見えない壁：reCAPTCHA モバイル検証がハードウェア証明をデスクトップに拡張する方法

年月を経て、ボットとの戦いはますます複雑なパズルで行われてきました：信号機の識別、横断歩道の選択、チェックボックスのクリックなどです。しかし、根本的な変化が起きています。Googleは行動分析や単純なパズルを超えて、ハードウェアベースの証明に向かっています。この動きにより、サービスプロバイダーはユーザーが承認されたデバイスと認証されたオペレーティングシステムを使用していることを暗号学的に証明することを要求できるようになります。

詐欺やボット対策のセキュリティ対策として提示されているものの、この変化の影響—特に新しい「reCAPTCHA モバイル検証」を通じて—はボット対策をはるかに超えて広がります。これは、私たちがオープンウェブにアクセスする方法における潜在的なアーキテクチャの変化を表しており、「何を知っているか」や「どのように振る舞うか」から「どのハードウェアを所有しているか」へと移行しています。

ハードウェア証明のメカニズム

この移行の中心には、Googleの Play Integrity API や Appleの App Attest API といったAPIがあります。これらのシステムにより、開発者はアプリが本物で改変されていないデバイスかつ認証されたOSバージョンで実行されていることを確認できます。

歴史的に、これらはモバイル中心のツールでした。しかし、Googleは現在、reCAPTCHA モバイル検証を通じてこのロジックをデスクトップに持ち込んでいます。このプロセスは単純ですが重要です：デスクトップユーザーが従来の方法ではパスできないreCAPTCHAに遭遇したとき、スマートフォンでQRコードをスキャンするよう促されることがあります。このスマートフォンは、Google Mobile Servicesを実行している認証済みのAndroidデバイスまたはiOSデバイスである必要があります。その後、モバイルデバイスはハードウェア証明を実行し、デスクトップセッションを「保証」します。

セキュリティ機能か反競争ツールか？

GoogleとAppleはこれらのAPIをセキュリティに不可欠であると位置づけており、特に銀行や政府サービスにおいてそう主張しています。しかし、GrapheneOSプロジェクトを含む批判者たちは、これが反競争的行為の fachada（表向きの理由）であると主張しています。

GrapheneOSの視点

プライバシーとセキュリティに焦点を当てたAndroidのフォークであるGrapheneOSは、副次的な被害の主要な例です。多くの認証済みAndroidビルドよりもおそらくより安全であるにもかかわらず、GrapheneOSはGoogle Mobile Services (GMS) をライセンスしておらず、Googleの制限的なライセンス契約を遵守していないため、Play Integrity APIの「strong integrity」レベルをパスすることを禁じられています。

"10年以上パッチが当てられていないデバイスを許可しながら、はるかに安全なOSを許可しないとき、Googleのセキュリティの言い訳は明らかにでたらめです。これはGMSライセンスを通じて彼らの独占を強制するためだけのことです。"

「ロックイン」効果

ハードウェア証明をreCAPTCHAをパスするための要件とすることで、GoogleはLinuxデスクトップ、OpenBSD、またはカスタムAndroid ROMのユーザーがウェブの巨大な部分から締め出されるシナリオを作り出します。サイトがcaptchaをパスするために「verified」デバイスを要求し、その確認方法がGoogleまたはApple認証済みデバイスのみである場合、このデュオポリーは実質的にウェブアクセスのゲートキーパーとなります。

エコシステムへの広範な影響

ボット（およびスクレイパー）の死

一部の観察者は、この動きがAIエージェントとウェブスクレイパーに対する戦略的な打撃であると指摘しています。ヘッドレスブラウザでは簡単にスプーフィングできないハードウェア裏付けのキーを要求することで、Googleはその検索結果やその他の保護されたサーフェスからの大規模な自動データ収集を効果的に排除できます。

規制のパラドックス

現在の規制環境には苦い皮肉があります。EUは反競争的行為に対してGoogleとAppleに何年も罰金を課してきましたが、一部のEU政府は同時に、デジタルID、年齢確認、支払いシステムに対してApp AttestとPlay Integrityの使用を義務付けています。これにより、規制当局が自分たちが反対だと主張しているロックインを助長するループが生じます。

代替手段はあるか？

このハードウェア証明エコシステムに参加したくないウェブサイトオーナーにとって、選択肢は限られているものの存在します。CloudflareとGoogleが市場を支配している一方で、Anubis や Cap といったオープンソースの代替手段が存在し、Proton などの企業はユーザーのプライバシーを維持するために独自の内部captchaソリューションを開発しています。

結論：ウェブアクセスの未来

ハードウェア証明はセキュリティに強力なツールですが、reCAPTCHAを通じて一般のウェブに適用すると、インターネットがオープンプロトコルから許可制のシステムへと変貌するリスクがあります。政府サービスや銀行へのアクセスが特定のブランドのハードウェアを所有し、特定の専有OSを実行することに依存する場合、「オープンウェブ」という用語は誤称となります。今後の課題は、規制当局と開発者が、任意のハードウェアとソフトウェアを使用する権利を犠牲にすることなく、人間性を確認する方法を見つけ出せるかどうかです。