VPN初心者セキュリティガイド：アカウント、サブスクリプションリンク、公共Wi-Fi

このVPN初心者セキュリティガイドで扱うのは3つだけです。アカウントの作り方、サブスクリプションリンクの保管方法、公共Wi-Fiで避けるべき操作。初心者のトラブルはほぼこの3か所に集中します。原因は回線速度ではなく、認証情報が事前に漏れているか、操作すべきでない環境で操作しているかのどちらかです。

回線そのものにはIEPL専用線・中継・直接接続といった区分があり、それは性能の話です。一方、アカウントとサブスクリプションリンクは認証情報の話で、いったん漏れればどんなに良い回線でも身を守れません。まず対象をはっきりさせておけば、後の行動が無駄になりません。

まず3種類の情報を分けて考える

初心者はアカウント、サブスクリプションリンク、クライアント設定をひとまとめに考えがちですが、実際の機密度はまったく違い、漏れたときの影響も異なります。まずこの3つを分ければ、保管のやり方に焦点が定まります。

この3つのうち、もっとも過小評価されやすいのがサブスクリプションリンクです。アカウントはパスワードで守られ、クライアント設定は通常は最初のインポート時にしか登場しません。ところがサブスクリプションリンクは一見ふつうのURLに見える文字列で、コピーも貼り付けも転送も簡単。漏えいは無意識のうちに起きます。

見落とされがちな情報がもう1つあります。注文と支払いの記録です。これらは直接のログイン認証情報ではありませんが、あなたのアカウントと結び付きます。プランページのスクリーンショットを共有するときは、注文番号を隠すのを忘れずに。なお、クライアントで選べるプロトコルにはShadowsocks、VMess、VLESS、Trojan、Hysteria2、TUICがあります。プロトコルが変えるのは転送方式と互換性であり、アカウント自体のセキュリティモデルは変わりません。プロトコルを変えることは、鍵を替えることとは違うのです。

登録時に書くべきでない情報

登録時のリスクは、たくさん書くことではなく、書かなくてよいものを書いてしまうことにあります。情報はいったんデータベースに入ると、あなたの手を離れます。

• ユーザー名に本名、よく使うSNSのID、勤務先の略称を使わないこと。ユーザー名は管理画面、サブスクリプションのアドレス、サポートのやり取りに現れる、長期的な識別子になります。このサイトでしか使わない名前に変えるコストはごくわずかです。
• 不要な項目は空欄のままに。VPNCWの登録に必要なのはユーザー名とパスワードだけで、メールアドレスは不要です。メールの層が1つ減れば、リスト型攻撃やフィッシングの入口も1つ減ります。実際、アカウント漏えいの多くで繰り返し狙われるのはメールなのです。
• 第三者の「ミラーページ」にアカウント情報を入力しない。ログインは自分で確認した公式の入口からのみ行ってください。ページが追加の情報を求めてきたら、いったん止まってドメインを確認し、それから続けるかどうかを決めましょう。

パスワードそのものにもコツがあります。他のサイトで使ったパスワードを再利用しないこと、「ブランド名 + 年」のような推測されやすい組み合わせを使わないこと。パスワードマネージャーにランダムな文字列を生成させ、覚えるのはマネージャーのマスターパスワードだけにしましょう。十数サイトのパスワードを覚えるより、はるかに楽です。

サブスクリプションリンクは鍵と同じ

クライアントはノードを「記憶」しているのではなく、一定の間隔でノード一覧を取得しています。その取得先のアドレスがサブスクリプションリンクです。リンクにはサーバー側が発行した識別子が含まれ、サーバーはそれを見て「誰が一覧を取得しているか」を判断します。つまりサブスクリプションリンクは普通のURLではなく、長期間有効な認証情報なのです。

同じアカウントに複数のサブスクリプションアドレスがある場合があり、それぞれクライアントごとの形式に対応していますが、通常は同じアカウントの通信量を指します。どれが漏れても結果は同じです。リンクを手に入れた人は、同じノード群を自分のクライアントに取り込めます。相手がトンネル内の内容を見られるわけではありません。データはクライアントから出口までの間で暗号化されたままです。ただし、あなたのアカウントの通信量が消費され、ノードがより多くの端末に広がっていきます。

サブスクリプションリンクを守る4つのルール

• グループチャット、フォーラム、公開リポジトリに転送しない。リンク全体のスクリーンショットも送らない。
• 2台目の端末に取り込むときは、クライアントに直接貼り付ける。チャットアプリを経由させない。
• 管理画面で定期的にサブスクリプションリンクを再発行する。古いリンクはその場で無効になる。
• 再発行後は端末ごとに取り込み直し、ノード一覧が更新されたことを確認する。

漏えいを疑ったときの対処順序

1. 管理画面にログインし、サブスクリプション管理からリンクを再発行する。
2. シークレットウィンドウで古いアドレスを開き、ノード一覧を取得できなくなったことを確認する。
3. 各端末のクライアントで古い設定を削除し、新しいリンクを貼り付けて取り込み直す。
4. 通信量に不自然な増加がないか確認し、必要ならサポートに連絡して注文を照合する。
5. パスワードも漏れた可能性がある場合は、同時にパスワードを変更し、管理画面のログイン履歴を確認する。

公共Wi-Fiにおけるリスクの境界

公共Wi-Fiのリスクは、WPA2やWPA3が破られることではありません。その暗号化が守るのは端末からルーターまでの区間で、ルーターから先、ウェブサイトのサーバーまでの間は、サイト側がHTTPSを使っていない限り平文のままです。本当のリスクは別のところにあります。

• 同名の偽アクセスポイント。攻撃者が近くに同じSSIDを立て、端末が自動でつながると、すべての通信がまず相手を通ります。
• キャプティブポータルの偽ログイン画面。接続後に表示される「ログインページ」が、アカウント情報や支払い情報の入力を求めてきます。
• 同一セグメントのスキャン。同じネットワーク上の他の端末が開いているポートを走査し、弱いパスワードを試してくる可能性があります。
• DNSハイジャック。名前解決のリクエストが書き換えられ、アクセスしたドメインが別のアドレスを指します。

ここでのVPNの役割は明確です。ローカルネットワークから出口までの間に暗号化トンネルを張るので、ローカルネットワークからはトンネル内の内容が見えません。DNS問い合わせもトンネル経由にでき、DNSリークを減らせます。解決できないのは別の種類の問題です。自分から偽のログイン画面にパスワードを入力してしまう場合や、端末自体がすでにトロイの木馬に感染している場合です。この境界をわきまえているほうが、「つなげば安全」という一言を信じるよりずっと役に立ちます。

公共ネットワークでの操作チェックリスト

• ✅ ネットバンキング、決済、管理画面へのログインなどを行う前に、VPNに接続してからページを開く。
• ✅ 機密性の高い操作はテザリングを優先する。自分で管理できる分、リスクの範囲が小さい。
• ✅ システム設定で「オープンなネットワークに自動接続」をオフにし、端末が勝手に見知らぬネットワークにつながらないようにする。
• ✅ 使い終わったらシステム側で「このネットワークを削除」しておき、次回に自動再接続させない。
• ❌ 証明書の警告が出ても「続行」を押さない。それは現在の接続の相手を検証できないという意味です。
• ❌ 公共のパソコンでアカウントにログインしない。公共ネットワークで支払い情報を入力しない。
• ❌ ページが公式に見えるという理由だけでパスワードを入力しない。まずアドレスバーのドメインを確認する。

DNSリークの自己チェック方法

VPNに接続した後もシステムがローカルネットワークのDNSで名前解決していると、どのドメインにアクセスしたかがローカルネットワークに筒抜けになります。多くのクライアントには「DNSをトンネル経由にする」などのオプションがあります。オンにしたうえで確認しましょう。

1. VPN接続中にDNSリーク検出ページを開く。
2. ページに表示されたリゾルバが、選択した出口地域のものかを確認する。
3. リゾルバがまだローカルISPのままであれば、クライアントのDNS設定を見直して再接続する。

この手順は初回設定時に一度やっておく価値があります。その後、端末やクライアントを変えたらもう一度。特別なツールは要らず、数分でトンネル内の名前解決経路が正常かどうかを確かめられます。

サービス選びでまず確認したい項目

認証情報の管理は自分の側の習慣ですが、サービス側が何を用意しているかは支払い前に確認すべきです。以下の項目はいずれも直接確かめられる事実で、どんな形容詞よりも信頼できます。

60日間の理由を問わない返金は、夜のピーク時間帯に回線がどう振る舞うかを確かめる時間が十分にあるという意味です。速度測定のスクリーンショット1枚で判断する必要はありません。同時接続台数が無制限なら、端末を増やすためにアカウントを切り替える必要もありません。切り替えが増えるほど、パスワードが露出する機会も増えます。90+の国と170+の回線は、出口の位置を選ぶ余地です。月額¥9.9からで60GB込みなので、まず流れを一通り試してから上位プランに上げるか決めるのがよいでしょう。

ゼロから始めるチェックリスト

ここまでの内容を実行できるアクションにまとめました。初回設定時に上から順にたどれば大丈夫です。

1. 登録。実際の身元と結び付かないユーザー名を使い、パスワードはパスワードマネージャーに生成・保存させます。メールアドレスは不要で、登録に必要なのはユーザー名とパスワードだけです。
2. 入口を控える。管理画面のアドレスを自分のブックマークに保存し、以後はその入口からだけログインします。グループチャットで送られてきたリンクは開かないこと。
3. サブスクリプションを取り込む。クライアントにサブスクリプションリンクを直接貼り付け、チャットアプリを経由させません。取り込み後はノード一覧が更新されたことを確認します。
4. DNSを検証する。接続後にDNSリーク検出ページを開き、リゾルバが出口地域のものかを確認します。
5. 公共ネットワークの習慣を設定する。オープンなネットワークへの自動接続をオフにし、機密性の高い操作の前にはVPNに接続し、使い終わったらネットワークを削除します。
6. 再発行の入口を覚えておく。管理画面でサブスクリプションの再発行がどこにあるかを前もって確認しておけば、いざというときに探し回らずに済みます。

このチェックリストは一度に全部やる必要はありません。まず登録と取り込みを済ませ、DNSの検証を加える。残りの習慣は、実際に公共ネットワークを使うときに1つずつ実行していくほうが、10項目の設定を一度に変えるより続けやすいはずです。

よくある誤解

• 「無料ノードのほうが安全」。出どころの分からないノードを誰が運営し、何を記録しているかは確認のしようがありません。浮いた利用料と引き換えに、通信を責任の追えない中間業者に預けることになります。
• 「パスワードを変えれば大丈夫」。サブスクリプションリンクは独立した認証情報です。パスワードを変えても無効にはならず、別途再発行が必要です。
• 「HTTPSなら万全」。HTTPSが守るのは通信の過程であり、サイトが信頼できる証明にはなりません。フィッシングサイトも証明書を取得できます。
• 「VPNをつなげば匿名」。VPNが変えるのは出口のアドレスだけです。アカウント、ブラウザのフィンガープリント、ログイン状態は変わりません。

回線の種類やプロトコルの選択は「うまく使えるかどうか」の話で、アカウントとサブスクリプションリンクは「事故が起きるかどうか」の話です。前者は使いながら試せますが、後者は一度漏れたら片付けに時間がかかります。上のチェックリストを一通り済ませてから、IEPL専用線・中継・直接接続の違いを見たほうが、順序としてずっと素直です。