- ロン・ワイデン上院議員は、CISAと行政管理予算局（OMB）に対し、連邦政府のウェブサイトでEncrypted Client Hello（ECH）を必須とし、連邦政府との契約条件にするよう求めている
- 同議員がまとめたECH未対応のCDN利用アドレス350件には、FBIの情報提供ポータル、退役軍人省（VA）の危機対応窓口、内部告発や公民権侵害の申し立てを受け付けるホットラインが含まれる
- ECHがサイト名を隠せるのは暗号化DNSと併用した場合に限られ、サーバー侵害には無力。リストにある大使館サイトの一部が対象とする国の一つ、ロシアではすでにブロックされている
米国のロン・ワイデン上院議員（民主党、オレゴン州選出）は、主要なウェブブラウザーが3年前から対応しているプライバシー保護機能を、連邦政府も有効にするよう求めている。数百の政府機関のウェブアドレスが現在も、利用者が訪れたサイトの名前を、通信経路上でネットワークを監視する者に筒抜けにしていると警告した。
ワイデン議員はCISAのニック・アンデルセン長官代行と、連邦副最高情報責任者のトーマス・フラッグ氏に宛てた書簡で、連邦政府のウェブサイト全体でEncrypted Client Hello（ECH）を義務づけるよう両機関に要請した。あわせて、連邦政府との契約を目指すクラウド事業者やネットワーク事業者に対し、ECH対応を条件とするよう求めている。
書簡には、コンテンツ配信ネットワーク（CDN）を利用しながらECHを使っていない行政部門のウェブアドレス350件のリストが添付されている。ワイデン議員は、機密指定のない回答と対応計画を2026年11月20日までに提出するよう求めた。
HTTPSが隠さない唯一の情報、今回問題となっているのはその穴
現在では、ほぼすべての連邦政府サイトが、閲覧されるページや送信されるフォームの内容を暗号化している。しかし、通常のHTTPSはホスト名を隠さない。ブラウザーは安全な接続を開く際、暗号化が始まる前に、接続先のサイトをServer Name Indication（SNI）というフィールドで平文のまま通知するためだ。
このため、インターネットプロバイダーや悪意あるWi-Fiネットワーク、あるいは侵害された通信事業者は、情報提供の内容こそ読めなくても、tips.fbi.govへの接続があったことは記録できる。
ECHは、ハンドシェイクのこの部分を暗号化する。数千の無関係なサイトが同じ入り口を共有する大規模CDNの背後で、特に効果を発揮する。たとえばCloudflareの実装では、ECHで保護されたすべてのサイトが、ネットワークからは共通の1つの名前で見える。そのため監視者は、利用者がCloudflareでホストされたサイトに接続していることは分かっても、どのサイトかは分からない。
ワイデン議員の書簡は、2つのサービスを名指ししている。1つは、退役軍人省（VA）のオンライン自殺予防サービスであるveteranscrisisline.netだ。Amazon Web Servicesでホストされており、書簡によればAWSは現時点でECHに対応していない。もう1つは、FBIの情報提供ポータルtips.fbi.govだ。こちらはECHに対応するCloudflare上で稼働しているものの、FBIはまだ有効化していない。ワイデン議員は「Cloudflareのようにドメイン保護に対応したCDN事業者を使っている連邦ドメインでは、保護を有効にするのに必要なのは設定変更だけだ」と指摘した。
350件のうち191件（54.6%）は外交関連で、大使館サイトが174件、領事館が3件、NATOや国連など国際機関への代表部が14件となっている。さらに53件は、インディアン教育局のドメインであるbie.eduのサブドメインで、個々の学校のサイトとみられる。ほかに12件はテスト、研修、ステージング用のホストで、教育省の債務関連サービスのユーザー受け入れテスト用サブドメインも複数含まれる。
残る94件がこれらのグループ以外のアドレスで、最も深刻な項目はここにある。国土安全保障省（DHS）監察総監室の通報ホットライン、司法省の公民権侵害報告ポータル、インテリジェンス・コミュニティの求人応募サイト、移民局（USCIS）の情報提供フォーム、国務省の「Rewards for Justice」サイト、国立衛生研究所（NIH）のアルコール治療ナビゲーター、CDCのdoxy-PEPサイト、複数の連邦HIV情報サイト、移民税関捜査局（ICE）の被収容者検索などが挙がっている。
Cloudflareのドキュメントによると、ECHはFreeゾーンでは既定で有効になっているが、それ以外のプランの顧客は自分で有効にする必要がある。広報担当者の調査結果とも合致する。有料契約の政府機関は、自ら有効化しなければならない。FBIにとっては、まさに設定を変えるだけで済む話だ。
VAの場合は事情が異なる。AmazonのCDNがECHを提供していなければ、VAは事業者を乗り換えるか、対応を待つしかない。ここで、ECH対応を連邦契約の条件にするというワイデン議員の2つ目の要請が、複雑な問題になってくる。
今日このような調達ルールを定めれば、他社が追いつくまでは事実上、ごく少数の事業者が有利になる。Amazonなどの競合に圧力をかけるのが狙いかもしれないが、少なくとも短期的には、セキュリティ対策であると同時に市場への働きかけでもある。
ただしECHには限界もある。プロトコルの仕様書自体が、平文のDNS問い合わせやサーバーのIPアドレスから接続先が漏れる可能性があると警告している。Googleも、Android 17が8月にOS全体でECHに対応した際、この機能は「プライベートDNSと連携して、訪問先のドメイン名を隠す」ものだと述べ、同じ点を強調している。
つまり、政府機関は自らの側でECHを有効にできても、自宅のブロードバンド回線を使う退役軍人に暗号化DNSを使わせることはできない。ネットワークを盗み見る者に悪用される余地が残るということだ。
国際的な対応範囲も大きな課題だ。リストに挙がったURLの多くは、ru.usembassy.gov、by.usembassy.gov、cn.usembassy.gov、ir.usembassy.govなどの大使館サイトで、いずれも利用者が比較的敵対的なネットワークから接続している可能性が高い。
ロシアは2024年11月からCloudflareのECHをブロックしている。規制当局のロスコムナゾルは当時、ECHの利用はロシアの法律に違反すると宣言した。ロシアのプロバイダーは、ECH拡張とCloudflareの共通外側名の両方を含む接続を遮断している。その結果、現地のCloudflare顧客は、ECHを無効にするか、国内のCDNに移行するかの選択を迫られている。
大使館のページでECHを有効にすれば、ホスト名が見えなくなる代わりに、ホスト名が最も重要な国でサイトに到達できなくなる恐れがある。難しいトレードオフだが、現実的な解は1つしかない。当面ECHを見送ることだ。
ワイデン議員にとって、これは初めての領域ではない。2018年10月には、DHSのクリス・クレブス氏に書簡を送り、各機関に暗号化DNSとECHの前身であるEncrypted SNIの採用を促した。さらに、政府に製品を販売するCDN事業者にESNIを条件づけるよう、DHSが米調達庁（GSA）と協力することも求めていた。
議員はこれを、2017年のDHSによるHTTPS指令（BOD 18-01）に続く「論理的な次のステップ」と呼んだ。2026年の書簡も同じ指令を引用し、今回の要請を「論理的な次のステップ」と位置づけている。こうした書簡の成果は、絶望的というより、まちまちだ。国防総省に宛てた2018年のHTTPS書簡の後には、国防総省によるウェブサイト保護計画が続いた。
書簡によれば、クライアント側の準備は整っている。主要ブラウザーの大半は2023年10月からECHに対応しており、Android 17ではOS全体に適用されるようになった。FBIの対応は低コストで済み、本来ならとっくに済ませておくべきものだ。ただしECHは、受動的な盗聴者が得られる情報を絞り込むものであり、訪問の痕跡を完全に消すものではない。今回の要請が前回より長続きするかどうかは、CISAやOMBの動きよりも、AmazonなどがCloudflareに続くかどうかにかかっているのかもしれない。
