警察がMullvadを家宅捜索、ログゼロで手ぶら帰還

警察がMullvadに来て、何も持たずに帰った日

2023年4月18日火曜日、スウェーデン国家捜査局（NOA）の捜査官が少なくとも6名、家宅捜索令状を手にヨーテボリのMullvad VPN事務所に到着した。2日後、同社は短いブログ投稿で事実を確認した。投稿の見出しが強調していたのは、強制捜査そのものではなく、捜査官が機器も、ログも，アカウント記録も，探していた顧客を追跡する手がかりも何一つ持たずに帰ったという事実だった。「no-logs」という言葉が氾濫する業界において、これはEUでその約束を最も力強く掲げる企業の一つが、合法的な家宅捜索令状の下で初めてそれを証明させられた事例であった。

この回顧録が重要なのは、結果が修辞ではなく、構造に根ざしていたからだ。

4月18日から20日の間に実際に何が起きたか

Mullvad自身の声明とThe RegisterおよびBleeping Computerの追跡報道から再構成された年表は簡潔だ。NOAの捜査官は18日の朝、ヨーテボリ本社に到着した。Mullvadによると、令状は特定の容疑者に関連する「顧客データを含むコンピューター」の押収を認めていた。スウェーデンの報道を基にしたWikipediaの後の事件要約では、根底にある捜査がドイツの法執行機関の要請を経た恐喝事件に関連しているとされているが、Mullvad自身は発信管轄や嫌疑の性質を確認することを拒否した。

Mullvadの4月20日の声明によれば、その後起きたのは押収ではなく交渉だった。「我々は、彼らが探しているものが見つかる合理的な期待はないため、押収はスウェーデン法の下で違法になると主張した」と同社は述べ、証拠が見つかる合理的な期待がすでに否定されている場合に当局が財産を持ち去ることを禁じる1942年の手続規則を引用した。在籍スタッフはその後、サービスのアーキテクチャを捜査官に説明した。「実際に我々のサービスの動作方法を実演し、彼らが検察官に相談した後、何も持たずに，顧客情報も一切持たずに帰った」と投稿は続く。ブログにあって二度読む価値のある一文がある。「たとえ彼らが何かを持ち去ったとしても、それは顧客情報へのアクセスを与えなかっただろう」。Mullvadが言いたいのは、押収の問題は始まる前から無意味だったということだ。

4月20日までに、投稿はmullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromisedで公開され、48時間以内にBleeping Computer、The Register、TorrentFreak、およびプライバシー報道のほとんどに取り上げられた。

なぜ持ち去るものがなかったのか

2009年にDaniel BerntssonとFredrik Strömbergによって設立されて以来、漸進的に行われてきたMullvadのアーキテクチャ上の決定が、その日の令状崩壊の理由だった。特に4つの選択が、その日の事態を決定づけた：

• アカウント作成には、ランダムに生成された16桁のアカウント番号のみが必要。ユーザー名も，メールアドレスも，セキュリティ質問も，電話番号も，復旧チャネルもない。番号を紛失した顧客はアカウントを失うが、これは召喚するものがない代償である。
• 支払いはMonero、Bitcoin、郵送される無地の封筒に入った現金、または従来の決済網で行うことができるが、これらの支払手段のいずれも、チャージ完了後はアカウント番号に問い合わせ可能な形でリンクされていない。カード明細を追う捜査官は、したがって人物に到達しない。
• 2019年以降、VPNエンドポイントはRAMのみとなっている。サーバーはクリーンイメージからブートし、ディスク上に永続的な状態を保持せず、電源サイクルで全てを失う。データセンターから押収されたシャーシは、たとえ現場でイメージ化されたとしても、過去のセッションデータを産み出さない。
• 同社はクライアントとバックエンドを独立したレビューに付しており、2018年9月のCure53侵入テストを皮切りに、2020年のAssured ABの作業とその後のラウンドを通じて、アーキテクチャに関する主張が商業的にそれを持ち上げる利害を持たない当事者によって検証されている。

これらはプライバシーポリシーに付け加えられたマーケティングスローガンではない。製品を制約する決定である。アカウント番号を忘れた顧客は失われた顧客だ。郵送現金の支払いは業務的に照合が面倒だ。RAMのみのフリートはディスクバックのものより運用コストが高い。このアーキテクチャは高価であり、その高価さこそがno-logsの主張を野心的ではなく構造的なものにしている。

同じ回顧的枠組みで注目すべきは、強制捜査の1か月後、Mullvadがポート転送を完全に廃止すると発表し、変更は2023年7月1日に効力を生じたことだ。同社はこの決定を少数のユーザーによる機能の悪用と、それに伴う上流ホスティングプロバイダーからの圧力に結び付けたが、そのタイミングは4月の事件との関連を無視できないものにした。

ProtonVPNとの対比、2021年

プライバシー擁護者は、ヨーテボリの結果をスイスに本社を置くProtonMailおよびその姉妹VPNサービスに関する2021年の事件と比較した。あの事例では、Youth for Climate運動に関連する気候活動家を捜査するフランス当局の要請により発せられたスイス裁判所命令が、Protonに対し対象アカウントで使用されたIPアドレスのログ記録を強いた。Protonは従った。なぜなら、スイス法は裁判所命令が届いた場合にまさにその種の強制を許可し、アーキテクチャに命令が来た時に従う余地を残していたからだ。

示唆的な違いは、一方の企業が徳があり他方がないということではない。Protonはほとんどの指標で真剣な事業者である。違いは、Protonのプライバシー姿勢がその約束を覆すことができる法域の下でなされた法的約束に依存する一方、Mullvadの姿勢は、同社が誠心誠意そう望んでもデータを産み出すことができないシステムに依存するということだ。一方のモデルは政策によるno-logsである。他方は設計によるno-logsである。2023年4月の強制捜査は、この区別を公的に引き出した初めての欧州のストレステストであった。

「no-logs」カテゴリーに何を変えるのか

数百のVPNがゼロロギングを宣伝している。それを証明する立場に置かれたものは極めて少ない。Private Internet Accessは2016年にそのリストに入った。Preff Cummingsのいたずら捜査におけるFBI召喚状が使用可能なものを返さなかった時だ。ExpressVPNは2017年に加わった。アンカラでのロシア大使暗殺を捜査するトルコの捜査官がサーバーを押収し、関連するログが見つからなかった時だ。Mullvadの2023年4月の結果は、それを極めて短いその仲間入りさせ、しかも書面で送達されたのではなく、対面で執行された令状の下でそうした。

その区別は重要だ。米国拠点の企業弁護士に送達された召喚状は一種のテストだ。国家警察部隊の捜査官6名が、ハードウェアを持ち出す法的権限を持ってヨーテボリの事務所に到着するのは別のテストだ。アーキテクチャが後者の事例に耐え、電話でリアルタイムに連絡できる検察官の前で耐えたという事実は、その主張が芝居ではないという最も強力な証拠である。

Directoryに何を変えるのか

このデスクからの評決は明快だ。私たちは今まで、最近の独立監査をVPNのno-logs主張の最高水準として扱ってきた。ヨーテボリの後、私たちはその上のティアを導入する。機能する裁判所を持つ法域で、実際の法執行押収試行を生き延びた文書化された実績で、結果が事業者自身の開示と同時期の報道の両方を通じて検証可能なもの。Mullvadは今、そのティアに位置する。市場の残りのほとんどはそうではない。

Directoryのホスティング側への含意は並行的である。収集されたデータの不在に依存するアーキテクチャを持つ事業者は、収集されたデータを共有しないという約束に依存するものより、私たちのランキングでより重みを持つに値する。広く同じ原則で運営されるレイキャビクの[1984 Hosting](/service/1984-hosting)の既存掲載は、この観点からより興味深くなり、そうでなくなることはない。私たちは、ユーザーに裏切られないサービスを、書面でそうしないと単に約束したものより推薦したい。

情報源

• Mullvad VPN, Mullvad VPN was subject to a search warrant (2023年4月20日)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

編集履歴

• 2023-04-22 : Mullvadのブログ投稿を熟読し、令状の日付をThe Registerの報道と照合した後、初稿を提出。Bleeping Computerの記事が金曜夕方に掲載されるまで公開を控えた。
• 2023-04-26 : ストックホルムで小規模ホスティング事業を営む友人との長電話で、RAMのみのフリートの実際の運用コストがディスクバックのものと比較してどれほどかかるかを説明してもらった後、アーキテクチャのリストを追加。スウェーデンの報道が管轄を確認していなかったため、根底にある恐喝事件に関する推測の2段落を削除。
• 2023-05-02 : 読者からメールでなぜ言及していないか尋ねられた後、ProtonVPN 2021年の比較を挿入。Protonの2021年9月の透明性レポートとReutersの電報を再読し、気候活動家の詳細を正確に確認。Protonの責任を過大に述べていた以前の行を削除。
• 2023-05-09 : この記事の初稿起草時にはまだMullvadのポート転送廃止発表（5月29日）はなされていなかったため、タイミングに言及する前向きの文を追加。7月1日の移行が実施されたら再検討する予定。
• 2023-05-15 : 評決セクションの最終確認。新しい「文書化された令状生存」ティアを暗黙的ではなく明示的にするため、結論の段落を書き直し、Directory編集者に掲載がまだ有効であることを確認した後、1984 Hosting掲載への相互リンクを追加。