李先生：安全翻翻牆指南

中国のGFW（ファイヤーウォール）の締め付けが徐々に強まり、各VPNプロバイダ（「空港」）が相次いで影響を受け、一部の省では「壁の中の壁」が構築されるにつれて、国内のネットユーザーがいかに安全に壁を越えてインターネットにアクセスするかますます重要になっている。さらに、最近では壁越えを理由に「お茶に呼ばれる（警察の取り調べを受ける）」人が少なくないため、私たちは参考情報を提供するために安全な壁越えガイドを作成することにした。

本ガイドは、異なるユーザー像（一般ユーザー、政治議論ユーザー、活動家など）や利用シーンに応じて、対応する安全なネットアクセスのリスクポイントとセキュリティ対策の提案を提供する。

基礎編：知っておかなければならないセキュリティの常識 どのようなユーザーであっても、安全なネットアクセスを保障するための最も基本的なポイントは以下の通りである：

1. デバイスの選択 現在、新しく出荷される中国製Androidスマホの大部分には、反詐欺センターのビルドインまたは類似の監視機能を持つサービスの搭載が義務付けられており、これにより壁越え行為が発覚する確率が大幅に高まり、壁越えツールのインストールすらできなくなる可能性がある。したがって、壁越え専用にiPhoneまたはGoogle Pixelを使用することを推奨する。

中国製日本語入力システムの回避：Baidu、iFlytek、Sogouなどの入力システムは、基本的に日常の利用データをすべて送信する。条件が許せば、GoogleのGboardまたはApple純正の入力システムを使用すること。

中国製ブラウザやエコシステムソフトウェアの回避：UCブラウザ、QQブラウザ、360ブラウザ、360セキュリティガードなどを避けること。Chrome、Firefox、Safariなどの国際的な主流ブラウザを使用すること。

海外製ソフトウェアの登録に国内のメールアドレスや電話番号を使用しないこと：国内の電話番号やメールアドレスは海外アプリのログイン認証コードを直接検知してブロックできるため、Protonmail、Gmail、Outlookなどの海外製メールを使用し、特にTelegramやXの登録には仮想番号生成プラットフォームの利用を検討すること。

1. VPNとネットワーク環境 壁越えツールの慎重な選択：海外のアプリストアで配信されている有名なツール（Shadowrocket、Clashなど）を選ぶこと。国内のAndroid/Appleアプリストアからいわゆる「VPN」や「加速器」を絶対にダウンロードしてはならない。

国内の決済方法での購入を可能な限り避けること：AlipayやWeChat Payなどの国内決済方法を使用してVPNサービスを購入すると、明確なデジタルフットワークが残る。海外のSIMカードがない場合は、暗号通貨やプリペイドカードなどの方法での支払いを検討すること。

公共のネットワークや監視下にあるネットワークでの壁越えを避けること：キャンパスネットワークや社内ネットワークには、通常、行動管理・記録デバイスが配備されている。以前から、キャンパスネットワークが壁越え行為を検知すると明確に宣伝している大学もある。トラフィックの内容を実際に復号できるとは限らないが、「誰がいつ怪しい海外サーバーに接続したか」を簡単に記録することができる。

1. 概念の明確化 私たちが理解しなければならないのは、いかなる防御行動も露見のリスクを軽減するだけであり、「完全な隠蔽」を実現するものではないということである。匿名イコール隠形ではない。「警察に自分が誰であるかを完全に知られないようにする」ことに執着するよりも、「他人があなたとアカウントが同一人物であると認識できるかどうか」を減らすことに目標を置くべきである。

過去数年間の観察を通じて、実際に露見しやすいのは、むしろユーザーの行動特性であることが多い（すべてのソーシャルメディアで自分の生活を同時にシェアすること、国内アプリと同じアバター／ネット上の名前／話し方のトーン、デバイスフィンガープリント、ネット決済、決まったオンラインのタイミングなど）。

大半の壁越えユーザーは最初、意図的に身元を隠す必要があることに気づかないため、ソーシャルエンジニアリングを通じてあなたが誰であるかを特定することは、他の科学技術的手段よりもはるかに簡単である。

ユーザーの利用シーンとセキュリティの提案

一：一般のネットサーフィンユーザー この種のユーザーの主な目的は、情報の閲覧、動画の視聴、資料の確認であり、敏感な政治的内容の公開や議論には関与しない。

リスクポイント： 個人情報の漏洩（閲覧履歴、アカウント情報の追跡）；身元の受動的な関連付け（国内外の身元が結びつけられる）；フィッシングや詐欺の被害。

セキュリティ対策の提案：

1. 閲覧環境の分離：壁越え専用のスマホを1台用意することが望ましい。または、パソコン上で独立したブラウザ（Firefoxなど）を使用し、その専用の設定プロファイルを作成する。この環境下では、自身の本当の身元に関連するアカウント（国内のSNSアカウント、淘宝、仕事用WeChatなど）に一切ログインしないこと。

2. 権限と追跡の最小化： ウェブサイトやアプリのアルバム、連絡先、位置情報、マイク、カメラ、Bluetooth、通知など、すべての不要な権限をデフォルトで拒否する。ブラウザの設定でサードパーティCookieやクロスサイト追跡をオフにし、ウェブページの自動ファイルダウンロードを禁止する。

3. 独立したアカウント体系： 登録しなくて済むソフトウェアは登録しないこと。登録が必須の場合は、独立した海外メール（Gmail、Protonmailなど）と一意の強力なパスワードを使用する。パスワードマネージャーで生成した後に手動で数文字追加し、二段階認証（2FA）を有効にすることを推奨する。これが極めて重要である。

4. フィッシング対策： 「アカウントの異常」「当選／補助金」などの受信した情報に警戒し、リンクを直接クリックしないこと。一部のフィッシングメールは公式メールや知人のメールを装うため、メールを閲覧する際は送信元を必ず確認すること。

X（Twitter）などのプラットフォームにおける見知らぬ人からのダイレクトメッセージ、特にお金や性的な内容に関わるものに警戒すること（例えば、美女が自発的にあなたとチャットしたいと望むことなど絶対に信じてはいけない）。

1. 定期的な痕跡の消去： ブラウザの履歴、Cookie、キャッシュ、ダウンロードディレクトリを週に1回消去するように努めること。

エネルギーを割けない場合でも、自分の身を守るために以下の3つのことだけは実行すること：専用デバイスやブラウザでログインしない、権限を常に最小限にする、不明なリンクをクリックしない、同期をオフにしてアカウントの身元を独立させる。この3点を守ることで、露見のリスクを大幅に削減できる。

二：オンラインの議論に参加するユーザー（政治議論愛好家、コンテンツクリエイター） この種のユーザーは閲覧だけでなく、海外プラットフォームでの発言、政治議論への参加、コンテンツの公開も行う。リスクレベルは一般ユーザーよりはるかに高くなる。

リスクポイント： 身元がソーシャルエンジニアリングの手法によって見破られる。 オンラインでの発言が追跡され、現実の身元と結びつけられる。 デジタルフットプリント（デバイスフィンガープリント、IPアドレス、行動パターン）が身元の特定に利用される。

セキュリティ対策の提案：

1. 完全に独立したデジタル身元の確立： 物理的隔離：国内の身元やデバイスから完全に切り離された、独立した安全なデバイス（スマホ、パソコン）を必ず使用する。

身元の隔離：独立したニックネーム、アバター、メールアドレス、電話番号を使用する。この身元情報は国内で使用しているいかなる情報とも関連付けられていてはならない。

ネットワーク隔離：【特別注意】国内アプリをインストールしたデバイスと安全にネットアクセスするデバイスは、ネットワークレベルでの受動的識別を防ぐため、可能な限り同じWi-Fiネットワークを使用しないこと。

1. すべての関連付けチャネルの切断： すべての履歴、ブックマーク、パスワードのクラウド同期機能をオフにする。メインデバイスとクリップボード、クラウドストレージ、入力システム、スクリーンショットのディレクトリを絶対に共有しない。

2. コンテンツ制作の非特徴化： テキスト：自分が使い慣れた口癖、句読点の頻度、文の構成のリズムをコントロールする。複雑な内容については、まずオフラインで完成させ、書き直してから公開することを推奨する。

画像／動画：公開する前にメタデータを必ず確認して削除すること。有効な方法は、画像／動画を保存した後にトリミングを行うことで、新しい画像／動画のメタデータが生成され、元の画像／動画のメタデータによる追跡を回避できる。

自分が撮影した画像／動画を公開する際は、自分の地理的位置、生活環境、個人の容姿を暴露する可能性のある詳細を一切排除すること。 自分に関する情報は必ずモザイク処理を施し、かつ完全なモザイクにすること。例えば宅配便の情報について、受取人の住所や電話番号、名前だけを隠す人がいるが、宅配便の伝票番号や伝票上の時間が隠されていないため、番号から直接特定されることがある。あるいは中途半端なモザイクの場合、タイムラインの比較によって依然として見つけ出されてしまう。

音声：音声通話に参加する必要がある場合は、声紋が収集・比較されるのを防ぐためにボイスチェンジャーを使用すること。

1. 行動パターンの非特徴化： オンラインの時間帯や投稿の間隔をランダム化し、現実生活の生活リズムと同期した安定した規則を形成しないようにする。

2. アカウントセキュリティの強化： 可能であれば「1アカウント・1パスワード・1メールアドレス」の原則を実践し、すべてのアカウントで二段階認証を有効にする。すべてのサードパーティのワンクリックログイン機能を無効にする。

政治議論に参加したいネットユーザーは、単に閲覧したいネットユーザーに比べて露見のリスクがはるかに大きいため、あらゆる生活の細部が露見の手がかりになり得る。したがって、セキュリティの考え方は「痕跡を減らすこと」から「ネットワークと現実の身元の関連性を断ち切ること」へと格上げする必要がある。

三：高リスク活動のユーザー（海外での活動に参加したい活動者） すでにベテランの壁越え経験者であり、海外で実質的な反共活動に従事しようと計画している場合、いかなる油断やミスも身元の漏洩とリスクへの転落を招く可能性があるため、自分を「最高リスクポジション」に置いて考える必要がある。

リスクポイント： 重点的に注視、探索、分析の対象になること。 いかなる1回のミスも

身元が完全に暴露され、深刻な結果を招く可能性があります。 チームワークにおけるセキュリティの脆弱性は、チーム全体を巻き込む原因となります。

セキュリティ対策の推奨事項：

1. 脅威モデリングの実施： 活動家として、冷静に評価すべきです：どのレベルの警察力があなたに注目しているか？彼らはどのようなリソースを持っているか？あなたが耐えられる最悪の事態は何か？もし暴露された場合、緊急時対応計画（例えば、自分が逮捕された場合の戦略、事前に個人情報を残しておくこと、国際的な支援を受ける意志があるかどうかなど）はあるか。
2. より高い物理的・ネットワーク的隔離：
   三重の隔離：国内の携帯電話や日常のVPN接続デバイスのほかに、機密活動専用のデバイスを1台用意し、専用機として使用する。 物理的な遮断：高度に機密性の高い音声・ビデオ会議を行う際、国内のアプリがインストールされているすべての携帯電話をファラデーバッグに入れる（または完全に電源を切って封印する）ことを強く推奨します。これは、マイクやカメラによる受動的な監視を防ぐためです。 自営VPN：もしあなたがすでにこのレベルと程度に達しているならば、商用VPNに頼ることは極力避け、自分で専用のVPN回線を学習して構築すること。
3. デバイスとデータのセキュリティ強化： すべてのデバイスに対してフルディスク暗号化を行い、強力な画面ロックパスワードを設定する。 重要な資料は遠隔地に暗号化してバックアップし、「期限切れ破棄／ローテーション」ポリシーを設定する。 システムとソフトウェアを最新バージョンに保ち、常駐する高権限ソフトウェアや自動起動項目の数を減らす。
4. チームワークのセキュリティ原則： 知る必要性の最小化：チームメンバー間で「任務を遂行するために知る必要がある最小限の情報」の原則を貫く。 プロセスの標準化：固定されたデバイス、時間枠、コンテンツテンプレート、公開プロセスを取り決める。「成果物を作成した本人がアップロードする」という一方向のワークフローを採用し、複数人による頻繁なログインによるアカウントプロファイルの混乱を避ける。 二重チェック：コンテンツ公開前の二重チェックプロセスを確立し、信頼性の高い二次検証用の合言葉と緊急連絡チャネルを取り決める。
5. ゼロトラストの原則： すべての外部のリンクやファイルに対して「ゼロトラスト」の態度を保つ。短縮URLをクリックしない、出所の分からないスクリプトを実行しない、圧縮ファイルやOfficeのマクロファイルを直接開かない。 どうしてもファイルを転送する必要がある場合は、まずローカルで暗号化してパッケージ化し、パスワードは別の安全なチャネルを介して送信すること。 現在市場でよく使われているドキュメントの種類について、Googleはオンラインプレビューをサポートしています。ファイルをGoogleにアップロードしてプレビュー表示することができます。プレビューできない場合は、そのファイルが正常なファイルであるかどうかを詳細に確認する必要があります。また、Officeのようなドキュメントについては、絶対にWPSを使用してはならず、パソコンにもWPSをインストールしない方がよいです。可能な限りオンラインプレビューで表示し、ローカルで直接開くことを避けてください。
6. 緊急時対応計画： 不審なダイレクトメッセージ、異常なログイン、デバイスの異常な発熱・電力消費などの状況が発生した場合、直ちに更新を停止し、ネットワークを切断する。 クリーンなデバイスを使用してすべての関連パスワードを変更し、認証の強度を上げ、サードパーティ製アプリの認可を全面的に審査する。 必要な場合、データをバックアップした後にシステムを再インストールするか、デバイスを交換し、影響を受ける可能性のある人にリスク警告を発信する。

最後に 技術的な面を除けば、もう一つのより大きなリスクは依然として「ソーシャルエンジニアリング」の面における個人情報の暴露です。例えば、フィッシング詐欺に遭ったり、自分が関与している出来事を国内のソーシャルメディアで友人に自慢したりする行為です。このような行為は、自首するのとほとんど変わりません。

要するに、一度の何気ないコピペ、一度の誤ったログイン、あるいは一度の無意識の会話によって、あなたが長年積み上げてきたセキュリティの冗長性をすべてゼロにしてはなりません。