FacebookのPGPサポートでメール暗号化は身近になるか?

Facebookが実験的にPGPのサポートを開始した。FacebookユーザーがOpenPGPの公開鍵を登録すると、パスワードの変更などの際にFacebookがユーザーに送信する通知メールがPGPで暗号化される。また、Facebookのプロフィールを通じてOpenPGP鍵を公開または範囲を指定した人たちと共有できる。

暗号化されたらGmailがメールをスキャンできないから「PGPサポートはGoogleつぶし」といった意地悪な見方もあるが、それはゴシップに偏りすぎてポイントを外した見方だと思う。FacebookがPGPをサポートしたところで、一朝一夕にPGP暗号化されたメールのやり取りが増えるとは思えない。PGPはプライバシー保護という点で効果のある技術の1つであり、PGPという名前自体はよく知られている。ところが、利用者は非常に少ない。一般的なメールユーザーが気軽に使えるようなソリューションになっていないからだ。

FacebookのPGPサポートの発表に触れて、筆者も「なぜ?」と思ったが、シンプルに考えたらポイントは、そこにある。鍵のやり取りが面倒でさっぱり普及しないことの解決にFacebookが乗り出した。

公開鍵暗号では、データを暗号化するのに「公開鍵」と「秘密鍵」という2つの鍵を用意し、2つの鍵で暗号化と署名を行う。公開鍵は文字通り"公開"する鍵であり、受信者の公開鍵を使って送信者が暗号化したメールを、受信者は自分の秘密鍵を使って解読(復号化)する。また送信者は自分の秘密鍵を用いて署名し、受信者は送信者の公開鍵を用いて、その署名の正しさを検証するという仕組みだ。

公開鍵暗号でやっかいなのが「公開鍵のやりとり」である。メールをやりとりする相手に、何らかの方法を用いて公開鍵だけを渡さなければならない。偽物が横行しないように安全を考えると、メールなどの直接渡せる方法が望ましいが、それでは渡せる範囲が狭くなる。PGPは相互信用、信用の輪という仕組みで解決を図っているものの、不特定多数とのやり取りを実現する手段として信頼度は決して高いものではない。

でも、そこにFacebookが介在するとしたら話は別である。本人のアカウントと認められているFacebookに関連したOpenPGP鍵であれば、ホンモノの有効な鍵と見なして問題ないだろう。

S/MIMEではなくPGPをサポートしたFacebook

PGPと共にメール暗号化によく用いられるS/MIMEでは、認証局が公開鍵の正当性を証明する。しかしながら、信頼できる認証局には認証費用を支払わなくてはならない。企業が大規模に運用するならともかく、個人で使う分にはS/MIMEは費用が難点になる。手軽だが公開鍵のやり取りに難があるPGP、公開鍵の正当性は証明されるものの費用がかかるS/MIMEと、いずれも一長一短あるわけだ。プライバシー保護が叫ばれる現状を考えると、手間をかけるか、費用を支払う人が出てきそうなものだが、PGPやS/MIMEを導入してまで解決しようという人は少ない。

FacebookがS/MIMEの認証局になったら、信頼できる認証局として認められるだろう。でも、今回はS/MIMEではなく、あえてPGPのソリューションを用意した。Facebookアカウントは、ユーザーが手軽かつ安心にPGPを利用できるユニークな場になり得る。それを提供することから、暗号メールをもっと身近な存在にしようとするFacebookの狙いが垣間見える。

国家安全保障の観点では、PGPのような暗号化はリスクを高める技術と見なされ、サポートに慎重にならざるを得ないのが現状ではある。また現時点でFacebookのPGPがサポートするのはデスクトップのみで、モバイルでの公開鍵管理は「実現する方法を研究している」という段階ではある。しかし、"実験的"なPGPサポートの先に、FacebookがPGPの認証局のような存在を見据えているとしても不思議ではない。将来、同社がS/MIMEを含む総合認証局のような存在なっている可能性だってある。