活動家のための安全なファイル共有：オンラインで安全に

活動家・ジャーナリスト・人権活動家は独自の脅威モデルに直面しています。国家レベルの敵対者、標的型マルウェア、ネットワーク監視、デバイスの押収、そして連絡先に対するソーシャルエンジニアリングです。このような立場での安全なファイル共有には、鍵が一切サーバーに触れないエンドツーエンド暗号化、IP レベルの追跡を防ぐ Tor ルーティング輸送、メタデータの消去、否認可能なストレージ、そしてプライマリサービスがブロックされた際の分散フォールバックが必要です。 WeTransfer や Dropbox のような一般向けツールは IP ログを保持し、アカウントを要求し、本拠地管轄の召喚状に応じるため、この目的には不十分です。

脅威モデルの文書化から始める

ツールを選ぶ前に、誰から何を守るか、そして失敗した場合の影響を書き出します。ロビー活動の文書を追跡しているベルリンの気候活動家と、政権文書をリークしているベラルーシのジャーナリストとでは、直面する脅威が異なります。 Electronic Frontier Foundation の Surveillance Self-Defense ガイドは5つの問いを提案しています。何を守りたいか。誰から守るか。失敗したらどのくらい深刻か。どれほどの確率で脅威が現実化するか。どれだけの手間をかける意志があるか。

民主主義国の国内活動家は民事的な証拠開示、企業による対諜報活動、ドクシング（個人情報の暴露）を心配します。権威主義体制下の活動家は、シグナルインテリジェンス、デバイス押収、国境での捜索、Signal や Tor などのサービスのネットワークレベルのブロックを心配します。一方に効くツールが他方には通用しないことが多いです。

Tor ブラウザ：輸送の基準点

ネットワークレベルの監視を受ける人は、アップロードを Tor 経由で行うべきです。 Tor Browser（Firefox ESR をベースに構築）はトラフィックを3つのリレーを経由して送るため、転送サービスには実際の IP アドレスの代わりにランダムな出口ノードのみが見えます。 Tor を直接ブロックしている国（中国、イラン、ロシアなど）では、obfs4 や meek-azure などのブリッジが Tor のトラフィックを通常の HTTPS に偽装します。

OnionShare は特にこの用途向けに作られています。ユーザー自身のコンピュータ上に一時的な Tor hidden service を立ち上げ、.onion URL を生成して受信者が直接ダウンロードできます。サードパーティのサーバーも中央のログも、召喚状を受けるものも何もありません。デメリットは、送受信者が同時にオンラインである必要があることです（持続的なサーバーで OnionShare を実行しない限り）。

通信チャネルとしての Signal

Signal はメッセージングの標準ですが、ファイル転送ツールとしては中程度の評価です。添付ファイルサイズの上限（執筆時点で100MB）と、暗号化された形式で Signal のサーバーに短期間保存されることが、小さなドキュメントの束より大きいものには不向きにしています。転送リンクと復号パスワードの配信に Signal を使い、リンクとパスワードを決して同じチャネルで送ることはしないでください。 Signal でリンクを送り、対面かまたは Session チャネルでパスワードを送ることで、一方のエンドポイントが侵害されても二つのピースが分離されます。

Signal がブロックされている場合や電話番号登録が露出リスクになる場合の代替として、 Session（Loki ネットワーク上）、 Briar（Tor と Bluetooth 上のピアツーピア）、自己ホストのホームサーバーで Olm/Megolm 暗号化を使う Matrix があります。

クライアントサイド暗号化サービスの選択

ファイル自体については、アップロード前にブラウザで暗号化するサービスを選んでください。

• Cryptpad（フランス、GDPR 準拠、設計上のゼロ知識）
• HexaTransfer（クライアントサイド AES-256-GCM 、アカウント不要、最大7日間保持、最大10GB）
• Tresorit Send（スイス、クライアントサイド暗号化、パスワード保護リンク）
• Proton Drive Share（スイス、ProtonMail と統合）

避けるべきもの：WeTransfer（サーバーサイドのみ）、 Google Drive（米国の法的プロセスの対象、一部のコンテンツをスキャン）、 iCloud（同様）、サインアップに電話番号が必要なサービス。

プライバシーポリシーで確認すべき2点は、IP 保持期間と管轄です。スイスとアイスランドは強力な法的保護を持ち、米国と英国は CLOUD Act と調査権限法のもとで広範な令状なし請求権限を持っています。

メタデータはコンテンツより危険なことがある

スマートフォンから取り出した .jpg には GPS 座標、デバイスモデル、場合によってはシリアル番号由来の識別子が EXIF に含まれます。.docx には作成者の OS ユーザー名が埋め込まれます。.pdf には作成ソフトウェアとしばしば著者名が埋め込まれます。共有前に削除してください。

画像については exiftool -all= photo.jpg が Linux と macOS で EXIF をクリアします。 Android では Scrambled Exif（F-Droid の信頼できるアプリ）があります。ドキュメントは .pdf にエクスポートしてから Adobe Acrobat の「文書を認証」機能か、 LibreOffice の「個人情報を削除」オプションを使います。動画は ffmpeg -map_metadata -1 でコンテナメタデータを除去します。

アップロード前にファイルの名前を変えてください。report-draft-v3-alice.pdf は捜査官に3つのデータポイントを与えます。file.pdf は何も与えません。

デバイスとアカウントの区画化

活動のために専用デバイスまたは VM を使います。 Tails USB 起動（Tor ルーティング、ホストコンピュータに痕跡を残さない）はホストコンピュータに何も残しません。 Whonix はすべてのトラフィックを Tor 経由に強制する2つの VM（ゲートウェイとワークステーション）を実行します。 Qubes OS は各活動を独自の VM に隔離します。

アカウント面では、機密性の高い活動にはそれぞれ固有のメールアドレスを使い、支払いが必要なサービスには可能な限り匿名の手段で支払います（VPS サービスには現金購入のギフトカード、暗号通貨が必要な場合は Monero）。目的は、一つのアカウントやデバイスの侵害が他に連鎖しないようにすることです。

デッドドロップと否認可能性

最も安全な転送は、転送に見えないものです。デッドドロップパターン：暗号化したファイルをランダムな名前で公開ペーストサービスにアップロードし、URL と復号鍵を別々のチャネルで共有します。 VeraCrypt コンテナの隠しボリュームにより、パスワードの開示を強制された攻撃者には無害なファイルのみが見え、本物のペイロードは存在を否定できる隠しボリューム内に留まります。

より高リスクな作業には、 SecureDrop（Freedom of the Press Foundation が運営、 Guardian 、 New York Times 、 Washington Post などが導入）が Tor のみの投稿システムを提供します。情報源は hidden service 経由でアップロードし、ジャーナリストはエアギャップのワークステーションで取得します。リークからジャーナリストへというパターンに特化して設計されており、それが用途であれば学ぶ価値があります。

デバイスが押収された場合の対処

デバイスが物理的なコントロールを離れたとき、侵害されたと仮定してください。国境越え、拘留前、または既知の標的型攻撃の後は、デバイスは完全に侵害されているものとして扱います。実用的な手順を示します。旅行には露出を許容できるアプリとアカウントのみを持つバーナーデバイスを使います。 FileVault 、 BitLocker 、 LUKS で他の場所で再利用しないパスフレーズによるフルディスク暗号化を有効にします。国境越え前に電源を切ります（暗号化鍵はコールドブート時に RAM から消える）。信頼できる連絡先と事前に合意したデュレスシグナルを用意します（特定のフレーズが「アカウント侵害、以前のメッセージを無視せよ」を意味するなど）。

押収後は、すべてのパスワードを変更し、すべてのアクティブなセッションを取り消し（Signal: 設定 > リンクされたデバイス）、過去1週間に転送したすべてのファイルが敵の手にあると仮定してください。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。