Telegramのセキュリティ

この記事を書いている時点では、Telegram（テレグラム）のCEOパベル・デュロフ氏はフランス当局に逮捕、起訴されていますが、まだ出廷していません。法廷で事態がどう展開するかは依然として不透明ですが、そういった中詐欺師たちは、Telegramを取り巻く現状とユーザーのパニックを利用して、SNS上に様々なデマや出所の怪しいアドバイスを拡散しています。今回のブログでは、現時点で私たちがTelegramユーザーに推奨することについて詳しくお話しします。

チャットのプライバシーと「Telegramの鍵」

機密性、秘匿性が高いとして知られるTelegram上のほとんどのチャットは、実は「シークレット」ではありません。一般的なチャットにエンドツーエンドの暗号化は適用されておらず、これは以前から変わらない事実です。「シークレットチャット」機能をONにせずにTelegramで機密情報をやりとりしていた場合は、情報が漏えいしていると考えたほうがよいでしょう。公にしたくないコミュニケーションは、こちらの推奨事項に従って、別のメッセンジャーを利用するようにすることを推奨します。

今回のデュロフ氏の逮捕をめぐっては、犯罪での使用を抑制する措置を取らなかった疑いなど、フランスの捜査当局への協力と「テレグラムの鍵」の提供を拒否したため、捜査がすすめられ、責任が追及されていると多くのメディアが伝えています。おそらくデュロフ氏は、ユーザーのメッセージを読むために使用できる何らかの暗号鍵を所有しているとみられています。実際のところ、Telegramのサーバーがどのような構造になっているかを正しく把握している人はほとんどいませんが、入手可能な情報から、通信の大部分は最小限の暗号化形式でサーバーに保存されていること、つまり、復号鍵は同じTelegramインフラストラクチャ内に保存されていることがわかっています。作成者は、チャットが保存される国とは異なる国に鍵が保存されていると主張していますが、すべてのサーバーが相互に通信していることを考えると、このセキュリティ対策が実際にどれほど効果的なのかは不明です。サーバーがいずれかの国で押収されたのであるならば役に立つでしょうが、その程度のものです。他のメッセンジャー（WhatsApp、Signal、さらにはViber）ではデフォルトで標準となっているエンドツーエンドの暗号化は、Telegramでは「シークレットチャット」と呼ばれていて、選択したチャットを手動でONにする必要があります。さらにこの機能は、インターフェイスの奥深くに隠されています。すべてのグループチャット、チャンネル、および1対1のチャットには、エンドツーエンドの暗号化が適用されていないため、少なくともTelegramのサーバー上で読むことができます。さらに、Telegramはシークレットチャットとその他すべてに独自の非標準プロトコル（MTProto）を使用していますが、これには重大な暗号化の脆弱性が含まれていることが判明しています。したがって、Telegramの通信は、理論上は下記のような人物に読まれる可能性があります：

• Telegramのサーバー管理者
• Telegramのサーバーに侵入し、スパイウェアをインストールしたハッカー
• Telegramの管理者によって何らかのアクセス権が付与された第三者
• Telegramのプロトコルにおける暗号化の脆弱性を発見し、一部のユーザーのトラフィックを傍受することで、少なくともシークレットチャット以外のチャットを（選択的または完全に）読むことができるようになった第三者

通信の削除

一部のユーザーは、仕事関連のチャットなど、Telegramでの古いチャットを削除するようアドバイスを受けることがあるかもしれません。しかし実際、データベース（サーバー上の通信が保存される場所）では、そのようなチャットが削除されることはめったになく、単にユーザーから削除のコマンドが送信されたと印がつけられるだけです。さらに、他の主要なITインフラストラクチャと同様に、Telegramは堅ろうなデータバックアップシステムを実装している可能性が高いため、「削除された」メッセージは少なくともデータベースのバックアップに保存されていると考えられます。チャット参加者全員（またはグループ管理者）がチャットを完全に削除する方が効果的かもしれません。しかし、バックアップの問題は依然として残っています。

チャットのバックアップ

Telegramがアプリストアから削除される、ブロックされる、またはそれ以外の形で使用できなくなるのではないかという懸念を示す人が多くいます。その可能性は低いとみられますが、万が一のことを考えると、重要なコミュニケーション、写真、ドキュメントなどをバックアップすることを推奨します。

重要な1対1のチャットのバックアップを保存するには、パソコンにTelegramをインストールし（公式クライアントはこちらからダウンロードできます）、アカウントにログインして［Settings（設定）］→［Advanced（詳細）］→［Export Telegram data（Telegramデータのエクスポート）］に移動する必要があります。

Telegramからすべてのデータをエクスポートする方法

ポップアップウィンドウで、エクスポートするデータ（1対1のチャット、グループチャット、写真や動画を含めるかどうか）を選択し、ダウンロードサイズの制限を設定し、データ形式（任意のブラウザーで表示できるHTML、またはサードパーティアプリが自動的に処理するためのJSON）を選択できます。

Telegramデータのバックアップの設定

Telegramの使用状況やエクスポートの設定によっては、データをパソコンにダウンロードするのに何時間もかかり、数十ギガバイトから数百ギガバイトの空き容量が必要になる場合があります。エクスポートウィンドウを閉じることはできますが、アプリ自体を終了したり、パソコンのインターネット接続を切断したり、電源ケーブルを取り外したりしないでください。公式クライアントのバックアップ機能のみを使用することを推奨します。

スマホから「Telegramが削除されるのを防ぐ」

まず、iOSを見てみましょう。App Storeからアプリが削除された場合でも、Appleの従業員によってユーザーのスマートフォンからアプリが削除されることはありません。そのため、iPhoneからTelegramが削除されるのを防ぐことに関するアドバイスは、すべてでたらめです。また、ネット上でよく出回っている「Telegramが削除されるのを防ぐ」ための方法である、スクリーンタイムのメニューを使用する方法は、Appleがアプリを削除することを防ぐものではありません。特定のユーザー（子どもなど）自身がアプリを削除することを防ぐだけのものであり、いわばペアレンタルコントロール機能です。さらに、デュロフ氏の逮捕により、遠隔操作でTelegramがiPhoneから削除されるという古い誤った主張が再び広まりました。これは2021年にAppleとTelegramの両社が公式に否定したものです。

Androidに関しても、アプリが完全に悪意のあるソフトウェアである場合を除いて、通常はGoogleがアプリを削除することはありません。もちろん、こうした保証は他のエコシステム（Samsung、Xiaomiなど）のすべての所有者に適用されるわけではありません。しかし、Androidであれば、TelegramのWebサイトから直接Telegramをインストールすることができます。

代替クライアント

Telegramには非公式ながら機能的なクライアントがあり、さらに「公式の代替クライアント」であるTelegram Xもあります。これらのクライアントは、すべてTelegram APIを使用していますが、追加の利点やセキュリティの強化がもたらされるかどうかは不明です。Google Playの上位5つの代替クライアントは、いずれも「セキュリティの強化」について言及していますが、言及されているのはデバイスでチャットを非表示にするといった機能のみです。

もちろん、代替のTelegramクライアントを装ったマルウェアをダウンロードしてしまう可能性もあります。詐欺師はアプリの流行りに便乗する機会を見逃しません。代替クライアントを検討している場合は、次の安全ガイドラインに従ってください：

• 公式のアプリストアのみからダウンロードするようにしましょう。
• アプリが登場してからしばらく経過しており、評価が高く、ダウンロード数が多いことを確認するようにしましょう。
• すべてのプラットフォームで、カスペルスキー プレミアムなどの信頼性の高いアンチウイルス保護を使用するようにしましょう。

デュロフ氏への募金と言論の自由を守ると謳う偽キャンペーン

これはTelegramのチャットに直接関係するものではありませんが、パベル・デュロフ氏の弁護のために、（彼は本当に現金を必要としているなどと）募金を集める人を装い、実際には支払い情報や暗号通貨の寄付を盗もうとする詐欺師にも注意することが重要です。このような募金活動に巡り合った場合は細心の注意を払って対処しましょう。チャリティー詐欺の詳細については、当社の特集記事をご覧ください。