MicrosoftのBitLocker暗号化を使えばデータを100％安全に保てると思っているなら、考え直したほうがいい。昨年、レドモンドは詐欺の起訴状で訴追されたWindowsユーザーのノートPCを解除するため、FBIに暗号鍵を提供したと報じられている。
グアムで被告らがパンデミック失業給付を不正に受給したとする政府の訴訟 [PDF]は、MicrosoftがBitLockerの鍵を提供したことが公に確認できる初の事例だとForbesは伝えている。
BitLockerは、ストレージデバイス上のデータを暗号化できるWindowsのセキュリティシステムだ。2つのモードをサポートしている。セキュリティを簡素化するために設計されたデバイス暗号化と、上級者向けのBitLocker ドライブ暗号化だ。
いずれのモードでも、サービスが有効なMicrosoftアカウントからセットアップされると、MicrosoftはBitLockerの鍵を自社サーバーに「通常」バックアップする。「Microsoftアカウントを使用している場合、BitLocker回復キーは通常そのアカウントに紐づけられ、オンラインで回復キーにアクセスできます」と同社はドキュメントで説明している。
管理対象デバイスでも状況は同様だ。「職場や学校によって管理されているデバイスを使用している場合、BitLocker回復キーは通常バックアップされ、組織のIT部門によって管理されます」と同社は述べている。
Microsoftは鍵を別の場所に保存するオプションも提供している。「Microsoftアカウントに保存」を選ぶ代わりに、「USBフラッシュドライブに保存」「ファイルに保存」「回復キーを印刷」を選べる。
しかし顧客はMicrosoftに鍵を預けるよう促される。オンラインでアカウントにアクセスできる限り鍵を復元でき、事実上レドモンドがデジタルのドアマンになるからだ。だがそのような状況では、顧客は自分のデータへのアクセスを完全にはコントロールできなくなる。
AppleもFileVaultという同様のデバイス暗号化サービスを提供しており、iCloudサービスによって補完されている。iCloudサービスにも「標準データ保護」という簡易モードと「iCloudの高度なデータ保護」がある。
標準データ保護では、Appleが（例外はあるが、たとえばパスワードやキーチェーンなど）iCloudデータの暗号鍵を保持する。高度なデータ保護では、同社が鍵を持つのはiCloudメール、連絡先、カレンダーのみだ。
AppleもMicrosoftも、他社と同様に、適法だと判断した政府からの情報要求には応じる。しかし、自社が管理していない鍵は提供できない。
Appleは法執行機関向けのガイドライン [PDF]で次のように述べている。「Appleが保存するすべてのiCloudコンテンツデータは、サーバーの場所で追加的に暗号化されています。Appleが復号できるデータについては、Appleは米国のデータセンターに暗号鍵を保持します。Appleは、顧客のエンドツーエンド暗号化データの暗号鍵を受け取ることも保持することもありません。」
BitLockerでは事情が異なる。セットアップ時に顧客がそれを許可していれば、Microsoftが顧客のエンドツーエンド暗号化データの暗号鍵にアクセスできる可能性がある。
Microsoftは、自社の暗号鍵を政府に提供しないと説明している。しかし、顧客の鍵については同様の約束をしていない。
「当社は、いかなる政府にも当社の暗号鍵、または当社の暗号化を破る能力を提供しません」と同社は法執行機関向けガイダンスで述べている。「多くの場合、既定ではMicrosoftが顧客の暗号鍵を安全に保管します。最大規模のエンタープライズ顧客でさえ、偶発的な紛失や盗難を防ぐために当社が鍵を保持することを通常は望みます。しかし、多くの状況において、消費者や企業が自分自身の鍵を保持するオプションも提供しており、その場合Microsoftはコピーを保持しません。」
これは、Microsoftがあなたのために製品を作っているわけではない、という活動家団体や法律事務所への明確なメッセージだ。
2024年7月から2024年12月までを対象とするMicrosoftの最新の顧客データに関する政府要請レポートによれば、同社が世界中の法執行機関から受けた要請は合計128件で、そのうち77件は米国当局からだった。その期間中、コンテンツの開示につながった要請は4件のみで、ブラジルで3件、カナダで1件だった。
Microsoftはコメント要請に直ちには応じなかった。同社はForbesに対し、BitLockerの鍵に関する要請を年間およそ20件受けており、顧客がクラウド保存のためにMicrosoftに鍵を託していない場合はそれらの鍵を提供できないと述べた。
「Microsoftはここで、プライバシーと復旧可能性の間でトレードオフをしています」と、Electronic Frontier Foundationのシニア・スタッフ・テクノロジストであるエリカ・ポートノイはThe Registerへのメールで述べた。「推測ですが、それはビジネス用途のユースケースにより重きを置いているからでしょう。そこでは、データの喪失は、Microsoftや政府がそのデータにアクセスすることよりもはるかに深刻です。しかしその選択をすることで、同社の製品は、より高いプライバシー要件を持つ個人や組織には適さなくなります。これは、Microsoftがあなたのために製品を作っているわけではない、という活動家団体や法律事務所への明確なメッセージです。」 ®
翻訳元: https://go.theregister.com/feed/www.theregister.com/2026/01/23/surrender_as_a_service_microsoft/
