技術スタックとは何か？
孤立して存在するものはない。これは自然界、言語、人間、ソフトウェアに当てはまる。
テクノロジーにおいても、これは非常に当てはまる。平均的なインターネット・ユーザーは、「私はGmailを使っているから、この製品はグーグルが所有し、グーグルが安全であることを保証している」と考えるだろうが、これはまったく違う。どんな製品も、このソフトウェア・アプリケーションを構築するのに必要なプログラミング言語、ツール、ユーティリティ、ライブラリ、フレームワークからなるテクノロジー・スタックで構築されている。アプリ提供者（ここではグーグル）は、これらのいくつかを自社で所有し構築するかもしれないが、常にサードパーティの技術スタックにも依存している。これがオンラインの世界の成り立ちなのだ。
今、あなたがこの記事を読むために使っているブラウザも同じです：今、あなたのブラウザで動いているソフトウェアは単一ではなく、より小さなコードの断片、ユーティリティやライブラリの実装、ソフトウェアフレームワークで構成されています。これらのユニークな要素が最終的なソフトウェア製品の形にまとまった場合、その製品はその最も弱い部分と同じくらい安全であるとしか言えません。例えば、あるソフトウェアが使用する重要なライブラリに重大な脆弱性があれば、その脆弱性はそのソフトウェア全体のセキュリティを損なうことになる。ソフトウェアのすべての部分を保護することの重要性を示す例として、XZバックドアがある：いくつかのLinuxディストロに感染しようとしていたXZの脆弱性が発見され、私たちは過去最悪のセキュリティ・インシデントのひとつを間一髪で回避したが、XZのコードがオープン・ソースであったために事前に発見された。
このような脆弱性のリスクを軽減するために、Tutaでは監査済みのオープンソースツールのみを使用しています。これにより、暗号化された電子メールサービスを構築するために使用されているすべてのコードを、個人的にレビューすることができます。ある問題を解決するために必要なオープンソース技術が見つからない場合、私たちは独自に開発します。もちろん、これらの作品のクライアントサイドの部分もすべてオープンソースとして公開され、すべてのコードを公開のセキュリティレビューとディスカッションに利用できるようにしています。プライバシーと信頼は、透明性のあるソリューションによってのみ繁栄するのです。
どのように作られているかTuta！
Tutaでは、膨大な数の肥大化したライブラリをインポートしたり、クローズドソースソフトウェアを使用する必要はありません。私たちは、技術スタックに余分な荷物を追加することなく、私たちのアプリケーションのニーズにぴったり合うソリューションを提供します。
多くのメールサービスが、Postfix、Dovecot、Roundcubeなど、サードパーティの技術に依存して独自の製品を構築しているが、サードパーティのアプリケーションが使われるたびに、特にそれがクローズドソースである場合には、その製品の安全性を確保することが難しくなるという事実を認識しておく必要がある。先ほどのXZの脆弱性の例を考えてみてほしい。このようなことはクローズドソースのコードでも起こるが、そこでは簡単に発見して緩和することはできない。
だからこそ、私たちTutaはオープンソースに重点を置いているのです：ウェブ、アンドロイド、iOS、そしてすべてのデスクトップクライアントなど、すべてのクライアントを独自に構築し、オープンソースとして公開しています。
Tuta Mailが、基本的に世界中の他のメールプロバイダと異なる主な点は、暗号化ソリューションの主要な部分をすべて自分たちで構築していることです。それに加えて、私たちはTutaが依存しているオープンソースツールが安全で、いかなる脆弱性も含んでいないことを確認しています：例えば、デスクトップクライアントをベータ版からプッシュする際など、Tutaで使用されているすべてのツールや私たち自身のクライアントの内部セキュリティレビューを定期的に開始しています。
技術に精通した人々がコードを監査し、Tutaが私たちが約束することを実行していることを検証できるのは、オープンソースだけです-私たち自身のクライアントだけでなく、私たちの技術スタックに選択的に含まれるソフトウェア、ライブラリ、フレームワークも同様です。
自慢のオープンソース・ソリューション
Tutaのソリューションの中で、私たちが特に誇りに思っているもののひとつに、独自に構築したプッシュ通知サービスがあります！
Googleフリーのプッシュ通知サービス
世界で最も人気のあるプッシュ通知サービスは、GoogleのFirebase Cloud Messaging (FCM)サービスです。Google 自身の言葉を借りれば、「Firebase Cloud Messaging (FCM)は、クロスプラットフォームのメッセージング・ソリューションであり、コストをかけずに確実にメッセージを送信することができます。完全にオープンソースのプッシュ通知サービスを独自に開発することで、Tuta AndroidアプリのEメール通知が安全に配信されることを保証できます。これは、GoogleのFCMサービスを当社のモバイル技術スタックに追加した場合とは異なります。
Tutaの技術スタックに独自の通知サービスを実装することで、Googleのようなビッグテック企業への情報漏洩を完全に避けることができる。FCMを使用している他のサービスは、受動的にユーザーデータを、このデータを売ろうとする企業の詮索好きな目にさらしている。
真のプライベート・キャプチャ
不正なサインアップを防ぐことと、グーグルと情報を共有しないことを両立させるため、ウェブ・アプリケーションの技術スタックに独自のオープンソース・キャプチャを実装しました。このキャプチャは、キーボードの背後に人間がいることを確認することで、自動ボットアカウント作成に対抗するのに役立ちます。このキャプチャは、Torブラウザを通して匿名アカウントを作成しているユーザーに特に関連しています。Torを使用する場合、アカウントが作成される前に、Tutaは常にキャプチャ認証の成功を要求する。
驚くなかれ、グーグルも独自のreCaptchaサービスを無料で提供している。私たちにとっては、ボット対策としては受け入れがたいものだ。Google reCaptchaは、トラッキング・クッキーによってウェブ上でユーザーを追跡しているとして批判されている。また、reCaptcha v3は、ユーザーの行動を多かれ少なかれボットらしくランク付けしています。reCaptchaサービスを使用してサイトを訪問する際にGoogleアカウントにログインしている場合、reCaptchaは名誉あるゲストのようにユーザーに手を振る。グーグル・アカウントが決してボットに操作されていないと仮定するのは奇妙に思えるが、結局のところ、世界のスパムメールの大部分はGメール・アカウントを通じて送信されている。VPNやTorブラウザを使用していたり、トラッキング・クッキーを避ける手段を講じている場合、グーグルはあなたをより「ボット的」であると評価し、これらのキャプチャをより頻繁に処理する必要があるかもしれない。
Tutaでは、このような情報をGoogleや他の大手テック企業に提供することはありません。私たちのカスタムキャプチャは、人間が簡単に解くことができ、ボットを阻止し、あなたに関するいかなる情報も共有しません。Torブラウザのサインアップの場合、キャプチャは必須ですが、ユーザーの情報を外部と共有することはありません。あなたがプライバシー保護に関心のある人間であることをサーバーに確認するだけです。
Tuta Blobストア
我々のインフラのために構築したもう一つの舞台裏のソリューションは、独自のTutaブロブストレージの開発です。独自のブロブ・ストレージ・ソリューションを開発することで、私たちは暗号化された添付ファイル・データと暗号化されたメール本文を、独自のデータベースを停滞させることなく保存する最適化された手段を実装しました。オープンソースのブロブストレージを構築することで、私たちのバックエンドのニーズにぴったり合ったストレージプラットフォームを使用することができます。Tutaブロブストアは、低レベルのハードディスクとLinuxカーネルの統合を含め、ゼロから構築されている。
標準的なファイル・ストレージとは対照的にブロブ・ストレージを利用することで、暗号化されたデータを分散して効率的に保存することができ、少なくとも3つの別々のハードウェア・インスタンスにデータを安全に保存することができます。これにより、万が一のハードウェア障害からデータを保護する冗長性のレイヤーが可能になります。分散データストレージソリューションを使用することで、いつでも書き込み可能な数を増やすことができ、サービス全体のパフォーマンスを向上させることができます。
提供されるセキュリティと効率性に加えて、ブロブストアには広範なテストスイートも含まれているため、暗号化されたデータの保存に影響を与える変更を適切にレビューし、テストすることができます。
Tutaブロブストアは、派手なユーザー向け新機能ではないかもしれませんが、Tutaのパフォーマンス、セキュリティ、効率を大幅に向上させます。これは、Tuta Driveの導入を進める上で特に重要である！
Tutaのポスト量子ハイブリッド・プロトコルとPGPの比較
Tutaの世界初の電子メール用量子耐性暗号化は、我々がいかにしてより優れた、よりプライベートな技術スタックを作り出しているかを示す最大の例となるだろう。多くの弱点があり、技術的に可能な限り多くのデータを暗号化しないPGPに依存するのではなく、我々はヴッパータール大学の暗号学の専門家と共にTuta Cryptの開発と実装を進めてきた。Tuta Cryptは一般公開されており、暗号とセキュリティの専門家による暗号解析を受けている。
Tuta Cryptは、AES 256とECDH x25519を組み合わせたハイブリッド・プロトコルで、Kyberのような公開されている暗号アルゴリズムを組み合わせ、量子的に安全な暗号化で電子メール、共有カレンダー、連絡先を保護します。このアプローチにより、Tutaユーザーに可能な限り最大のセキュリティを提供し、“Perfect Forward Secrecy “のような新しい目標をより速く追求することができる。OpenPGPプロジェクトもポスト量子暗号化に取り組んでいますが、彼らのソリューションはまだ開発中です。それまでの間、PGPで暗号化された電子メールは、世界中の3文字の諜報機関が採用する「今収穫し、後で解読する」戦術の影響を依然として受けやすいということだ。
透明性はプライバシーの基礎です。
可能な限り最高のセキュリティを提供するために、私たちはGitHubで誰でもレビューできるようにコードを公開しています。私たちのコードを透過的に公開することは、追加のセキュリティ・レビューを可能にするだけでなく、信頼を強化します。Tutaは、インターネットを誰にとっても安全でオープンな空間にしようと努力しているオープンソース愛好家によって構築されています。Tutaは、時間をかけて常にセキュリティを第一に考え、一歩ずつ大衆にプライバシーを提供し続けています。
安全性の低いソリューションに甘んじることなく、今すぐ無料の量子抵抗性Tutaアカウントを作成してください！
安全で楽しい暗号化を。