 従ってノーログVPNを使ってるからといって絶対安全というわけではありません。

未知の脆弱性を突かれればVPNを第三者が悪用できる可能性があります。 セキュリティに絶対安全はありません。

また最大の脆弱性は人間です。 悪用したり個人に結びつくサービスにログインしたりすれば、ブラウザのフィンガープリント対策などどれだけプライバシーに気を使っていてもそれだけで脆弱性になり得ます。

早い話、過信は厳禁です。

それを頭に入れたうえでどれを選ぶべきなのかを自分で選ぶべきです。

ここまではノーログを正しく理解するための解説です。

VPN オススメと検索すればどれも同じようなSEO対策されまっくたアフィリエイトに染まりきった記事ばかりで、なにを使ったらいいのかわかりにくいです。

なにを信用するか、なにを使うかは個人が決めることです。 しかし、VPNを目的をもって契約しないと損する場合があります。

その点を踏まえてVPNを使うべきか、また、どのVPNを選ぶかなどを詳しく解説します。

恐らくこの記事にたどり着いたであろう人はこれからVPNを契約しようと考えてる人、またはすでにVPNを契約した人たちだと思うのでその人たちの参考になれば幸いです。

VPNを使う目的

#

VPNを使う目的はいくつかあります。 ただし用途としてはほぼ以下のとおりです。

1. コンテンツブロック回避
2. 検閲回避
3. ISPの監視からの脱却・自衛

逆にこれらに該当しないのであればVPNは必要ありません。

早い話、使ってるISPが用途にあっているか、あるいは信用できるかというシンプルな問題です。

用途ごとに必要なその理由、またどのVPNを選べばいいかを解説していきます。

コンテンツブロック回避

#

これは一番身近なところで言えば海外旅行でしょうか。 普段使ってるであろう動画ストリーミングサービスは国ごとによって見られなかったり、あるいは普段見ているコンテンツと違う可能性があります。

要は日本（あるいは外国）からしか見られない動画を見るためにVPNを契約して日本にサーバーのあるVPNに繋いでその動画を見るといった感じです。

これはノーログVPNを契約する理由として合理的です。

VPNの代替はないこともないですが、Torなどそのどれもが快適でなかったり、そもそもそれを駆使しても見られなかったりします。 従って、コンテンツブロックのためにノーログVPNを契約するのはアリです。

どれをえらべばいいか

#

サーバー数が多く、IPアドレスを多く保持してるノーログVPNを選ぶべきです。 ストリーミングサービスもバカではないので、VPNに使われてるIPアドレスをブロックしているケースがあります。

また、ジオブロック回避だけなら普通のVPNで事足ります。 ここでプライバシーやセキュリティを求めるなら用途の3つ目のISPの監視からの脱却・自衛の用途も生まれるためその先も読んでから決めて下さい。

要はIPアドレスを多く保持しており、IPアドレスのローテーションが早い大手のほうが適しているということです。

検閲回避

#

インターネット検閲は多くの国で行われていますが、中には検閲が厳しく多くのサイトを見ることができない国もあります。 金盾（GFW）のある中国などです。 そもそも中国などではVPNの使用を禁止している国さえあります。

検閲の厳しい国で自由にインターネットを閲覧するためにVPNを使います。 検閲をかいくぐり自由なインターネットを使いたいという目的ならばノーログVPNを使うのはアリです。

また代替としてTor+Snowflakeなどを使えば検閲を回避できる可能性がありますが、そもそも検閲の厳しい国でTorをダウンロードするのは困難でしょう。 必ずしも機能する、使えるわけではありません。

しかし、GFWのような国家が作った監視プログラムではOpenVPNやWireGuardなど簡単にブロックされる場合があります。

見てわかる通りOpenVPNやWireGuardはトラフィックがわかりやすいらしく多くの検閲の厳しい国でブロックされています。 検閲の厳しい国に行く予定のある人はVLESSやTrojanGFWなどの検閲に強いプロキシを提供するプロバイダーを選ぶ必要があります。

ただし、注意もあります。 1つ目はVLESSやTrojanGFWなどはオープンソースで誰でも監査はできるもののOpenVPNのような監査会社などの監査を受けていない可能性が高いこと、2つ目はこれらはVPNではないためWebページを閲覧するのに開発されたものであるということです。

要はWireGuardやOpenVPNなどを極力使うようにして下さい。 TrojanGFWやVLESSは技術としては素晴らしいですが、安全性という意味ではより監査されているOpenVPNやWireGuardを使うほうが安全という意味です。 これらはあくまで最終手段です。

どれをえらべばいいか

#

残念ながらTrojanGFWなどの検閲に強いプロキシを提供してる検閲回避専門のノーログVPNプロバイダーはほとんど存在しません。 一応、技術としてVPNと組み合わせてTrojanGFWやobfs4などを提供しているものはありますが、そもそもそのサーバーのIPアドレスをブロックされている可能性が高いです。 場合によってはAS Number単位でブロックしてる国もあるかもしれません。 いずれにしても最新のAIが使われてるファイアウォールではVLESSやTrojanGFWといった偽装プロキシや、そもそもあまりノーログVPNがホスティングプロバイダーとしてあまり使っていないところのほうがつながる可能性が高いわけです。 ノーログVPNに使われるホスティングプロバイダーはどれも似通っているためブロックするのは簡単だと私は考えています。

候補としてはXeovoか中国のインターネット事情を詳しく把握しているかべネコがおすすめです。

ISPの監視からの脱却・自衛

#

ここは最も誤解を生む表現を使ってるレビューサイト、あるいはノーログVPN公式サイトが多いです。 なぜか、理由は簡単です。 プライバシーやセキュリティに疎い人たちに不安を煽って製品を買わせやすいからです。

ただしここでVPNが役に立つ場合は限られています。

ISPの監視対策

#

これは使っているISPが信用できない場合のみ有効です。 さらにノーログVPNを信用できない場合、セキュリティリスクを増やすだけの可能性が高いです。

まずそもそも普段使っているISPがなにをログとして保持できるのかを知っておく必要があります。 IPv4ならば普通はNATを使うためNAT内のローカルIP、アクセスしたサイトが何なのかやその際のタイムスタンプを保持できます。

ここでよくある誤解はhttps（TLS）を使う場合、ISPはどのサイトにアクセスしたかはわかるがその通信の中身までは暗号化されてるため知ることはできません。 従ってVPNを使って通信を暗号化してセキュリティを高めるというのは必ずしも正しいとは言えません。

これには用途を理解して、何の情報を守りたいのかをユーザーが判断する必要があります。

図の通りユーザーがVPNを使う場合、ISPはユーザーがVPNを使ってることはわかります。 これはTorでも基本的には同じです。 ただしVPNを使う際の認証情報などはよほど脆弱性のあるVPNプロトコルを使ってない限りは基本的にISPにもわかりません。

VPNを使えばトラフィックは暗号化されますが最後に復号されるため、VPNサーバーでログを取っているならばこれを悪用されるおそれがあります。 保持できるログの内容もISPと概ね同じです。 ただし、これはISPから提供されてるインフラでも普通はログを保持しています（通常は半年から1年以上と言われている）。

ここでノーログVPNかそうでないVPNを使う場合の比較をしてみます。

ノーログVPNを使う場合ISPがノーログVPNを使っていることはわかりますが、VPNサーバーではログを保持していないため、プライバシーが向上します。 一方、ログを保持するVPNを使う場合、本来ISPが保持するログがVPNサーバーになるだけであり、ユーザーから目的のサービスまでの介入者が増えるためセキュリティやプライバシー的にリスクになり得ます。

つまり、普段使ってるISPとVPNを比較してプライバシー的にどちらが優れているかはユーザーが決める必要があります。

詳しくは下記の表のとおりです。

ちなみにTorとVPNを組み合わせるという方法もありますが技術的に難しく初心者には安易におすすめしません。 実際、Tor Projectでも推奨はあまりしていません。 実行したい場合はこちらを熟読して下さい。 しかし通常はTor+Snowflakeで事足ります。

また、匿名でインターネットを使いたいという目的ならばVPNは必要ありません。 その場合はTor Browserを使って下さい。

VPNは正しく使えばプライバシーの向上ができますが、匿名性を提供するツールではありません。 VPNだけで匿名性を確保しようとするならば、それは不可能です。

ブラウザのフィンガープリントやCookieなどのログイン情報など個人でブラウザを設定してもユニークになる可能性が高いです。 これらを解決するならばTor Browserが最も適しています。

P2P通信の秘匿

#

これは主にBitTorrentなどの話です。 もちろんこれもノーログVPNを信用できる前提でつかうならアリです。

通常BitTorrentは実行すればIPアドレスがわかるためです。 万が一著作物を誤ってダウンロードした場合の開示請求などの自衛になります。 ただし、これもキルスイッチなどを正しく使っている場合にのみ完全に機能します。

また、当然として著作物などの違法コンテンツをダウンロードすることはしないで下さい。 悪いことはしないのが最大の自衛です。

また、VPNのみのキルスイッチでは不十分と感じる場合、socks5 proxyをBitTorrentクライアントに設定してVPNを実行している場合にのみクライアントが通信できるようにもできます。 その場合はMullvadやIVPNのようなscoks5 proxyを提供しているプロバイダーが適しているかもしれません。

信頼できないWi-Fiの保護

#

これは保護はできると考えていますが、VPNを契約する理由としてはやや弱いと考えます。

今のセキュリティではフリーWi-FiでVPNを使うべきはやや違います。 DNSやWebなどのトラフィックの認証・暗号化でも事足りる場合があります。

現在のWebトラフィックの多くはhttps（TLS）で暗号化されています。 仮にセキュリティの低いWi-Fiや同一ネットワーク内の悪意のある第三者であっても通信内容が改ざんされたりは普通ありません。

通常管理者や攻撃者から見えるのはどのドメインに接続してるかというISPでもわかるデータ程度です。 これもWi-Fiを提供するプロバイダーがノーログVPNと比べて信頼できるかどうかの話です。 また何度でもいいますが、これも保護が機能するのはノーログVPNを信頼できる前提の話です。

ただしDNSの場合平文で認証のない場合はDNSスプーフィングなど、DHCPサーバーから悪意のあるDNSを提供される場合は注意が必要です。 DNS over HttpsやDNS over TLSを使えば改ざんやDNSの偽装が難しくなります。 これはOSやブラウザの機能にすでに備わっているものが多く簡単に対策が可能です。

しかしそれでもWi-Fi環境でVPNを使う理由は存在します。 ブラウザ外の通信や、Wi-Fiを提供する管理者、広域のWi-Fiでの攻撃者からVPNを使ってそれらを守りたいというのであれば筋は通っています。

本当にプライバシー重視のノーログVPNの選び方

#

ここまで読んだうえで「ではどのようなVPNがいいの？」となると思います。 ここからはノーログVPNを選ぶうえで確認すべきことを書きます。

利用規約やプライバシーポリシー

#

つまらない内容なのは十分理解していますが必ず読んで下さい。

この中にサービスを維持するための情報はユーザーが特定されないようにどのように保持・管理されているか、どのようなデータは保持しないかなどがまともなノーログVPNなら必ず書いてあります。 ただ単に「いかなるログも保持しない」だけでは最初に言った通りサービスとして成り立たないためこのような表現を使っているノーログVPNは避けるべきです。

約束できないことを約束していたり誤解を生む表現

#

これは「完全に匿名」であったり、「ミリタリーグレートの暗号化」だったりです。

まず完全に匿名についてはさんざん話してきたとおりVPNのみでのこれを保証するのは不可能です。

サービスとして保証できないものを保証することは企業としての信用に関わってきます。 少なくとも私はこのようなノーログVPNは避けます。

ミリタリーグレート・軍用のなどの表現もされていますが、AES-256-GCMやChaCha20-Poly1305などTLSで標準的に実装されており、軍用で使われてないことはないですが実際はどこでも使われています。

また、意味不明なタイマーやユーザーの不安を煽るようなものも避けるべきです。

誰が運用してるか

#

これも重要です。

ノーログVPNの多くは誰が運用しているかよくわかりません。 実際には存在しないペーパーカンパニーらしきノーログVPNもあります。

問題が起きた際、誰が責任を取るのでしょうか。 誰が運用してるかわからなければ、データだけ警察に提供して逃げるかもしれません。 このような可能性のあるユーザーに無責任なノーログVPNは避けるべきです。

また親会社についても見ておくべきです。 この中にはVPNサービスどころか、レビューサイトまで買収している親会社が存在します。 詳しい表はこちらを参照して下さい。

このようなノーログVPNも避けて下さい。

独立監査

#

独立監査されたからと言って必ずしもノーログであると言えないですが、少なくともやってないよりはマシです。 また、独立監査を定期的に受けている、監査内容を詳しく公開している、その後の対策などをどのようにしたのかをしているものが好ましいです。

支払い方法

#

現金払いやMoneroなどを受け付けているノーログVPNが好ましいです。

透明性レポート・令状のカナリア

#

透明性レポートは開示請求などのリクエストなどで実際にデータが提供されたかなどを示すものです。 令状のカナリアは政府機関や法執行機関から特定の情報提供その他の措置を求められていないことを示すためのものです。

これらを発行し、定期的に更新しているものが好ましいです。

サードパーティ製のトラッキング

#

個人的には公式サイトやアプリにGoogleアナリティクスなどのサードパーティ製のものを使ってるところも推奨しません。 外部にデータを預けるのはそれだけでセキュリティリスクです。

Android向けにはなりますが、こちらからアプリのトラッカーなどを確認できます。 また、多くの権限を必要とするアプリを提供するノーログVPNも推奨しません。

アプリケーションはオープンソースのものが望ましいです。

よくある誤解

#

RAM Onlyサーバー

#

これは残念ながらユーザーが確認する方法はほとんどありません。 ただの口約束であり、マーケティング的な要素が強めです。

5 Eyes・14 Eyes

#

これはアメリカやイギリスなど5~14カ国の情報共有同盟です。 一般的にはこの管轄外に拠点を置くノーログVPNが推奨されています。 しかし、これもマーケティング的要素が強いです。

理屈は理解できますが、それよりも企業は誰が運営しているかやどのようなログを保持しているかなどプライバシーポリシーや利用規約に書いてあることのほうが重要です。

14 Eyes管轄外だからこのノーログVPNを使うのはあまりに安直すぎます。

どちらかといえばセーシェルやパナマなどに拠点を置くノーログVPNのほうがペーパーカンパニーの可能性が高いと思うのですが、それはユーザーの判断に任せます。

アフィリエイト

#

VPNのレビューサイトを開けばどれも似たような記事ばかりです。 大抵1位から3位くらいまではどれも一緒です。

これにはアフィリエイトが絡んでいます。 実際のところKape傘下のVPNやNordVPNあたりはアフィリエイトをばらまきまくってます。

悪いとまではいきませんが、ノーログVPNの印象としてはあまり良くありません。 お金払ってレビュー書いてもらってるわけなので、悪いこと書く人はいないでしょう。

アフィリエイトを嫌うIVPNなども存在します。 アフィリエイトが嫌いならIVPNは間違いなく真っ先に検討すべき候補でしょう。

マルウェアからの保護

#

これはVPNではできません。

一般的にマルウェアや広告ブロックを提供するノーログVPNはDNSベースでそれを行っています。 理由は簡単で、VPNサーバー経由でそれを行おうものなら監視してるのと同義だからです。 しかし、これをユーザーが確認する方法がないのもまた事実です。

そもそもとして、DNSベースのドメインブロックではどう考えても限界があります。 ドメインなんていくらでも生成できるためです。

広告やマルウェアを配布するサイトをブロックしたい場合はVPNではなく、DNSにQuad9を使ったり、広告ブロッカーを使うほうが有効です。

ただしそれだけでは完全には防げないため、OSやアプリを最新にするなどの対策も必要です。

結論

#

これでノーログVPNの選び方がわかったと思います。

必要な用途を理解し正しく契約、正しく使用することが最も重要です。

それと同時にほとんどの人にはノーログVPNは不要ということも十分わかっていただけたかと思います。 Torや広告ブロッカー、DoHなどをうまく組み合わせればほとんどの人には有料のノーログVPNは不要です。

そしてノーログVPNがあなたのISPより信用できるかはユーザーが判断すべきことであり、それを理解したうえで使用しないと損します。

ノーログVPNを契約するうえで参考になれば幸いです。

わからないことがあれば遠慮なくXMPPでarcher@xmpp.chatまで連絡下さい。