VPNとは？仕組み、隠せるもの、そして限界

VPNとは何で、どのように機能するのですか？

仮想プライベートネットワーク（VPN）は、端末のインターネット通信をすべて、端末とVPNサーバーとの間の暗号化されたトンネルを経由させるサービスです。通信はその後、そのサーバーから最終的な宛先へ向かいます^[1]。暗号化とは、正しい鍵を持つ人だけが読めるようにデータをかき混ぜることです。要求がVPNサーバーから送られてきたように見えるため、VPNはあなたのIPアドレスを隠します。IPアドレスは、おおよその所在地を示し、本人の特定にも使われうる数字のアドレスです^[1]。

Cloudflareは、この接続を4つの段階で説明しています。VPNクライアント（端末上のアプリ）が暗号化された接続を使ってインターネットサービスプロバイダー（ISP）経由で接続し、ISPがその接続をVPNサーバーに渡し、VPNサーバーがデータを復号してあなたの代わりにウェブサイトに接続します。そして、クライアントとサーバーの間の暗号化されたリンクがVPNトンネルと呼ばれるものです^[2]。ウェブサーバーが記録するのは、VPNサーバーのIPアドレスだけです^[2]。

端末上では何が起きているのですか？

技術的には、VPNクライアントはソフトウェアだけで構成されるネットワークアダプターである仮想ネットワークインターフェースを作成し、それを使って通信を暗号化・復号してから、実際のWi-Fiやイーサネットのハードウェアに渡します^[3]。すべての通信がトンネルを通る場合はフルトンネルVPN、ローカルネットワークの通信など一部の通信がトンネルを迂回できる場合はスプリットトンネルVPNと呼ばれます^[3]。

VPNは何に使われるのですか？

デジタル権利団体である電子フロンティア財団（EFF）によると、VPNが最も適しているのは、接続を別のネットワーク経由にするという1つのことで、これは2つの場面で役立ちます。サイトをブロックするネットワークで検閲を回避する場合と、離れた場所から職場のネットワークに接続する場合です^[1]。Cloudflareは、よくある用途として、公衆Wi-Fiでの保護と、地域に基づくコンテンツの制限の回避も挙げています^[2]。

VPNは何を、誰から隠すのですか？

VPNは、送信する通信をISPや、カフェやホテルなどのローカルネットワークの管理者から隠します^[1]。ISPを通過するトンネルは暗号化されているため、ISPはその中で何をしているかを見ることができません^[2]。ウェブサイトから見ると、あなたはVPNサーバーがある場所にいるように見えます^[1]。

ここにある引き換え条件は単純ですが、見落とされがちです。VPNは閲覧内容をISPから隠す一方で、そのすべてがVPNプロバイダーに見えるのです^[1]。EFFは、ISPと同様に、プロバイダーがその情報を売る可能性もあると指摘しています^[1]。Cloudflare自身の解説でも、不誠実なプロバイダーは利用者の情報を売ったり、利用者を攻撃にさらしたりする可能性があるため、VPNで安心できるのはVPNプロバイダーを信頼できる場合だけだとしています^[2]。

また、VPNは、参加するプライベートネットワークの運営者からデータを守るものでもありません。企業のVPNでは企業のネットワークを運営する人が、商用のVPNではサービスを運営する人が通信を見ることができます^[1]。要するに、VPNは信頼をある会社（ISPやWi-Fiの管理者）から別の会社（VPNプロバイダー）に移すものであり、信頼そのものが不要になるわけではありません。

VPNで防げないものは何ですか？

VPNの広告は、犯罪者、マルウェア、政府による監視、オンラインでの追跡を防げるとうたうことがよくありますが、EFFはこうした広告が利点を大幅に誇張していると指摘しています^[1]。主な限界は次のとおりです。

• 追跡。VPNは匿名化のためのツールではありません。企業は、GPS、ウェブのCookie、トラッキングピクセル、フィンガープリンティングによって引き続きあなたを追跡できます^[1]。
• アカウントと履歴。VPNは、ブラウザーやログインしているアカウントに保存された閲覧履歴を法執行機関が入手することを防ぐものではありません^[1]。
• プロバイダーへの法的要請。VPNプロバイダー自体も法執行機関からの要請の対象となり、多くはISPと同程度の情報を保存しています^[1]。プロバイダーは、事業を行う国の法律に従わなければなりません^[1]。
• 支払いによる結び付き。クレジットカードで支払うとアカウントと本人が結び付き、プロバイダーがIPアドレスを収集する場合もあります^[1]。

VPNから通信が漏れることはありますか？

あります。2024年5月、Leviathan Security GroupはTunnelVision（CVE-2024-3661）を公表しました。これは、ネットワーク設定を配布するプロトコルであるDHCPの組み込み機能を利用して、利用者の通信をVPNトンネルの外へ強制的に流し、暗号化されないまま送信させる手法です^[3]。米国の脆弱性データベースNVDは、この問題について、DHCPのオプション121によって端末のルーティングテーブルに経路を追加でき、同じローカルネットワーク上の攻撃者が、VPNで保護されているはずの通信を読み取り、妨害し、場合によっては改ざんできると説明しています^[4]。

研究者のテストでは、VPNは常に接続中と表示され続け、キルスイッチ（VPN接続が切れた場合に通信を遮断する機能）は一度も作動しませんでした^[3]。AndroidはDHCPのオプション121を実装していないため、影響を受けませんでした^[3]。研究者は、VPNは物理的なローカルネットワークへの攻撃を緩和するように設計されておらず、そうでないかのように約束するのは危険だと結論づけています^[3]。

速度はどうですか？

プロバイダーのサーバーの容量によっては接続が遅くなる利用者もおり、利用者とウェブサイトの両方から遠いVPNサーバーは遅延を増やします^[2]。

公衆Wi-FiではVPNが必要ですか？

必ずしも必要ではありません。EFFによると、かつては公衆Wi-FiでVPNを使うことが標準的な助言でしたが、現在ではウェブ通信の大半がHTTPSで暗号化されているため、誰にとってもそれほど必要ではなくなりました^[1]。HTTPSは鍵マークで示されるウェブのプロトコルの暗号化版で、サイトとの間で送受信する内容を暗号化します。

HTTPSが保護するのは通信の内容であり、メタデータではありません^[1]。HTTPSのサイトでは、経路上の第三者は通常、ドメイン名（たとえばwikipedia.org）とアクセスした日時、ページやファイルのサイズを見ることができますが、具体的なページ、ログイン名、メッセージは見えません^[1]。VPNを使えば、ローカルネットワークで盗聴している人からそのメタデータを隠せますが、VPNプロバイダーにはそのすべてが見えます^[1]。

EFFは、信頼できない公衆ネットワークを使わざるを得ず、かつ信頼できるVPNがある場合には、VPNが役立つ可能性があるとしています^[1]。米国連邦取引委員会（FTC）も同様に、無料の公衆Wi-Fiネットワークは安全でないことが多いと警告しており、2018年に出したVPNアプリに関する助言は、公衆Wi-Fiで送信する情報を守ることを念頭に置いたものでした^[5]。ただし、その場合でも、古いバージョンのVPNアプリでは十分に保護されない可能性があります。EFFはその例としてTunnelVisionを挙げています^[1]。

どのVPNプロトコルが安全ですか？

プロトコルとは、VPNがトンネルを構築して暗号化するために使う一連のルールです。VPNがポイントツーポイント・トンネリング・プロトコル（PPTP）のような破られた暗号方式を使っている場合、そこを流れるデータは簡単に復号されて閲覧される可能性があります^[1]。EFFは、一般消費者向けのサービスで一般的になった2つのプロトコルとして、OpenVPNとWireGuardを挙げています^[1]。

WireGuardの開発者は、これをNoiseプロトコルフレームワーク、Curve25519、ChaCha20などの最先端の暗号技術を使った、シンプルで高速かつ現代的なVPNと説明しており、暗号学者によるレビューを受けているとしています^[7]。はるかに規模の大きいIPsecやOpenVPNのコードベースとは異なり、1人で包括的にレビューできるほど小さくなるよう設計されています^[7]。

組織向けには、英国の国家サイバーセキュリティセンター（NCSC）が、最も広く使われているプロトコルはTLSとIPsecであるとし、多くのオペレーティングシステムに組み込まれたオープン標準であることから、VPNアクセスにはIPsecを勧めています。WireGuardは有望に見えるものの、企業環境での実績はまだないとしています^[6]。NCSCはまた、一部のサードパーティのネットワークはIPsecの通信を制限またはブロックしており、TLS VPNのほうが企業のファイアウォールを越えて安定して使える場合があると注意しています^[6]。

AppleのiCloudプライベートリレーは、VPNと混同されることがあります。これはSafariでの閲覧を保護するよう設計されたもので、要求を2つの別々のリレーを経由して送ることで、Apple自身を含め、誰もあなたが誰でどのサイトを訪れているかの両方を知ることがないようにしています。また、すべての国や地域で利用できるわけではありません^[10]。

信頼できるVPNはどのように選べばよいですか？

FTCが挙げる、VPNアプリを使う前の4つの確認事項は、入手する前にアプリについて調べること、アクセス許可の要求を確認すること、情報が暗号化されることを確かめること、情報が第三者と共有されるかどうかを確認することです^[5]。EFFはさらに次の点を挙げています^[1]。

1. プライバシーポリシーを読みます。明確に否定していない限り、プロバイダーがデータを記録している可能性があり、ログを取らないという主張も保証にはなりません^[1]。
2. どのように収益を得ているかを確認します。無料でもデータを売っているVPNもあれば、データ容量に上限を設けたフリーミアム方式や継続課金のサブスクリプションを採用しているVPNもあります^[1]。
3. 公開された監査を探します。独立したセキュリティ監査を受けていることはよい兆候ですが、監査の後に運用が変わる可能性もあります^[1]。
4. 運営者を調べます。誰も自分の評判をかけていないVPNには疑いの目を向け、会社概要のページで創業者やスタッフを確認してください^[1]。
5. 国を確認します。プロバイダーは、政府によるデータ要求に関する規則を含め、事業を行う国の法律に拘束されます^[1]。

アプリストアに掲載されていれば十分ですか？

十分ではありません。EFFは、Google PlayやApple App Storeにあるからといって、VPNアプリが安全だと思い込まないよう警告しています^[1]。AppleのApp Reviewガイドラインは、VPNアプリはいかなる目的でもデータを第三者に販売、使用、開示してはならないと定めています^[9]。それにもかかわらず、Tech Transparency Projectは2025年4月1日、2024年に米国のApp Storeで上位100位に入った無料VPNのうち20本が中国企業の所有であり、いずれもその所有関係を明確に開示しておらず、それらのアプリは7000万回以上ダウンロードされていたと報告しました^[8]。Google Playでは一部のVPNに確認済みバッジが表示されますが、EFFはこれを、調査の代わりになるものではなく、アプリのセキュリティに関する約束をわずかに垣間見せるものにすぎないとしています^[1]。

VPNはどこでも合法ですか？

いいえ。EFFは、禁止措置を含め、各国のVPNに関する方針について最新の情報を把握しておくよう勧めており、ストリーミングプラットフォームがVPNを使っているように見える端末をブロックする例が増えていると指摘しています^[1]。Appleは、VPNのライセンスが必要な地域でVPNアプリを提供する開発者に対し、そのライセンス情報の提出を求めています^[9]。これは一般的な情報であり、法的助言ではありません。お住まいの地域の法律を確認してください。

イランの状況はどうですか？

フリーダム・ハウスの報告書「Freedom on the Net 2024」によると、多くのイラン人は当局がブロックした国際的なサービスにアクセスするためにVPNに頼っています^[11]。2024年2月、サイバー空間最高評議会は無許可のVPNの使用を禁止し、個人は政府の承認を得たうえで許可されたVPNの購入を申請する必要があるとしました^[11]。報告書で引用されているアナリストは、これによってVPNの配布や販売だけでなく使用も犯罪とされたと述べています^[11]。同じ報告書によると、情報通信技術省は2022年10月、違法なVPNを販売または使用した者は刑法第753条に基づいて起訴される可能性があると発表しており、報告書の対象期間中はNordVPN、Proton VPN、TunnelBearなどのサービスにアクセスできませんでした^[11]。「Freedom on the Net 2025」はさらに、2025年6月に全国規模でほぼ完全なインターネット遮断が実施されたと報告しています^[12]。

企業向けのVPNは違うのですか？

違います。企業向けのVPNは、従業員の所在地を隠すのではなく、従業員を社内システムに接続するためのものです。NCSCは、VPNサービスは組織のインターネットに露出した攻撃対象領域の一部であり、セキュリティパッチが公開されたら速やかに更新しなければならないと指摘しています^[6]。また、どの端末もデフォルトでは信頼しないゼロトラストの手法を全面的に採用した組織にとっては、VPNの利点はほとんどないとしています^[6]。

そうした代替手段を販売しているCloudflareは、従来のVPNはネットワーク内のものを自動的に信頼する「城と堀」型のモデルにつながりやすいと主張し、多くの企業が代わりにセキュアアクセスサービスエッジ（SASE）の設計に移行していると述べています^[2]。個人については、多くの人にとってVPNは最も重要なセキュリティ対策ではないというのがEFFの見解で、より効果の大きい対策の1つとしてエンドツーエンド暗号化されたメッセージングを挙げています^[1]。