ハードウェア・アテステーション：デジタル独占の新たな最前線

数十年にわたり、「オープンなウェブ」の約束は、相互運用性、つまりメーカーやオペレーティングシステムに関係なく、あらゆるデバイスが同じサービスにアクセスできるという考えに基づいています。しかし、静かな変化が起こっています。AppleとGoogleは、ユーザーが人間であることだけでなく、彼らが「認定」されたデバイスとオペレーティングシステムを使用していることを検証するために、GoogleのPlay Integrity APIやAppleのApp Attest APIといったハードウェアベースのアテステーション（証明）ツールをますます導入しています。

これらのツールは、詐欺やボットに対抗するためのセキュリティ機能として販売されていますが、より深く掘り下げると、よりシステム的な目標、すなわちハードウェアとソフトウェアの独占の強制であることが示唆されます。銀行、政府機関、ウェブサービスに対してこれらのアテステーションを要求するように説得することで、テック大手2社は、事実上、企業が承認したデバイスを購入することが入場料となるデジタルな「ゲート付きコミュニティ」を作り出しています。

ロックインのメカニズム

ハードウェア・アテステーションは、デバイスのプロセッサの安全な領域（Trusted Execution EnvironmentやSecure Elementなど）を使用して、デバイスの状態に関する暗号学的証明を提供することで機能します。この証明は、サービスプロバイダーに対し、ブートローダーがロックされているか、OSが公式のものであるか、そしてデバイスが「改ざん」されているか（例：root化されている、またはカスタムROMを実行している）を伝えます。

GoogleのPlay Integrity APIとAppleのApp Attest APIは、このための主要な手段です。GrapheneOSが指摘するように、これらのシステムは代替のオペレーティングシステムを排除するためにますます使用されています。たとえOSが客観的に公式バージョンよりも安全であっても、必要な企業のライセンスがないという理由だけで「安全ではない」とフラグが立てられることがあります。

ウェブへの拡大

おそらく最も懸念されるのは、これらの要件がネイティブアプリからウェブへと移行していることです。reCAPTCHA Mobile VerificationやAppleのPrivacy Passのようなツールは、ハードウェア・アテステーションをブラウザに持ち込もうとしています。場合によっては、reCAPTCHAを通過することが、認定されたスマートフォンでQRコードをスキャンすることを要求するようになるかもしれません。これにより、事実上、デスクトップのLinuxやWindowsマシンからウェブの一部にアクセスするための必須の「鍵」として、iOSやAndroidデバイスが強制されることになります。

「セキュリティ」という正当化

これらのシステムの主な主張はセキュリティです。サービスプロバイダーは、クライアントがボットや侵害されたデバイスではないことを確認する必要があると主張しています。しかし、証拠はこれがしばしば口実であることを示唆しています。

不一致: GoogleのPlay Integrity APIは、10年間セキュリティパッチが適用されていないデバイスを許可する一方で、GrapheneOSのような最新の、セキュリティが強化されたオペレーティングシステムをブロックします。
回避可能性: テクニカルユーザーは、ソフトウェアによるスプーフィング（なりすまし）や物理的攻撃（メモリ内のビット反転を誘発するなど）を通じて、ハードウェア・アテステーションを回避できることを実証しています。つまり、これは万全のセキュリティ対策ではありません。
代替標準: FIDO2のような標準は、特定の企業の承認されたOSを必要とせずに、安全な認証と識別を提供しますが、これらはしばしば、二大巨頭の独自のAPIによって無視されます。

政府の役割

反競争的な行動を抑制するのではなく、多くの政府は、このロックインに積極的に参加しています。例えば、欧州連合（EU）では、デジタル・アイデンティティ・ウォレット（EUDI）や年齢確認法は、ますますハードウェア・アテステーションに依存するようになっています。

政府がデジタル決済や公式のIDをAppleやGoogleの認定を必要とするものにする際、彼らは単にセキュリティ標準を採用しているのではなく、カリフォルニアに拠点を置く2つの民間企業に「信頼」の定義をアウトソーシングしているのです。これは、ユーザーが市民社会（銀行、医療、政府サービス）に参加する能力が、企業の利用規約への準拠に依存するという危険な前例を作ります。

人間のコスト：デジタルな疎外

その影響は単なる利便性を超えたものです。プライバシーやセキュリティを優先するユーザーにとって、このシステムのコストは、完全なデジタルな疎外です。

"リモート・アテステーションは、私たちのコンピューティングの自由が死ぬ方法となるでしょう。彼らが、あなたが何をインストールしたいかを許可するかどうかは問題ではなくなります。企業が所有するものでない限り、何でも禁止されます。自分のデバイスを所有しているのですか？あなたはそれを「改ざん」したことになります。あなたは禁止されます。すべてから。"

これは、プライバシーを意識するユーザーにとって、「2台のデバイス」という現実を生み出します。一つは個人の使用のための日常的な電話、もう一つは、銀行や政府機関との必須のやり取りのために、電源を切った状態で保管し、使用のみに限定される、企業が承認した二次的なデバイスです。

結論：汎用コンピューティングのための戦い

ハードウェア・アテステーションは、汎用用コンピューティングへの広範な戦いの一部です。コンピューターを、ユーザーが制御するツールから、メーカーが製造業者に制御されるターミナルへと変貌させることで、業界は「承認されたシリコン」のモデルへと向かっています。

この傾向を繰り返すには、技術的な回避策以上のものが必要です。立法的な圧力が必要です。「セキュリティ」が「企業の管理」の婉曲表現として使われる限り、この傾向は続きます。目標は、セキュリティとアイデンティティを、特定のハードウェアベンダーに切り離ることです。デジタル世界へのアクセス権が、特定のブランドのスマートフォンに縛り付けられることがないようにすることです。