「このVPNは安全です」「私たちはログを取りません」。VPNサービスの広告を見るたびに、ひとつの疑問が浮かぶ。それを証明する方法は、結局のところ彼らの「言葉」しかないのではないか。
私はここ数ヶ月で、自分のインターネット利用環境をほぼ全面的に組み替えた。目的はひとつ。「信頼する必要がない」構造を作ることだ。
信頼ベースの限界
従来のVPNは、ISP（インターネット接続業者）からトラフィックを隠す代わりに、VPN事業者にすべてを見せる構造になっている。NordVPNが安全か、ExpressVPNが本当にログを取っていないか、それを私たちが技術的に検証する手段はない。第三者監査があるじゃないかという反論もあるだろう。しかし監査はある時点のスナップショットであり、その後の運用を保証するものではない。
これは「信頼」の問題だ。そして私は、信頼で解決できる問題を、できるだけ構造で解決したいと考えている。
レイヤー1：Nym VPN
最初に導入したのがNym VPNだった。
Nym VPNは従来のVPNとは根本的に設計思想が違う。通常のVPNがひとつのサーバーを通してトラフィックを中継するのに対し、Nymは「ミックスネット」という分散型ネットワークを使う。
Anonymous Modeでは、データがSphinxパケットに包まれ、5つの独立したミックスノードを経由する。各ノードは暗号の層をひとつ剥がし、他のユーザーのデータと混ぜ合わせてから次のノードに渡す。さらにダミーパケット（カバートラフィック）を常時流すことで、「誰が、いつ、誰と通信しているか」というメタデータレベルの追跡を困難にする。
ここで重要なのは、Nym自身もユーザーの通信内容を知ることができないという点だ。ゼロ知識証明を使った認証により、アイデンティティとトラフィックが紐づかない設計になっている。ノードはボランティアが運営し、NYMトークンで報酬を得る分散型のインセンティブ構造。スイスに本拠を置き、14 Eyes同盟の管轄外にある。
正直に言えば、Anonymous Modeは遅い。5ホップの経路とパケットミキシングの代償として、レイテンシーが大きくなる。メッセージングや暗号通貨の送金には適するが、動画のストリーミングには向かない。そこでNymにはFast Mode（2ホップのAmneziaWG接続）もあり、日常のブラウジングにはこちらを使う。2025年11月にはQUICプロトコルによるEnhanced Modeも追加され、DPI（深層パケット検査）による検出への耐性も上がった。
完璧ではない。独立監査がまだ行われていないこと、出口ノードが第三者運営であること、そしてオプトインではあるがテレメトリの収集が存在することは、注意すべき点として認識している。しかし構造として、単一障害点がないという設計上の優位は揺るがない。
フォールバック：Proton VPN
Nymの接続が不安定な場面や、ミックスネットのレイテンシーが許容できない場合のフォールバックとして、Proton VPNを併用している。
Proton VPNを選んだのは、やはりスイス拠点であること、オープンソースでコードが公開されていること、そしてSecure Coreという独自のマルチホップ機能を持っていることが理由だ。Nymほどの構造的な分散性はないが、従来型VPNの中では信頼に依存する部分を最小化する努力が見える。
ただし、あくまで「フォールバック」だ。Protonを全面的に信頼しているわけではなく、メインの通信経路をNymに置いた上での冗長構成として位置づけている。
レイヤー2：SearXNG
VPNでネットワーク層を保護しても、検索エンジンに全履歴を握られていたら意味がない。GoogleもBingも、検索クエリとIPアドレスとアカウント情報を紐づけて広告に使う。ここを切り離す必要がある。
導入したのがSearXNGだ。SearXNGはオープンソースのメタ検索エンジンで、Google、Bing、DuckDuckGoなど複数の検索エンジンに匿名でクエリを投げ、結果を集約して返す。自分がどこから検索しているのか、各検索エンジンには分からない。
自前のインスタンスを立てることもできるが、私は公開インスタンスを選んで使っている。選定基準は明確で、POSTメソッドでクエリを送信できること（GETだとURLに検索ワードが残る）、TLSの評価がA+であること。この2点を満たすインスタンスだけを使う。
検索結果の質はGoogleに劣る。これは否定しない。しかし「検索の質」と「検索の秘匿性」はトレードオフの関係にある。私が日常的に検索する内容の大部分は、SearXNGの品質で十分に賄える。本当にGoogleの検索力が必要な場面では、Nymを通した上で使えばいい。
レイヤー3：Brave（モバイル）
モバイル環境ではBraveを使っている。
Braveを選んだ理由はシンプルで、広告とトラッカーのブロックがブラウザレベルで組み込まれていること、そしてTor統合のプライベートウィンドウを持っていることだ。Firefoxにublock Originを入れる構成と比較したが、モバイルでの操作の手軽さを優先した。
ただしBrave自体を全面的に信頼しているわけではない。Braveの過去の広告注入問題や、BATトークンというビジネスモデルの構造上の矛盾は承知している。あくまで「デフォルトブラウザとして、他の選択肢よりマシ」という消極的選択だ。
パスワード管理：1Passwordからの移行
この機に、パスワード管理もBitwarden Premiumに移行した。
1Passwordから乗り換えた理由は、Bitwardenがオープンソースだからだ。パスワードマネージャーは自分のデジタルライフの鍵をすべて預ける場所であり、その内部実装がブラックボックスであることが許容できなくなった。
Bitwarden Premiumは年額10ドル。1Passwordの3分の1以下の価格で、TOTP認証、緊急アクセス、暗号化ファイルストレージが使える。UIの洗練度では1Passwordに劣るが、機能面で不足はない。
全体設計：多層防御の思想
ここまでをまとめると、こういうレイヤー構成になる。
ネットワーク層： Nym VPN（主系）+ Proton VPN（副系） 検索層： SearXNG（POST/TLS A+インスタンス） ブラウザ層： Brave（モバイル） 認証層： Bitwarden Premium
各レイヤーが独立していて、ひとつが破られても他のレイヤーが機能する。そしてどのレイヤーも、特定の企業やサービスを「信頼している」から使っているのではなく、構造的に信頼する必要が最小化されているから使っている。
これはLinuxのセキュリティモデルに近い考え方だと思う。Linuxが安全なのは、Linus Torvaldsを信頼しているからではなく、コードが公開されていて誰でも監査できるからだ。信頼ではなく、監査可能性。約束ではなく、構造。
この構成のデメリットも正直に書く
快適さは確実に犠牲になる。Nym VPNのAnonymous Modeは体感で通常の5倍以上遅い。SearXNGの検索結果はGoogleほど賢くない。Bitwardenのオートフィルは1Passwordほどスムーズではない。Braveは一部のサイトで表示が崩れる。
すべてのツールにおいて、利便性と引き換えにプライバシーを得ている。万人に薦められる構成ではない。
しかし、「自分のデータを誰に預けているか」を意識し、その依存を構造的に減らしていく作業には、それ自体に価値があると思っている。完璧なプライバシーは存在しない。しかし、「どこまで自分でコントロールできるか」の線引きを、少しでも自分の側に寄せること。それが、この構成を組んだ理由だ。
何か質問や「こっちのほうがいいんじゃないか」という提案があれば、コメントで教えてほしい。こういう構成は、ひとりで組むよりも他者の視点が入ったほうが強くなる。
