名前を明かさずにマシンを借りた。
そして、ドアに名前を打ちつけた。

自分の身元を公開せずにドメインを登録することは合法であり、ごく普通のことである。虚偽の情報で登録することはまったく別の話であり、この主題全体はその区別にかかっている。2018年に登録データの扱い方が変わって以来、汎用トップレベルドメインの公開記録はデフォルトで秘匿されている――あなたの情報は収集され保持されるが、単に、請求する誰に対しても公開されないだけである。これが2026年におけるドメインの通常の状態であり、プライバシーの裏技ではない。だからこそ、アドオンとしての「WHOISプライバシー」の市場は、すでに手に入っているものを売る市場にほぼなってしまっている。本当の意味で選択の余地が残っているのは、正確な情報をあなたの法的名義でレジストラのもとに置くか、それとも第三者が登録を保持し、あなたがその第三者と契約を結ぶかである。どちらも合法である。合法でない、あるいは少なくとも長続きしないのは、故意に虚偽の情報を提供することである。ICANNの認定契約のもとでは、レジストラは不正確なデータの報告があれば対応しなければならず、EU域内では、NIS2指令のArticle 28により、レジストリと登録サービスは正確かつ完全なデータを保持し、それを検証する積極的義務を負う。捏造された身元の上に築かれた登録は、誰かが通報した瞬間に取り消される可能性がある登録であり、それはまさに、失いたくないと最も強く思う瞬間である。実務的に成立する立場は、正確なデータを、できるだけ少ない関係者だけが保持し、誰にも公開しないことである。ここに書かれていることは法的助言ではない。

以前ほどではない。そしてその差は、お金を払う前に理解しておく価値がある。汎用トップレベルドメインの場合、公開記録はすでに連絡先フィールドを秘匿して表示しているため、有料のプライバシーサービスを付けても、部外者が読める情報は何も増えない。それでも役に立つことが2つある。秘匿処理が及ばない場所――レジストラ自身のディレクトリページ、一部のレジストリがいまも全文公開しているデータ、バルクフィード、移管確認メール――では、あなたの情報の代わりに転送用アドレスを置き換える。そして、記録上のアドレスに向けられる大量の自動化された悪用と、あなたとの間に一枚の層を置く。行わない3つのことのほうが重要である。レジストラが保持する情報そのものには影響しない。この情報こそ、正式な請求があれば開示されるものである。遡って適用されることもない。その名前がかつて公開の状態であなたの情報で登録されていたなら、そのスナップショットは半数以上の商用の履歴アーカイブに永久に残り、今日プライバシー保護をオンにしてもそれは消えない。そして多くの国コードドメインでは、そもそも利用できない場合がある。何を公開するかを決めるのはレジストラではなくレジストリだからである。これはスパム対策に加えた薄い層として評価すべきであり、匿名性として評価すべきではない。

それは、その暗号資産がどこから来たかに比べればさほど重要ではなく、そこを人々は逆に考えがちである。Bitcoinでの支払いは、金額と時刻をあるアドレスに結び付ける永続的な公開記録であり、そのアドレスがいつかあなたに結び付けられれば――本人確認書類を使って開設したアカウントからそれを引き出したから、それを再利用したから、あるいはチェーン分析会社がそれを特定済みの別のアドレスと同一クラスタにまとめたから――その支払いは、あなたの名前とそのレジストラを、その日という時点で結び付ける耐久性のあるリンクになる。Moneroは金額も送金者も受取人も公開しないため、同じ支払いをしても対応する記録は残らない。しかし、そのMoneroが数分前に、あなたの身元を確認済みの取引所で購入され、レジストラへ直接引き出された場合、その取引所には、インボイスの金額とほぼ一致し、インボイスの時刻とほぼ一致する引き出しの記録が残ることになり、その一致を見出すことは難しくない。実際に役立つ規則は、暗号資産の種類ではなく距離についてのものである。価値を入手した場所と、それを使った場所との間に、時間、金額の形、そして本人に紐付かない経由地を少なくとも1つ置くこと。そして各インボイスの正確な金額をそのまま支払うよりも、ラウンドナンバーの前払い残高をチャージすることを優先すること。MoneroガイドとLightningガイドで、両方の決済手段の仕組みを解説している。

いいえ、そしてこのモデルの良質なプロバイダーはそのことを明確に伝えている。プロキシ所有では、プロバイダーが自らの法的名義でドメイン名を登録し、あなたにはそれを使用し指示する権利が与えられる。あなたが手にするのは契約であって、登録そのものではない。これこそがこの方式を効果的にしている理由である――レジストリのどこにもあなたの記録は存在しない。あなたが登録者ではないからだ――そしてこれこそが、リスクを一点に集中させる理由でもある。今やすべてが一社の財務健全性、その方針、そしてあなたの指示に従う意志――後にあなたが離れたいと思ったときに登録をあなたへ移管する意志も含めて――に依存することになる。これをうまく行うプロバイダーは、要求があれば移管するという明文化された約束を公開し、それを実際に守ってきた実績を可視化している。その実績こそが、あなたに利用できる唯一の実質的なデューデリジェンスである。これを失敗モードと比較して検討すること。プロバイダーが買収された日、規約を変更した日、あなたのコンテンツが方針の範囲外だと判断した日、あるいは単に応答を止めた日――その日、あなたは動かせない名前を抱えることになる。名前を変更できるプロジェクトであれば、この取引はしばしば割に合う。しかし、アドレスそのものがアイデンティティであるもの――公開されたソフトウェアリポジトリ、メールドメイン、顧客を持つショップ――にとっては、プライバシーサービスを付けた通常の登録なら必要のない、第三者への賭けになる。このモデルのプロバイダーの一つをNjalla比較ページで比較している。

1年で古くなってしまうリストを使うのではなく、レジストリ自身の規約ページに対して3つの質問を当ててみること。第一に、適格性の条件――居住、市民権、現地の会社、現地の管理担当者――を課しているか。課しているなら、その条件を満たすとは、実際にそうであることか、そうであると主張することのいずれかを意味し、後者の選択肢は回避策ではなく取消の根拠になる。第二に、レジストリ自身は何を公開しているか。汎用ドメインの登録データポリシーは中央で定められ、連絡先フィールドを秘匿するが、国コードのレジストリは独自の規則を定めており、レジストラが何を売っていようと関係なく登録者名を全文公開するところも複数ある。第三に、そのレジストリの背後には誰がいて、名前を停止した実績はどうか。一部のレジストリは公開された紛争処理手続きのもとで運用されているが、他は国の機関からの非公式な要請でドメインを停止したことがあり、参加できる手続きのないまま押収されたドメインは、あなたが守れないドメインである。誰も尋ねないが誰もが尋ねるべき4つ目の問いもある。2年目の更新にはいくらかかるのか。珍しい拡張子で最初の1年だけ割引価格になり、その後に大幅な通常料金での更新が続くというのは、繰り返し下さなければならない判断であり、更新する余裕のない名前は、いずれそれがドロップするのを見張っていた誰かに失われる名前である。

実在する一群のプロジェクトについては、そのとおりであり、それはこのページで唯一、レジストラもレジストリも更新期限も支払いも存在しない構成である。version-3のonionアドレスは誰からも割り当てられるものではない。自分で生成した鍵ペアから導出される56文字のエンコードであり、そのためアドレスは自己認証型かつ取り消し不能となる――誰もそれを移管させることも、停止させることも、失効させることもできない。それを対象に何かを行うための記録がどこにも存在しないからだ。その代わりに失うのは、Tor Browserをインストールしない人すべてであり、公開向けプロジェクトの大半にとってはほぼ全員を意味し、さらに検索での可視性、メール、通常のホスト名を前提とするあらゆる連携機能も失う。実際に機能する構成は両方を使うことである。到達性のためにこのガイドの説明どおりに登録したクリアネットのドメインと、それを望む人のためのonionサービスを併用し、クリアネット側のサイトにOnion-Locationヘッダーを設定してTorユーザーには自動的にonion版を案内する。これにより、ドメインを失っても生き残るフォールバックも手に入る――onionアドレスは、レジストラがあなたのアカウントを閉鎖した当日でも動作し続け、まさにその日にonionアドレスを持っていてよかったと思うことになる。手順はTor隠しサービスガイドで解説している。

そのとおりであり、これはそれ以外は慎重に構築された設定を最も台無しにしがちな漏洩である。なぜなら、それはあなたが作業を終えて注意を払わなくなった後に働き続けるからだ。公的に信頼された認証機関が発行する証明書はすべて、追記専用の公開ログに提出され、そうでない証明書はブラウザが拒否する。そのログは無料の検索インターフェースによってミラーリングされ索引化されているため、証明書を要求したものの完全なホスト名は、誰にとっても、永久に、キーワード検索一つで見つかる――誰にも推測されないだろうと思っていたstaging.、backup.、vpn.、admin-といった名前も例外ではない。オプトアウトの手段はなく、あるべきでもない。誤発行を検知可能にしているのはまさにそのログだからだ。すっきりした緩和策がある。ゾーン全体に対して1枚のワイルドカード証明書を要求し、すべての内部ホスト名をそこから配信することである。そうすればログの記載は、そのゾーンに対して証明書が存在するということしか示さない。その代償は、より簡単なHTTPの代わりにDNS-01チャレンジが必要になることであり、永久的な情報開示に対して10分の設定作業で済む。先に進む前に、自分のドメインで検索してみること――コマンド1つで済み、かつて発行して忘れていた証明書のせいで、すでに何が載っているかに驚かされる人は少なくない。

これは事故としてではなく、10年のうちのどこかで必ず起こることとして計画しておくこと。きっかけは通常ありふれたものである。暗号資産決済に対する自動不正検知ルール、ドメイン上の何かについての通報、レジストラでの所有権の変更、あるいはその企業がもはや関わりたくないと判断した法域、といったものだ。生き延びられるようにする準備は4つあり、そのすべてに費用はかからない。移管ロックは有効にしたままにしつつ、最新の認証コードをオフラインで保管しておくこと。アカウントを閉鎖したレジストラが、あなたのためにそれを新たに発行してくれることはないからだ。自分の登録データ――作成日、登録済みのメールアドレス、直近の移管日――を暗記しておくこと。どのような復旧手続きでも、それが求められるからである。ゾーンファイルはレジストラの外のどこかにエクスポートして保管しておくこと。そうすれば、新しいレジストラでの再構築は発掘作業ではなく15分の貼り付け作業になる。そして、レジストラをDNS事業者、ホスト、メールプロバイダーと同じ会社にしないこと。1つのアカウントが閉鎖されると、4つすべてを一度に失うことになるからである。それでも起きてしまった場合、レジストラは移管ポリシーのもとで正式な手続きとエスカレーション先を持つことが義務付けられており、その上にあるレジストリも独自の異議申し立て経路を持つ別の関係者である。答えは遅く、手続き的であり、たいていは成功する――ただし、アカウント全体の拠点になっているメールボックスまで一緒に失っていないことが条件である。

通常はすべきではない。これは、このシリーズの中でもセルフホストが弱い答えになる数少ない場面の一つである。権威DNSには、別々のネットワーク上にある2台以上のサーバーが必要であり、まさにメインサーバーを落としたその障害の最中でも正しく動作する必要があり、増幅攻撃への耐性は設定作業ではなく継続的な運用作業として求められる――そしてそれが失敗すれば、その名前を通じて解決されるすべてが一緒に失敗する。状況を修復できたはずの証明書の更新も含めて。これに反対するプライバシー上の論拠もあり、通常の論拠とは逆方向に働く。自分が運用する他のすべてと同じアドレスブロック上で権威サーバーを自前運用すると、それらすべてを直接結び付ける存在になり、誰でも照会できるパッシブDNSのデータセットに現れてしまう。実務的な構成は、機能一覧ではなく本人確認書類を要求するかどうかで選んだ、エニーキャストネットワークを持つDNS事業者を使い、1コマンドでエクスポートできるゾーンを保っておくことである。これは、シリーズの別の場所で扱っているプライベートリゾルバーとは別の作業であることに注意すること。あちらは自分が何を調べたかというログを自分のマシン上に移すものであり、明確な利点がある。こちらは他のすべての人があなたについて何を調べたかを公開してしまうものであり、まったく異なるリスクの種類である。

そのとおりであり、このページの中で最も価値のある5分間である。レジストラアカウントに登録するアドレスは単なる連絡先ではなく、マスターキーである。それは、期限切れになるとその名前を停止させる確認メッセージを受け取り、移管を承認し、パスワードをリセットし、すべての復旧手続きの拠点になる。重要な特性は3つある。まず専用であること。あなたのコミット履歴やフォーラムのプロフィール、2019年の漏洩データに載っているアドレスであってはならない――再利用は、丹念に匿名化された登録が人物に結び付けられる最も多い原因であり、それを避けるのに費用はかからない。次に耐久性があること。存在しなくなる使い捨てのメールボックスは、確認メールを9か月後に発見する原因になり、無料プロバイダーは非活動アカウントを閉鎖する。そして実際に読んでいるものであること。重要なメッセージはまれにしか届かず、重要でないメッセージと見分けがつかないからである。メールプロバイダー上の自分のドメイン、あるいは信頼の鎖の外にある有料のメールボックスを使うこと。ただし、これから登録するドメインそのものは使わないこと――復旧用メールがその名前自身の上にある名前は、失効した時点で復旧できなくなる。同じ機会に、アカウントに時間ベースのワンタイムパスワード方式の第二要素を追加し、リカバリーコードは、それが保護するメールボックスではなく、認証コードと一緒に保管すること。

それらが異なるものを露出しており、片方を握った敵対者はもう片方も探しにくるからである。ドメインの記録が答えるのは「誰がこの名前を登録したか」であり、ホスティングのアカウントが答えるのは「誰がどのアドレスから、どのカードで、このマシンの代金を払い、他に何を運用しているか」である――そして通常、後者のファイルのほうがはるかに情報量が多い。それはまた、公開インターフェースから読み取るのではなく、法的手続きによって開示を求められるものでもあり、それはその情報がどの法域にあるかが、あなたの実質的な露出の一部になるということを意味する。ここから2つの特性が導かれる。マシンがどこにあるかによって、どの法的手続きがそこに届くかが決まる。ストックホルム、ヘルシンキ、オスロ、レイキャビクは、いずれも報道の自由の伝統が強い4つの立憲体制であり、すべてEEA域内にあるため、書面に残さなければならない国際移転の問題もなくなる。そして、アカウントに誰の名前が載っているかによって、そのアカウント自体が何を明らかにするかが決まる――NordBastionでは本人確認書類も、法的氏名も、カードも不要であり、インボイスはMoneroまたはBitcoinで決済され、顧客記録には誰かが求めるであろうものがそもそも含まれていない。これによってドメインが非公開になるわけではない。ドメインを非公開にするものは何もない。それが止めるのは、ドメインがあなたのパスポート情報を含むホスティングのファイルへとつながる連鎖の最初の環になることである。法域ガイドでは、この4都市それぞれの法的な土台を解説している。