EUが、エンドツーエンド暗号化にもう一度手を伸ばしてきました。きっかけは、欧州委員会が公表した内部安全保障戦略「ProtectEU」です。表向きは治安やサイバー犯罪対策の計画ですが、記事を読む限り、その中には法執行機関が暗号化されたデータにアクセスするための道筋がかなりはっきり含まれています。通信の安全を守るはずの暗号化に、政府側がどう入り込もうとしているのか。今のうちに見ておく価値があります。
元記事によると、EUは新しい内部安全保障戦略「ProtectEU」を通じて、再び暗号化バックドアの導入を狙っているとされます。今回は露骨な法案提案ではなく、あくまで今後数年にわたる「vision and workplan」として示されました。つまり、すぐに法律で縛るというより、まずは土台を作る段階だということです。
欧州委員会の説明では、背景にあるのは「growing」な脅威です。敵対的な国家、オンラインで活動を強める犯罪組織やテロリスト、さらに増え続けるサイバー犯罪と重要インフラへの攻撃が挙げられています。こうした状況を踏まえ、ProtectEUは6つの重点分野を掲げ、その一つに「more effective tools for law enforcement」を置いています。記事はここが、オンラインの暗号化への攻撃につながる部分だと見ています。
実際、EUは暗号化バックドアという言葉を避け、もっと穏やかな表現を使っています。たとえば「lawful and effective access to data for law enforcement」や「encrypted dataにアクセスするためのtechnological solutions」といった言い回しです。さらに「encryption on a technology roadmap」を作ると明記されていて、これが“解決策”を見つけるための下準備になる、と記事は指摘します。
ProtectEUには他にも、加盟国間の intelligence sharing を強めることや、EUの Single Intelligence Analysis Capacity（SIAC）を使って脅威を「anticipate」する構想が盛り込まれています。加えて、EUの法執行機関 EUROPOL に、国境をまたぐ大規模捜査などでより強い権限を与え、「a truly operational police agency」にしていく考えも出てきます。ただし、加盟国には「支援を強化する」ためだと説明されています。
記事が強く警戒しているのは、こうした流れが結局、暗号化を弱める制度設計につながる点です。暗号化は私的な会話だけでなく、金融取引や日常の安全性も守っています。EUは将来のバックドア導入でも cybersecurity と fundamental rights を守ると約束していますが、記事はそれを信用できないと見ています。一度バックドアが入れば、それは法執行機関だけのものではなく、敵対的な国家や非国家主体にも利用されうるからです。
私がまず気になったのは、ProtectEUがいかにも穏当な言葉で包まれていることです。「lawful access」や「technological solutions」という表現は、聞こえはよいですが、実際には暗号化された通信に政府側の抜け道を作る話に近い。問題は、抜け道が“正規の利用者だけが使える”状態で固定できないことです。セキュリティの世界では、例外的なアクセス権はたいてい例外のままには収まりません。鍵を持つ人数が増えれば、漏えいの確率も上がる。これは観念論ではなく、設計上の話です。
EUが「基本的人権も守る」と同時に言っている点も、少し引っかかります。もちろん、政治家や官僚が安全保障と権利保護の両方を口にするのは自然です。ただ、暗号化については両立がかなり難しい。強い暗号化は、そもそも第三者が中身を見られないようにする技術だからです。そこに「必要なら見られる」仕組みを入れれば、守られる範囲は必ず狭くなる。記事が「誰もそんな保証はできない」と切っているのは、かなり筋が通っています。
もう一つ重要なのは、EUがこの話を単独の暗号化問題として扱っていないことです。ProtectEUは、intelligence sharing や SIAC の強化、EUROPOL の権限拡大とセットで動いています。つまり、個別の捜査権限を広げるだけでなく、情報を集約し、分析し、中央寄りに運用する方向です。ここに暗号化アクセスが乗ると、単なる「捜査の便利化」では済まなくなる。国家間の協力という名目で、監視の基盤が太くなるからです。
EUROPOL を「a truly operational police agency」に近づけるという表現は、地味ですが重いです。もともとEUの治安協力は、加盟国の主権と折り合いをつけながら進んできました。それをより中央集権的な運用に寄せるのが、この構想です。もし EUROPOL が越境・大規模捜査の中心になり、その前提として暗号化データへのアクセスが整備されるなら、実務上の圧力はかなり強くなるはずです。
ここで見落とせないのは、対象が「悪い人だけ」ではないことです。暗号化バックドアの議論は、いつも犯罪捜査の必要性から始まりますが、仕組みができたあとに例外適用が広がる可能性は避けにくい。テロ対策、児童保護、国家安全保障、サイバー犯罪対策と、理由はいくらでも増やせます。最初は限定的でも、運用は膨らむ。これは各国で何度も見てきた動きだと思います。
しかもEUは、加盟国の警察や情報機関を直接まとめ上げるのではなく、「支援の強化」と説明するのが上手い。ここが厄介です。表向きは主権尊重に見えるのに、実際には権限と分析基盤を一方向に寄せていく。読み手としては、そのギャップを疑ってかかる必要があります。暗号化の問題は技術論の顔をしていますが、実際には統治の問題です。誰がどこまで見られるのか、誰が例外を決めるのか、その設計が一番大事です。
ProtectEUでいちばん警戒すべきなのは、派手な強権宣言ではなく、「技術的な解決策」を探すという部分かもしれません。ここには、政治的に反発を受けやすい「バックドア」という単語を避けつつ、結論だけ同じ方向へ持っていく匂いがあります。暗号化を弱める方法は、実装上いくつか考えられても、それが安全だと証明するのは別問題です。むしろ証明できないからこそ、議論はいつも泥沼になります。
この種の計画が本当に危ないのは、技術者や一般ユーザーが「自分には関係ない」と感じやすい点です。けれど、暗号化は専門家だけの道具ではありません。メッセージアプリ、クラウド、決済、医療情報、企業の内部連絡まで、あらゆる場面に入っています。そこに弱点が入れば、狙われるのは犯罪者だけではない。情報の価値が高い場所ほど、国家レベルの攻撃にもつながります。
私は、EUのProtectEUは「治安のための現実策」というより、監視の正当化を少しずつ言い換えている計画に見えます。もちろん、捜査機関が暗号化の壁に頭を抱えているのは事実でしょう。それでも、壁を壊す方法を探すより、権限の範囲を絞り、捜査の精度を上げ、既存の法的手続きを厳格に運用するほうが筋がよいはずです。暗号化を例外なく守る姿勢は、面倒でも、長期的には社会全体の安全にかなうと思います。
参考: EU's ProtectEU Plan Renews Push for Encryption Backdoors
