Apple が子供への危害を軽減することを意図している 2 つのプライバシー変更は、米国での iOS 15、iPadOS 15、macOS 12 Monterey リリースで iCloud の写真とメッセージに展開されます。
1 つ目は、未成年者の性的虐待を描写した写真の送信と所持を防止することです。正式には「児童性的虐待資料 (CSAM)」、一般的には「児童ポルノ」と呼ばれます。(児童は同意できないため、特定の法的状況を除き、ポルノという用語は使用すべきではありません。) iPhone または iPad から iCloud フォトに写真が同期される前に、Apple はそれらの写真を、暗号化され隠蔽された既知の CSAM のローカルデータベースと比較します。
2つ目の機能は、メッセージアプリで送受信されるすべての画像をデバイス上で機械学習ベースの分析によって分析し、性的な内容を含む画像を識別するオプションを保護者に提供します。この機能はファミリー共有が必要で、18歳未満のお子様に適用されます。有効にすると、お子様は画像の内容に関する警告通知を受け取り、画像を表示または送信するにはタップまたはクリックする必要があります。13歳未満のお子様の保護者は、お子様が「センシティブな」画像を送受信した場合に警告を受け取るように設定することもできます。
Apple はまた、Siri と検索を更新して、危険な状況を認識し、状況に応じた情報を提供し、ユーザーが CSAM 関連のトピックを検索した場合に介入する予定です。
プライバシーとAppleに関してはいつものことですが、今回の変更は複雑で微妙なニュアンスを帯びています。ここ数年、Appleは、メッセージ、写真、その他のデータなど、私たちの個人情報は安全に管理されるべきだと強調してきました。デバイス上での強力な暗号化と、データの送受信における強力なエンドツーエンドの暗号化により、大規模なプライバシー侵害だけでなく、広告目的で私たちの行動、発言、閲覧内容に軽微な侵入を防いできました。
Appleの発表では、これらの変更の主旨は「子どもへの保護の拡大」とされていた。確かにそれは事実かもしれないが、Appleはこれまで、安全対策を組み込み、幼い子どもについて親が年齢相応の見解を持つようにし、犯罪者追跡のためにエンドツーエンドの暗号化を破りiCloudのプライバシーを低下させるようAppleに要求してきた政府を拒絶してきたにもかかわらず、今回のAppleの動きは同社のプライバシー保護の立場全体を危うくするものだと主張することもできる（「FBIがペンサコーラ銃乱射犯のiPhoneを解読、それでもAppleに怒り」2020年5月19日参照）。
たくさんの疑問をお持ちかもしれません。私たちもそうでした。私たちの経験とAppleが公開した情報に基づき、最もよくある質問と思われるものへの回答をいくつかご紹介します。混乱と苦情が相次いだ後、Appleは独自の「子ども向け保護の拡張」に関するFAQも公開しました。これは私たちの分析と推測をほぼ裏付けています。
質問：Apple はなぜこれらの技術を今発表しているのでしょうか？
回答：それが大きな疑問です。今回の展開は米国のみで行われていますが、世界中の政府や法執行機関から、政府主導の児童保護活動への参加強化を求める圧力を受けているのではないかと推測しています。
Appleは、こうした対策を最初に導入した企業どころか、大手IT企業の中では後発の企業の一つだと言われています。他の大手企業はより多くのデータをクラウドに保管しており、そこでは自社の暗号鍵のみで保護されているため、分析や令状の取得が容易になっています。また、これらの技術を支えるエンジニアリングには間違いなく何年もの歳月と数百万ドルの費用がかかったため、Appleの導入の動機は相当なものだったに違いありません。
問題は、児童搾取が2つの異なる意味で極めて非対称的な問題であるということです。まず、比較的少数の人々が、かなり大規模なCSAM取引と直接的なオンライン捕食行為に関与しています。FBIはCSAM濫用の概要の中で、最もよく知られているピアツーピア取引ネットワーク全体で数十万人の参加者が確認されたと述べています。これは全体のほんの一部に過ぎませんが、かなりの数です。ニューハンプシャー大学の児童犯罪研究センターの調査によると、「1年間で25人に1人の若者がオンラインで性的勧誘を受け、勧誘者はオフラインでの接触を試みた」とのことです。インターネットは捕食者にとって恩恵をもたらしてきました。
もう一つの非対称性は、大人の問題認識です。ほとんどの大人は、画像の配布や直接的な接触を通じて搾取が行われていることを認識していますが、自分自身、あるいは子供や家族を通して、直接的な経験や被害に遭った経験を持つ人はほとんどいません。そのため、一部の人は状況を抽象的かつ学術的に捉えています。一方、個人的あるいは職業的に問題に近い人は、いかなる手段を用いても根絶しなければならない恐ろしい行為として捉えているかもしれません。テクノロジー企業が児童搾取を防ぐためにどこまで、そしてどこまでできるかという点については、それぞれの経験の程度によって判断が分かれるでしょう。
CSAM検出
Q: Apple は iCloud フォト内の CSAM をどのように認識するのでしょうか?
A: 当然のことながら、CSAMのデータベースを構築し、それを検証のために配布することはできません。データベースが漏洩し、そこに写っている子供たちが再び被害者になってしまうからです。その代わりに、CSAMチェックシステムは、国立行方不明・被搾取児童センター（NCMEC）が精査・収集した画像の抽象化されたフィンガープリントを利用しています。NCMECは、準政府機関としての役割を担う非営利団体であり、本来であれば所持が違法となる素材の取り扱いを許可されています。NCMECは、新たに作成されたCSAMの追跡と識別、そこに写っている被害者の発見、そして既存の画像の売買の防止に取り組んでいます。（この技術は画像のみに適用され、動画には適用されません。）
AppleはホワイトペーパーでCSAM認証プロセスについて説明しています。この方法により、同社は暗号化された指紋（ハッシュと呼ばれる）のNCMECデータベースを取得し、すべてのiPhoneとiPadに保存することができます。（Appleはデータベースの容量を明らかにしていませんが、デバイスのストレージの大きな割合を占有しないことを願っています。）Appleは、ユーザーのデバイスがiCloudフォトに同期しようとする画像のハッシュを、画像から複雑な特徴セットを抽出する「NeuralHash」と呼ばれる機械学習アルゴリズムを用いて生成します。このアプローチは、NCMEC指紋とのピクセル単位の正確な一致ではなく、あいまい一致を可能にします。画像のフォーマット、サイズ、または色の変更によって、正確な一致が誤認される可能性があります。Howard Oakley氏が、この仕組みについてより技術的な説明をしています。
Appleはハッシュをさらに一連の暗号変換にかけ、最終的にAppleのサーバーに保管される秘密情報を生成します。これにより、デバイスに保存されるデータベース内の画像のハッシュについて、事実上何も知ることが不可能になります。
Q: CSAM 検出は iCloud フォトとどのように関連していますか?
A: このシステムがiCloud写真とどう関係があるのかと疑問に思われても無理はありません。正確には関係ありません。Appleによると、このシステムはiPhoneとiPad上でiCloud写真の同期待ちになっている画像のみをスキャンし、CSAMの一致をチェックするとのこと。処理の2番目の部分は、次に説明するように、アップロードされた画像に基づいてクラウド上で実行されます。
iCloudアカウントに既に保存されている画像で、以前にiCloudフォトに同期されたものはスキャンされません。ただし、システム設計上、デバイス上のすべての画像のスキャンを阻止する規定はありません。また、Appleが後からクラウドスキャン画像チェッカーを開発することを禁止しているわけでもありません。Stratecheryのベン・トンプソン氏が指摘したように、これは「Appleはスキャンできない」という能力と「Appleはスキャンしない」というポリシーの違いです。
Appleはすでにクラウド上の写真をスキャンしている可能性がある。Inc .誌のテクノロジーコラムニスト、ジェイソン・エイテン氏は、Appleのグローバルプライバシーディレクター、ジェーン・ホルバート氏が2020年のCESパネルで、Appleは「この機能に取り組んでいる」と述べたと指摘した。MacRumorsも、同じパネルでのホルバート氏の発言を報じている。「ホルバート氏は、AppleがiCloudにアップロードされた児童性的虐待コンテンツをスキャンしていることを確認した。『児童性的虐待コンテンツのスクリーニングに役立つ技術をいくつか活用しています』と彼女は述べた」。これらの取り組みはAppleのウェブサイトでは公開されておらず、今週も議論されておらず、電子プライバシー擁護団体からも非難されていない。
しかし、NCMECが電子サービスプロバイダ（ESP）から提出された2020年の報告書リストによると、AppleがCyberTiplineシステムに提出した報告書はわずか265件（2019年の205件から増加）で、Facebookは20,307,216件、Googleは546,704件、Microsoftは96,776件だった。Appleは報告書の提出が法的に義務付けられているため、iCloudフォトをスキャンしていたとしたら、報告書の件数は間違いなくはるかに多くなるだろう。
Q. Apple は表面上はプライバシーを保護しながら、どのように画像をマッチングしているのでしょうか?
A: iCloudフォトにアップロード予定の画像はすべてスキャンされますが、マッチングはプライベートセットインターセクションと呼ばれる一方向のプロセスで行われます。そのため、デバイスの所有者は特定の画像が一致したかどうかを知ることはできず、Appleは後になって初めて画像が一致したかどうかを判断できます。しかも、複数の一致があった場合にのみ判断できます。この方法はまた、誰かがiPhoneやiPadを使って画像がデータベースと一致するかどうかをテストするのを阻止します。
スキャン後、システムは画像に対して生成されたハッシュと、その画像の低解像度版を含む安全バウチャーを生成します。バウチャーは画像ごとにアップロードされるため、いかなる当事者（ユーザー、Apple、政府機関、ハッカーなど）も、バウチャーの有無を一致の指標として利用することはできません。さらに、Appleはこれらのアップロードに、生成された誤検知の一致を複数回シードすることで、Apple自身でさえ正確な一致数を集計できないようにしています。
Appleは、iCloudフォトアカウントのCSAMアイテムの数が一定の閾値を超えない限り、これらの安全バウチャーを復号できないと述べている。この閾値秘密分散技術は、ユーザーが実際にCSAMを不正に使用していない限り、画像のプライバシーが確保されることをユーザーに保証するものだ。
Appleは安全バウチャーに2層の暗号化を施しています。外側の層では、ユーザーのデバイスで生成された画像のNeuralHashから暗号情報を抽出します。内側の層では、Appleはデバイス上の暗号化キーを複数の断片に分割します。各バウチャーにはフラグメントが含まれています。Appleが安全バウチャーを解読するには、CSAMフィンガープリントと一致する未公開の画像が必要です。例えば、バウチャーを解読するには、1000個の鍵のうち10個の断片が必要になる場合があります。（厳密には「鍵」ではなく「秘密」という用語を使用するべきですが、「鍵」と考える方が少し分かりやすいでしょう。）
この二層構造のアプローチにより、Appleはバウチャー内の画像を確認することなく、一致するバウチャーのみをチェックできます。Appleのサーバーが、一致する画像を持つバウチャーの数が閾値を超えたと判断すると、秘密鍵が再構成され、一致する低解像度のプレビューが抽出されます。（この閾値はシステムの設計時に設定されています。Appleは後からこの値を変更することもできますが、その場合、新しい閾値に合わせてすべての画像を再計算する必要があります。）
特定の画像枚数という閾値を設定することで、1枚の誤検知が深刻な結果につながる可能性を低減できます。たとえ誤検知率が0.01%と非常に高かったとしても、10枚の画像との一致を条件とすることで、全体的な誤検知の可能性はほぼゼロになります。Appleはホワイトペーパーの中で、「この閾値は、特定のアカウントが誤ってフラグ付けされる確率が極めて低い（1兆分の1）ように設定されています」と述べています。アカウントがフラグ付けされた後も、人間による追加チェックが行われます。
当社のデバイスは、デバイスが生成した偽の一致情報も送信します。これらの偽の一致情報は偽の鍵を使用しているため、Appleは外側のエンベロープは復号できますが、内側のエンベロープは復号できません。このアプローチにより、Appleはすべての鍵が一致して内側のエンベロープを復号できるようになるまで、一致数を正確に把握できないことになります。
Q: Apple は、自社のシステムが謳い文句どおりに動作するかを外部でテストすることを許可しますか?
A: Appleはこのシステムを完全に管理しており、外部監査やその仕組みに関する透明性の向上は期待できないようです。この姿勢は、不正者がシステムを回避する方法についてより詳しい情報を得られないという懸念と整合しますが、同時にAppleだけが保証を提供できるということを意味します。
Appleは、児童保護に関する取り組みをまとめたウェブページで、事前に説明を受けた3人の研究者によるホワイトペーパーへのリンクを掲載している（ページ下部の「詳細情報」を参照）。注目すべきは、研究者のうち2人が、ソースコードにアクセスできたかどうか、あるいはAppleのホワイトペーパーに記載されているシステムの説明以上の情報にアクセスできたかどうかについて言及していない点だ。
3人目のデイビッド・フォーサイスは、ホワイトペーパーの中で「Appleは、このシステムの実用的な性能に関する一連の実験的および概念的な資料を私に示し、システムの詳細な説明をしてくれた」と記している。しかし、このような暗号化およびプライバシーシステムにふさわしい外部からの厳密な評価は、そう簡単ではない。
結局のところ、私たちがどれほどそうではないことを望んでいるとしても、Appleは自社のシステムについて、たとえごく個人的な情報であっても、外部の監査人や専門家に公開したことはほとんど、あるいは全くありません。ここでも、それと同じようなことは期待できないでしょう。
Q: iCloud フォトの CSAM スキャンはプライバシーにどのような影響を与えますか?
A: 繰り返しになりますが、AppleはiCloudフォトに既に保存されている画像をこの技術でスキャンすることはないと述べており、実際にスキャンを開始した例も見当たりません。今回の発表では、iCloudフォトに同期される写真に対して、デバイス上で画像チェックを行うとしています。Appleによると、アカウントがアップロードしたすべての画像で一致が一定数に達するまで、具体的な一致は通知されないとのことです。この閾値を超えた場合にのみ、Appleは一致した画像にアクセスして確認できるようになります。画像が一致したCSAMと実際に同一である場合、Appleはユーザーのアカウントを停止し、NCMECに報告します。NCMECは法執行機関と連携して、今後の対応を検討します。
iCloud写真のオンラインストレージは、メッセージよりもセキュリティレベルが低いことに注意してください。メッセージはエンドツーエンドの暗号化を採用し、必要な暗号化キーはデバイス内でのみ利用可能でAppleには開示されませんが、iCloud写真は安全な接続で同期されますが、Appleが閲覧・分析できる方法で保存されます。この設計により、法執行機関はAppleに画像の共有を法的に強制することができ、過去に実際にそのような事例が発生しています。Appleは写真や動画を含むiCloudデータのプライバシーを守ることを約束していますが、メッセージのように技術的にアクセスを阻止することはできません。
Q: Apple はいつユーザーを NCMEC に報告するのでしょうか?
A: Appleによると、照合プロセスでは、暗号閾値を超える前に複数の画像が一致する必要があるとのことです。この閾値を超えると、一致と画像を再構築し、内部アラートを発することができます。その後、人間が一致を審査します（Appleはこれを「手動」と表現しています）。その後、NCMECに報告します。
異議申し立ての手続きも用意されているが、Appleは「自分のアカウントが誤ってフラグ付けされたと感じた場合は、アカウントの回復を求めて異議申し立てを行うことができます」とだけ述べている。NCMEC、ひいては法執行機関に報告された人にとって、iCloudへのアクセスを失うことは、最小限の心配事に過ぎない。
（潜在的なCSAMを「手作業」で精査する哀れな人々には、少しばかりの同情を払いたい。これは大変な仕事であり、多くの企業がその仕事を請負業者に外注している。しかし、請負業者は保護措置がほとんどなく、PTSDなどの問題を抱えている可能性がある。Appleにはもっと良い対応をしてほしい。Appleが言うように、高い閾値を設定することで、誤検知を人間が確認する必要性が劇的に減るはずだ。）
Q. Apple は基準を変えて、CSAM よりも多くのものをスキャンすることはできないのでしょうか?
A: まさにその通りです。企業がそうするかどうかは別の問題です。電子フロンティア財団はこの問題を率直に述べています。
…児童が送受信する性的に露骨な画像のみをスキャンするクライアント側スキャンシステムを構築することは不可能です。結果として、たとえ善意からそのようなシステムを構築しようとしたとしても、メッセンジャーの暗号化自体の重要な約束が破られ、より広範な悪用につながる可能性があります。
このシステム全体に透明性は全くありません。これは、既に搾取されている子どもたちがさらなる被害を受けないようにするための、意図的な設計です。政治家や児童擁護団体は、CSAMを検出し、それを受け取ったり配布したりする者を特定する取り組みが、プライバシーに重大な影響を及ぼす可能性についての懸念を軽視する傾向があります。
Appleのプライバシー責任者であるエリック・ノイエンシュワンダー氏は、ニューヨーク・タイムズ紙に対し、「CSAM資料のコレクションを保管しているのであれば、確かにそれはあなたにとって有害です。しかし、それ以外の人にとっても、これは同じことです」と語った。
CSAMのダウンロードや送信を行う人はごく少数であること（そしてクラウドベースのサービスを利用するのは本当に愚かな人たちだけで、大半はピアツーピアネットワークかいわゆる「ダークウェブ」を利用している）を考えると、これは「盗品所持の罪がないなら、自宅にAppleのカメラを設置して、あなたがすべてを所有していることを証明してもらいましょう」と言っているのと同じような、根拠のない発言です。プライバシーと公民権と、子供たちのさらなる搾取からの保護を天秤にかけるのは、綱渡りのような行為です。ノイエンシュヴァンダー氏のような「全か無か」の発言は、反対意見の正当性を認めるのではなく、それを克服することを目的としているのです。
Apple は FAQ の中で、CSAM 以外の画像をデータベースに追加する要求は拒否し、CSAM 以外の画像がシステムに挿入されないようにシステムが設計されていると述べています。
Q: このシステムが公民権やプライバシー擁護者にとって懸念されるのはなぜですか?
A: Apple は、無実の人々のプライバシーを保護するために、高度なテクノロジーを使用してデバイス上のユーザーの写真をスキャンするシステムを作成しましたが、Apple は依然としてユーザーの同意なしにデバイス上のユーザーの写真をスキャンしています (iOS 15 をインストールする行為は真の同意とはみなされません)。
既知のCSAMを保有・配布する者を特定し、訴追することは称賛に値します。しかし、Appleは間違いなく、デバイス内スキャンの範囲拡大を求める政府からの多大な圧力に直面することになるでしょう。Appleは既に抑圧的な政権によってプライバシー保護の姿勢を妥協せざるを得ず、米国の法執行機関でさえiPhoneへのバックドアアクセスを強く求め続けていることを考えると、これは真剣な懸念事項です。AppleのFAQでは、この問題に直接言及し、次のように述べています。
これまで、ユーザーのプライバシーを侵害する政府による変更の構築と導入を求める声に直面してきましたが、私たちは断固として拒否してきました。今後も引き続き拒否していきます。なお、この技術はiCloudに保存されているCSAMの検出に限定されており、政府による拡張要求には応じません。
一方で、この標的型スキャンは、完全暗号化バックドアに対する法執行機関や規制当局からの圧力を軽減する可能性があります。Appleがこのソリューションを開発するにあたり、米国当局と水面下でどの程度の交渉が行われたかは不明です。また、Appleの資料には現職の政府関係者の発言は一切なく、元米国司法長官エリック・ホルダー氏のような過去の政府関係者の発言のみが引用されています。Appleは可能性の扉を開きましたが、それが今後どのように展開していくのかは誰にも分かりません。
Appleの暗号化技術の透明性と外部監査の欠如を頻繁に批判しているセキュリティ研究者のマシュー・グリーン氏は、ニューヨーク・タイムズ紙に次のように語った。
彼らは世界にプライバシーを売り渡し、人々にデバイスを信頼させてきました。しかし今や、あらゆる政府の最悪の要求に屈服しているようなものです。彼らが今後、どうやってノーと言うのか、私には想像もつきません。
メッセージ内の画像スキャン
Q: Apple はどのようにして、子どもが性的な画像を送受信することを保護者が監視できるようにするのでしょうか?
A: Appleは、全プラットフォームのメッセージアプリに「コミュニケーションの安全性」オプションを組み込むと発表しました。これは、ファミリー共有グループに参加している18歳未満のお子様のみが利用できます。（Appleの発表では「iCloudでファミリーとして設定されたアカウント」と表現されているため、ファミリー共有の名称が変更される可能性があると推測されます。）この機能を有効にすると、ファミリー共有でお子様のアカウントにログインしているすべてのデバイスで、送受信されるすべての画像がデバイスベースでスキャンされます。
Appleは画像にはアクセスせず、機械学習システムが性的に露骨な可能性のある画像を識別すると述べている。これはCSAM検出とは全く別のシステムであることに留意してほしい。これは任意の画像を識別するように設計されており、既存のCSAMデータベースと照合するものではない。
Q: 「センシティブな画像」を受け取ったらどうなるのでしょうか？
A: メッセージアプリは、受信した画像をぼかします。お子様には、画像の下に「センシティブな内容が含まれている可能性があります。写真を表示…」という警告と、オーバーレイされた警告が表示されます。そのリンクをクリックすると、「センシティブな内容が含まれている可能性があります。よろしいですか？」という説明が全画面で表示されます。お子様は「よろしいです」をタップして先へ進む必要があります。
13歳未満のお子様の場合、保護者はお子様のデバイスがリンクをクリックした際に保護者に通知するよう設定できます。その場合、お子様には保護者に通知されることが通知されます。その後、「写真を表示」をタップして続行してください。「写真を表示しない」をタップした場合は、設定に関わらず保護者に通知されません。
Q: 子供が「センシティブな画像」を送信しようとするとどうなりますか?
A: 同様に、メッセージアプリはそのような画像の送信について警告し、13歳未満のお子様でオプションが有効になっている場合は、保護者に通知されることをお知らせします。お子様が画像を送信しない場合、保護者には通知されません。
Siriと検索
Q: Apple は Siri と検索における児童保護をどのように拡大していますか?
A: 自殺念慮を抱いている人や、そのような状態にある人を知っている人向けのリソースに関する情報が、関連ニュース記事に掲載され、家庭用音声アシスタントでも提供されるようになったように、AppleはSiriと検索機能を拡張し、CSAMに対応させます。同社は、2種類の介入を提供すると述べています。
- CSAM または児童搾取の報告について質問すると、「どこにどのように報告するか」に関する情報が提供されます。
- 誰かが児童に関する搾取的な素材について質問したり検索したりした場合、Appleは「こうした介入により、このトピックへの関心が有害かつ問題があることをユーザーに説明し、この問題の解決に役立つパートナーからのリソースを提供します」と述べている。
Appleはパンドラの箱を開けてしまったのか？
Appleにとって、このデバイス上でのアクセスを単一のユースケースに限定することは非常に困難となるでしょう。CSAMシステムを他の形式のコンテンツに拡張することを妨げる技術的な障害がないだけでなく、この技術の初期バージョンは多くの組織で使用されており、主要な業界セキュリティ標準のほとんどに組み込まれています。例えば、テキスト、画像、ファイルのハッシュもスキャンするデータ損失防止（DLP）と呼ばれる技術は、任意に定義された幅広いコンテンツを識別するために、エンタープライズテクノロジーで既に広く利用されています。
Appleがこれまでの方針を堅持し、クライアント側スキャンの使用をCSAMの識別のみに限定し、児童を虐待から守るという方針を貫くならば、この動きは同社にとって歴史の脚注に過ぎなくなるだろう。しかし、Appleは世界中の政府から、このデバイス内スキャン技術を他のコンテンツにも適用するよう強い圧力を受けることになるだろう。これらの政府の中には、Appleが事業継続のために既にプライバシー慣行を調整している国々において、抑圧的な政権を担う政府も含まれる。もしAppleがこれらの要求に屈するならば、今回の発表はプライバシーの擁護者としてのAppleの終焉を告げるものとなるだろう。