解説記事
「独立監査済み」は、実際には大きく異なる作業を指すことがあります。このページでは、監査の種類、それぞれで明らかにできること、そして監査によってプロバイダーへの見方を変える前に確認すべき質問を説明します。
監査は、特定の当事者が、ある時点で定義された一連のシステムを調査し、見つかったことを報告したことを示します。これは有用ですが、トップページにある「独立監査済み」という表現から受ける印象よりも、対象ははるかに限定されています。
監査によってプロバイダーへの見方を変える前に、それがどの種類の監査だったのか、何を対象にしたのか、いつ実施されたのか、そして報告書を読めるのかを知る必要があります。
| 種類 | 明らかにできること | 明らかにできないこと |
|---|---|---|
| ノーログ評価 | 対象となったシステムが、監査期間中に問題となるレコードを保持するよう設定されていなかったこと | その期間や対象システムの外で何が起きているか |
| クライアントまたはコード監査 | 調査対象となったアプリやコードのセキュリティ上の欠陥 | サーバーがどのように運用されているか、または会社が何を保存しているか |
| インフラ監査 | 調査対象となったサーバーやシステムがどのように構成されているか | 調査されていないサーバーも同じ構成になっているか |
| ペネトレーションテスト | 合意された範囲内でテスターが侵入できたもの | ほかに侵入できるものが何もないことや、ログ記録に関すること |
| 認証 | 会社のプロセスが、明示された境界内で特定の基準を満たしていること | その境界に含まれていない限り、ユーザーのトラフィックに関すること |
主張が真実でも、あなたの質問とは別の問いに答えていることがあります。アプリのレビューで問題が見つからなかったとしても、会社がセッションを個人と結び付けられるかどうかは分かりません。
監査が報告するのは、すでに終了した期間についてです。監査人が立ち去った翌日に構成が変わっても、報告書のどこにもそれは表れません。
監査は、会社が示すものにも依存します。監査人はシステムを調査し、スタッフに質問できますが、監査人から隠すことを意図して作られたものを見つける手段は限られています。通常、作業費用を支払い、対象範囲に合意するのもプロバイダーです。だからといって監査に価値がないわけではありませんが、監査は数あるエビデンスの一種にすぎません。
プロバイダーが手配していない出来事から、別のエビデンスが得られることもあります。押収されたサーバーや、何も見つからなかった裁判所命令などです。こうした事例はまれであり、やはり一つの時点について説明するものです。
レジスターでは、監査を属性を持つエビデンスとして扱います。誰が実施したのか、どの基準に基づくのか、どの程度が公開されているのか、そしてどれだけ古いのかという属性です。質問項目と手法では、それぞれをどの程度評価するのか、また時間の経過とともにその重みがどう薄れるのかを説明しています。
レコードには、各数値の根拠となる監査とその日付が記載されているため、出典を自分で開いて確認できます。引用できるものが何もないプロバイダーについても、レコードはそのことを記載し、スコアに反映します。
監査人が調査期間中に対象システムで見つけたことを示します。調査前や調査後に何が起きたか、また調査されなかったシステムで何が起きたかは明らかにできません。有力なエビデンスではありますが、それでも証明には及びません。
通常はプロバイダーです。監査企業自身の評判もかかっているため、それで作業の価値がなくなるわけではありません。しかし、プロバイダーが監査企業を選び、対象範囲に合意し、報告書のどこまでを読者に見せるかを決めることが多いのも事実です。
必ずしもそうではありません。監査がないということは、独立した立場の誰も確認していないため、プロバイダーの言葉に頼ることになる、という意味です。リスクが低いか高いかは分からず、エビデンスがなければ判断できません。
次へ
すべての解説記事は、自分が触れただけの内容を本来担当するページを示して終わる。
公衆Wi-Fiは、広告で言われるほど危険ではありません。HTTPSが送信内容の大部分をすでに保護しているためです。それでもVPNは、どのサイトにアクセスしたかを隠します。また、VPNでは対処できない現実的なリスクも残ります。
DNSリークは、VPNが通信を運んでいても名前解決がVPNの外で行われ、訪問したサイトがネットワークに知られる状態です。このページでは、その原因と確認方法を説明します。
キルスイッチは、VPNトンネルが切断されたときに通信を停止し、気づかないうちに保護されていない状態で通信が続くのを防ぎます。キルスイッチは対象範囲が異なり、その違いによって実際に役立つ場面も変わります。
どちらも別のアドレスからリクエストを送ります。VPNは通常、デバイスのすべての通信を暗号化して通し、プロキシは通常、1つのアプリだけを処理し、まったく暗号化しないこともあります。自分が使っているものを見分ける方法を説明します。
必要ない人も多くいます。VPNがうまく解決できるのは特定の問題だけで、ほかの問題には何の効果もないため、必要かどうかは抱えている問題によって決まります。このページでは、よくある問題を取り上げます。
VPNでは1社を信頼する必要があります。Torは接続を3つの中継に分散し、単独で身元と行き先の両方を把握できる中継がないようにします。両者は異なる問題を解決するもので、どちらももう一方の代わりにはなりません。
VPNが有効なとき、デバイスとウェブサイトの間でパケットに何が起きるのかを解説します。ハンドシェイク、トンネル、名前解決、出口まで、各段階でVPNが機能しなくなる原因も説明します。
世界の大半では、VPNの利用は合法です。VPNを制限、認可制化、または遮断している国は一部に限られます。また、VPN経由で何をするかは、どの国でも別の問題です。このページはその状況を示すものであり、法的助言ではありません。
VPNの運営には毎月費用がかかるため、無料VPNも何かによって支払われています。それが通常何なのか、実際にどのような問題が起きてきたのか、そして一時的なサービスとビジネスモデルをどう見分けるかを説明します。
VPNが保護するのは、デバイスからVPNサーバーまでの経路の一部です。このページでは、その範囲の外にあるすべてを扱います。ブラウザーやアカウントから、マルウェア、切断されたトンネル、広告で示される主張までが対象です。
デバイスとインターネットの間にある、暗号化された1つのホップ。このページは、ホップが何をするのか、誰からあなたを隠すのか、その代わりに誰へ見える状態を渡すのか、そしてVPNに対して語られる約束のうち、仕組みに照らしても成り立つものはどれかを説明するセクションの出発点です。
解説記事ではなくモデルそのもの — このページを読み終え、判定がどう下されるかを知りたい読者のために。
レジスターがこの市場全体について知っていること、そして知らないこと — すべての数字はインデックスから、アンケートからは1つもない。