雲から雑草へ：新製品における不正使用へのCloudflareの取り組み

昨日のブログ記事で、当社のサービスを利用するWebサイトのコンテンツに対応するため、数多くのさまざまな要求に直面したときに私たちが依拠する原則について述べました。私たちの考えでは、他のユーザーがオンラインでコンテンツを共有し、アクセスするために当社が提供するビルディングブロックは、コンテンツに中立的な方法で提供されるべきです。また、ユーザーは、苦情や法執行機関の要請に対応するために当社が設けているポリシー、受ける要請の種類、およびその要請への対応方法を理解する必要があると考えています。この記事では、これらの原則がどのように実行されるのか、特に、拡大するCloudflareの一連の機能および製品に関して、「汚れ仕事」として取り上げることにします。

現在、Cloudflareのネットワークを利用する1,300万以上のドメインのうち、1％未満について不正利用通報や法執行機関の要請を受けています。私たちが受け取る報告は、フィッシング、マルウェア、その他ネットワークの技術的な不正利用から、コンテンツに関する苦情までさまざまですが、圧倒的に多いのは著作権侵害やその他の知的財産権侵害の申し立てです。私たちが受け取る苦情のほとんどは、特定のCloudflareのサービスや製品に関する懸念と判断するものではありません。

また、当社はここ1年ほどで、動画製品（Cloudflare Stream）をはじめ、サーバーレスエッジコンピューティングプラットフォーム（Cloudflare Workers）、セルフサーブRegistrarサービス、プライバシー重視の再帰的リゾルバ（1.1.1.1) などさまざまな新製品を発売しています。これらのサービスは、それぞれ独自の複雑な問題を提起しています。

当社製品の不正使用の可能性に対処するための万能なソリューションはありません。サービスの種類によって期待されるものも違えば、法的・契約的な義務も異なります。しかし、月曜日に透明性へ重点を置くことに関連して述べたように、完全な透明性とは、一貫性があり予測可能であることを意味し、そのためユーザーは、新しい状況に対して私たちがどのように対応するかを予測することが可能となります。

苦情と法執行機関の要請の両方に対応する方法を整理するため、新しい製品や機能を導入する際には、当社が提供するサービスとコンテンツに関する潜在的な苦情との関連性について、次の4つの基本的な質問を自問しています：

• 第一に、Cloudflareのサービスは、Webサイトのコンテンツとどのように相互作用しているか。例えば、私たちはセキュリティを提供し、ある場所から別の場所への信頼できる経路として機能する以上のことを行っているか。コンテンツの恒久的ストレージを提供しているか。Registrarサービスを通じて、Webサイトにドメイン名を提供したか。Cloudflareのサービスや製品は、コンテンツの編成、分析、促進とみなされるようなことを行っているか。

• 第二に、法執行機関や民間の苦情申立人が、私たちにどのような行動をとることを望むか、そしてその結果はどのようなものになるか。法執行機関は、ユーザーに関する個人情報、インターネットで送信された内容、行動を追跡するログなど、どのような情報を要求するか。第三者がWebサイトに関する情報を要求するのか？インターネットからのコンテンツの削除を要求するか。私たちのサービスを削除すれば、提起された問題は解決するか。

• 第三に、どのような法律、規制、契約上の要件が適用されるか。オンラインコンテンツとの相互作用の性質は、当社の法的義務に影響を与えるか。法執行機関の要請または規制は、法の支配または適正手続きの基本原則を満たしているか。

• 第四に、提示された問題に対する私たちの対応は、時間の経過とともに受け取る可能性のある、多種多様な要求や苦情に対応できるように拡大でき、さまざまな主題や視点を取り扱うことができるようになるか。要求に応えるために、原則的で内容に中立的なプロセスを構築できるか。私たちの対応は、問題となったコンテンツ以外にも影響を与えたり、問題となった法律や規制が発行された法域以外のインターネットを変えたりすることで、過度な影響を及ぼすだろうか。

このような予備的な質問は、私たちが取るべき行動を決定するのに役立ちますが、同時に私たちは、苦情に対処するためにとる可能性のあるあらゆる措置が、インターネットに及ぼす幅広い影響について考えることにも全力を尽くします。

Cloudflareのネットワークは、サイバー攻撃からお客様を守り、Webサイトのパフォーマンスを向上させるために、お客様のサイトの前に設置されているため、不正使用の苦情が寄せられることが多いのです。

セキュリティまたはCDNサービスを提供する側に対し、コンテンツに対処する義務を課す法律や規制はあまり多くなく、それには正当な理由があります。コンテンツについて苦情を言うほとんどのユーザーは、そのコンテンツをインターネットから完全に取り除くことができる人を探しています。他の機会でお話ししたように、Cloudflareはホストしていないコンテンツを削除できないため、意図した対象者、つまりインターネットから素材を削除することができるホスティングプロバイダーに、その苦情が確実に届くように努めています。当社の不正利用通報ページに記載されているように、苦情を申し立てた当事者はホスティングプロバイダーへの連絡方法に関する情報を自動的に受け取り、苦情を申し立てた当事者が別段の要求をしない限り、不正利用に関する苦情はWebサイトの所有者とホスティング会社の両方に自動的に転送され、彼らが対応できるようになります。

このアプローチには、私たちが自らに問いかける第四の質問と一致する、もう1つの利点があります。不必要に無遠慮なツールでコンテンツに対処することを防ぐことができます。Cloudflareは、Webサイト上の問題のあるコンテンツのほんの一端から、そのセキュリティやCDNサービスを削除することはできません。私たちがサービスを削除するとなると、ドメイン、またはサブドメイン全体からでなければならず、かなりの巻き添えを食う可能性があります。例えば、独立した個々のユーザーがコンテンツをアップロードできる膨大な数のサイト（「ユーザー生成コンテンツ」）を思い浮かべてください。Webサイトの所有者やホストは、特定のコンテンツをキュレートしたり、取り扱ったりできるかもしれません。しかし、Cloudflareのような企業が、1人のユーザーが1つの気になるコンテンツをアップロードしたことによる不正利用の申し立てに対して、サイト全体から当社のコアサービスを削除し、サイバー攻撃に対して脆弱な状態にしなければならないとしたら、それらのサイトははるかに運営困難になり、他のすべてのユーザーが投稿したコンテンツが危険にさらされることになるでしょう。

同様に、インターネット上の各接続が正常に行われるように、DNS、Registrar、レジストリ、セキュリティなど、さまざまなインフラサービスが連携しているのです。もし、これらのサービスを提供する各プロバイダーが、どれか1つによってでも送信全体を危険にさらす可能性があるのに、コンテンツに対処するために無遠慮なツールを適用するなら、どんなコンテンツがオンラインに留まるかの開口部はますます小さくなってしまうでしょう。それは、インターネットにとって悪い結果となります。オンライン上の問題あるコンテンツに対処するための行動は、意図しない副次的な結果を避けるために、実際の懸念事項に焦点を絞る必要があります。

当社がホストしていないコンテンツを削除することはできませんが、フィッシングやマルウェア攻撃など、当社のサービスの不正利用に対処するための措置を講じることは可能です。フィッシング攻撃は、通常、安全性が損なわれたWebサイト（非意図的フィッシング）と、意図的に他人を欺いて情報を収集することだけに特化したWebサイト（意図的フィッシング）の2種類に分類されます。これらのバケットは別扱いになっています。

不正利用に対処する際、可能な限り正確なツールを使用することを目指していると前述しましたが、非意図的フィッシングコンテンツに対しても同様のアプローチをとっています。Webサイトの安全性が損なわれた場合（一般的に古いCMS）、特定のフィッシングコンテンツの前に警告のインタースティシャルページを設置し、ユーザーが誤って攻撃の犠牲にならないよう保護できます。ほとんどの場合、この措置はURLレベルの粒度で行われます。

my-totally-secure-login-page{.}comのようなドメインの意図的フィッシング攻撃の場合、当社の信頼・安全担当チームがWebサイト上のフィッシングコンテンツの存在を確認できることと合わせて、ドメイン全体に渡ってインタースティシャル警告ページ（実質的に*my-totally-secure-login-page{.}/*）を設置するなど幅広い対応をし、場合によっては意図的に悪意を持ったドメインに対する当社のサービスの停止もあります。ただし、これはWebサイトのホスティングプロバイダーによってホストされたままのフィッシングコンテンツを削除するものではありません。最終的には、根本的な問題を完全に取り除くために、Webサイトの所有者やホスティングプロバイダーが対策を講じる必要があります。

私たちのアプローチでは、ある種のストレージを含むCloudflare製品の数は少ないものの増加しているため、別の対応が必要だと考えています。例えば、Cloudflare Streamは、ユーザーが動画を保存、トランスコード、配信、再生することができます。そして、Cloudflare Workersは、ユーザーがコアホストサーバーなしで、当社のネットワークのエッジに特定のコンテンツを保存することを可能にするかもしれません。当社はWebサイトのホスティングプロバイダーではありませんが、これらの製品は、場合によっては特定のコンテンツが保存される唯一の場所となる可能性があることを意味しています。

当社がいずれかのサービスを通じてコンテンツの明確なリポジトリとなる場合、Cloudflareはそのコンテンツに関する苦情を慎重に検討し、政府または民間団体のいずれかからの有効で法的な削除要請に応じて、そのコンテンツへのアクセスを無効に可能性があります。多くの場合、これらの法的な削除要請は、著作権侵害を主張する個人からのものです。米国デジタルミレニアム著作権法では、オンラインストレージプロバイダーが、著作権侵害の疑いのあるコンテンツを削除またはアクセス不能にし、その素材を投稿した人にそれが侵害を行っていることを主張する機会を提供するための特定のプロセスが定められています。私たちはすでに、ネットワーク上に保存されているコンテンツに対して、このプロセスの実施を開始しています。そのため、当社のネットワークに保存されているコンテンツについて、米国著作権法に基づくコンテンツの削除要請について、 透明性レポートの新しいセクションを開始しました。

私たちのネットワークに保存されているコンテンツに対して、削除を求める政府からの要請はまだ受けていません。政府がコンテンツの削除を命じることは、表現の自由に大きな影響を与える可能性があるため、今後、こうした要請を受けた場合には、その事実関係と法的根拠を慎重に分析します。その命令が有効であり、Cloudflareの対応が必要であると判断した場合、当社は、例えば、過度な要求に関して明確にしたり、コンテンツへのアクセスのブロックを現地法に違反する地域に限定する（「ジオブロッキング」と呼ばれる）など、可能な限り狭い範囲でその要請に対応するために最善を尽くします。また、今後、政府から要請があった場合は、その対応について透明性報告書を更新していきます。

当社のセルフサーブRegistrarサービスに申し込まれた場合、お客様は、世界中のユニークなインターネット識別子を調整する責任を負う非営利組織であるICANN（Internet Corporation for Assigned Names and Numbers）との契約条件、および関連するドメイン名レジストリとの契約条件に法的に拘束されます。

Registrarに特化した不正利用報告のための当社のWebページでは、Webサイトのコンテンツに関する不正利用の苦情を参照していません。ドメインRegistrarとしての役割において、Cloudflareは、ドメインから特定のコンテンツを削除するための制御手段や能力を持ちません。私たちが行うことは、単にドメイン登録を完全に取り消したり一時停止したりすることで、Webサイトの所有者がドメイン名を制御できないようにすることに限定されるでしょう。このような措置は、通常、関連するドメイン名レジストリの指示により、トップレベルドメインに関連する登録規則に従って、もしくは通常、レジストリまたはICANNによって提起された不正利用の事件に対処するためにのみ行われるでしょう。したがって、当社のRegistrarサービスに基づいて提出されたコンテンツ関連の苦情は、当社のCDNまたはプロキシサービスを使用しているサイトのコンテンツに関する苦情と同じように扱われます。当社は、Webサイトの所有者とWebサイトのホスティング会社に転送して、彼らが措置を講じることができるようにするか、関連するレジストリと連携して、その指示のもとで作業を行います。

Registrarサービスの運営には、その他の法的義務が伴います。ICANN認定Registrarとして、当社の契約義務の一部には、世界知的所有権機関（WIPO）や全米仲裁フォーラムなどのプロバイダーが扱う商標紛争に関する第三者紛争解決プロセスを遵守することが含まれています。また、当社は、EUの一般データ保護規則（GDPR）やその他のプライバシーフレームワークと整合性のある方法で、WHOISデータベースの個人データの収集、公開、アクセス提供をどのように扱うのが最善か、ICANNコミュニティの議論に引き続き参加しています。そのあたりは、議論が熟した段階で、改めてご報告いたします。

9月に、Cloudflareは、InterPlanetary File System (IPFS)へのゲートウェイを提供することを発表しました。CloudflareのIPFSゲートウェイは、IPFSのピアツーピアネットワークに保存されたコンテンツにアクセスするための方法です。CloudflareはIPFSネットワークの明確なストレージとして機能していないため、そのネットワークからコンテンツを削除する能力はありません。Cloudflareは従来の顧客と同じように、IPFSの前にあるキャッシュとして動作するのみです。

IPFSでは、コンテンツは数十のノードに保存される可能性があるため、コンテンツをキャッシュしていたノードがダウンした場合、ネットワークは他のノードで同じコンテンツを探すだけでいいのです。この事実が、IPFSの極めて高い耐障害性を実現しています。しかし同じ耐障害性でも、IPFSの場合は、従来の顧客とは異なり、IPFSネットワーク上に保存されたコンテンツに対する苦情を通知するホストが1つもないということを意味しています。Cloudflareは、ゲートウェイを通じてアクセスされるコンテンツの所有者が誰であるかを知らないことが多く、そのため苦情を受けた際に特定の所有者に通知することができません。

IPFSのような分散型ネットワークにはまだ法律が追いついておらず、IPFSのユーザーの間では、不正利用にどのように対処するのが最善かという議論が目立っています。IPFSに問題のあるコンテンツが保存されていると、プロトコルの採用が進まないという意見もあり、IPFSゲートウェイがブロックすることを選択できる問題のあるハッシュのリストを開発するよう提唱しています。また、IPFSのコンテンツをブロックするための仕組みがあると、それ自体が悪用される可能性があるという指摘もあります。その議論に答えがあるわけではありませんが、どのように進めるかについて熟慮することの重要性を私たちに示してくれています。

当面は、IPFSに保存されているコンテンツのキャッシュをクリアするよう求める、米国の裁判所命令に対応する予定です。しかし、より重要なことは、IPFSのキャッシュをクリアするために受けた法執行機関の要請を、今後の透明性報告書で報告し、継続的な公開討論の場を確保することです。

昨年4月、私たちは、初のDNSリゾルバ「1.1.1.1」を発表しました。6月にはMozillaと提携し、Cloudflare Firefox用リゾルバを使用してFirefoxブラウザから直接DNSを解決できるようにしました。両リゾルバの目標は、ユーザーのプライバシーを重視した高速なDNSサービスを開発することでした。

リゾルバに関連する不正利用の苦情や法執行機関の要請に、どのように対処しているのかについて、よく質問を受けます。当社のリゾルバは、いずれもDNSの直接解決のみを目的としたものです。つまり、Cloudflareは、1.1.1.1またはCloudflare Firefox用リゾルバのいずれかを通じてコンテンツをブロックまたはフィルタリングすることはありません。もしCloudflareが法執行機関または政府機関から、当社のリゾルバの1つを通じてドメインまたはコンテンツへのアクセスをブロックするよう要請を受けた場合、Cloudflareはその要請に対抗することになります。現時点では、当社のリゾルバを通じてコンテンツをブロックするような政府の要請はまだ受けていません。また、Cloudflareは、法的に禁止されている場合を除き、当社のリゾルバからのコンテンツをブロックする要請を、半期ごとの透明性報告書において文書化していきます。

同様に、Cloudflareは、当社のリゾルバのユーザーに関するデータについて政府からの要請を受けたことはなく、必要であればそのような要請にも対抗するつもりです。個人を特定できる情報を24時間以上保持しないという当社の公約から、問い合わせがあっても情報を提供できる可能性は低いと考えています。それでも、リゾルバユーザーに関するデータについて政府からの要請を受けた場合、法的に禁止されていない限り、透明性報告書にその要請を文書化することにしています。

Cloudflareが将来提供する新しい製品や、法律および規制の状況は、年月とともに変化する可能性がありますが、新しい製品について考える当社のアプローチは、時の試練に耐えることができると期待しています。インフラをできるだけ中立的なものにすること、法の支配に従うこと、適正手続きを要求すること、私たちが行っていることをオープンにすること、直面するさまざまな問題にかかわらず一貫性を保つことなどの中心原則によって、私たちは導かれています。そして、それが変化しないように懸命に努力します。なぜなら、私たちのやり方にほんのわずかな微調整を加えるだけでも、私たちが運営する規模では非常に大きな影響を与える可能性があるからです。