【ITニュース解説】The Custody Layer — Or, Your Domain Is Only Yours Until Somebody Files a Complaint

私たちが日々利用しているインターネット上のサービスやデジタル資産について、「自分はそれを所有している」と考えがちだが、実はその認識には大きな落とし穴がある。このニュース記事は、そうしたデジタル資産の「カストディ（管理権）」の重要性について問いかけている。カストディとは、簡単に言えば「その資産を本当に自分のものとして自由に扱えるか」という、サービスの可用性とは異なる視点のことだ。

先日のニュースで、あるユーザーが利用していたドメイン登録業者によって、所有するすべてのドメインが一方的に利用停止された事例が報じられた。アカウントは健在で、料金も支払われていたにも関わらず、ドメインは機能しなくなったという。これは、サービスが停止したわけではなく、サービス提供元が「使うことを許さない」と判断した結果に他ならない。

私たちが「ドメインを所有している」「アプリのストアに登録している」「クラウドプロジェクトを管理している」と言うとき、それは法的な意味での所有権とは異なる。これらはすべて、サービス提供元が定めた「利用規約」に基づいて、そのサービスを利用することを許されている「ライセンス」に過ぎないのだ。そして、この利用規約は提供元によっていつでも変更され、アクセス権はいつでも取り消される可能性がある。つまり、ドメインを所有しているのではなく、ドメインを表示するログイン情報を所有しているに過ぎないのが実情なのである。

この事実は普段意識されることはないが、一度問題が発生すれば、事業全体を失いかねない深刻な事態につながる。デジタル資産における「所有」とは、実際にはサービス提供元へのログイン情報であり、レジストリ（登録機関）が実際の登録を管理し、レジストラ（登録業者）が利用者との関係を管理している。利用者はそのサービスを利用するためのセッションクッキーを持っているだけだ。もしアカウントが無効化された場合、資産が他人の手に渡るわけではなく、利用者側からはその資産が存在しないのと同じ状態になる。裁判所の命令や事前の通知、審問の機会などはなく、多くの場合、苦情や不正利用の報告によって、いきなりアカウントが凍結されてしまう。

こうした苦情処理は一方的で不透明な場合が多い。商標権侵害、フィッシング報告、不正検出、顧客からの支払い紛争など、さまざまな理由によって、利用者が知らない間に資産が凍結される可能性がある。そして、その後に無実を証明する責任は利用者に課せられるのが一般的だ。

さらに危険なのは、ドメイン登録、DNS（ドメイン名解決）、メール、ウェブホスティング、SSO（シングルサインオン）といった重要なサービスを一つのアカウントでまとめて管理している場合だ。これは利便性が高い一方で、一度アカウントに問題が発生すると、すべてが停止する「単一障害点」となってしまう。特に、ドメインに紐づくメールアドレスを他のあらゆるアカウントのリカバリチャネルとして設定している場合、ドメインアカウントの喪失は連鎖的に他のアカウントの喪失、ひいてはデジタルアイデンティティ全体の喪失につながる可能性がある。

多くの災害復旧計画は、サーバーの故障やネットワークのダウンといったインフラ障害を想定しているが、「プロバイダが利用を許さないと判断した」という「アカウント障害」についてはほとんど考慮されていない。資産そのものは無事でネットワークも正常なのに、自分がアクセスできなくなるという事態に、ほとんどの企業は備えていないのが現状だ。

では、デジタル資産が本当に自分の管理下にあるかどうかをどう判断すれば良いのか。最も重要なテストは、「もしプロバイダが凍結するような事態になっても、その資産を彼らの協力を一切得ずに、自分自身が持っている情報だけで、一時間以内に別のプロバイダへ移行できるか」という問いだ。

例えばドメインであれば、オフラインで保管された署名付きのゾーンファイル、危険にさらされているアカウントとは別の場所に保管されたレジストラへの認証情報、そしてレジストラとは異なるDNSホストが必要となる。オンラインストアであれば、顧客リストや商品ファイルがいつでもエクスポートできる状態にあるか。クラウドプロジェクトであれば、インフラ構成をコード化したIaC（Infrastructure as Code）があり、それを別のクラウドアカウントに再適用できるか、そしてデータが実際に取り出せるかどうかが重要になる。もしこの質問への正直な答えが「サポートに連絡して解決を待つしかない」なのであれば、あなたは真の意味でのカストディを持っておらず、プロバイダとの「関係性」に依存しているに過ぎない。

真の意味でカストディを確保するには、具体的な対策が必要となる。まず、役割を分離することが大切だ。ドメイン登録業者、DNSサービス、メールサービス、ホスティングサービスをそれぞれ異なるプロバイダで運用することで、どこか一つに問題が発生しても、それが全体的な破局につながるのを防ぐことができる。

次に、重要な「出口情報」をオフラインで保管するべきだ。署名済みのゾーンファイル、エクスポートした顧客データ、IaCのリポジトリ、そしてリカバリコードなどは、リスクのあるアカウントからアクセスできない安全な場所に保管する必要がある。

また、リカバリ用の身元を自分で管理することも重要だ。ドメイン自身のメールアドレスを、ドメインへの唯一のリカバリ手段にしないこと。別のプロバイダで管理された、永続的なメールアドレスをリカバリ用に用意することは、安価で確実な保険となる。

可能であれば、レジストリロック機能を利用すべきだ。この機能を有効にすると、ドメインの変更には追加の帯域外認証（例えば電話での確認など）が求められるようになり、誰かが勝手に変更しようとした場合の摩擦となり、セキュリティを高めることができる。

緊急時に備え、サービス利用規約や不正利用ポリシーを事前に熟読しておくことも不可欠だ。何がアカウント凍結の引き金になるのか、どのような通知が受けられるのか、緊急時のエスカレーション経路はどこにあるのかを、問題が起きる前に把握しておくべきである。

そして、最も重要なのは、これらの対策を実際に試すことだ。例えば四半期に一度、別のテストアカウントでドメインのゾーンファイルを復元してみたり、別の環境にシステムスタックを再デプロイしてみたりする練習を行う。テストされたことのないカストディ対策は、単なる仮定に過ぎない。

これらの対策は、残念ながら「セキュリティ製品」として購入できるものではない。これらは「アーキテクチャ上の衛生管理」と言えるものだ。私たちが利用するプラットフォームを、独自の目的を持つ取引相手とみなし、自分の資産とそのプラットフォームの裁量との間に、可能な限り大きな距離を保つことが求められる。

サービスの可用性とは、「サービスが稼働しているかどうか」を意味する。一方、カストディとは「あなたがそのサービスを自由に利用できるかどうか」を意味する。許可がなければ動かすことのできない資産は、真の資産ではなく、単なる「恩恵」に過ぎないのだ。