あなたのために作られた安全なメール

セキュリティーとプライバシーは両立します

どのオンラインサービスについても、そのセキュリティーとプライバシーを評価する際には、常に以下の問いを念頭に置きましょう。

1. 誰がその費用を負担しているのか？　ユーザーなのか、広告主なのか。もしその答えが「広告主」なら、そのサービスには、本当に安全でプライベートなソリューションを提供することは決してできません。その最優先事項は、ユーザーのデータに基づきターゲット層を特定し、広告を配信できるようにすることで、広告主の利益を追求することです。こうしたビジネスモデルでは、ユーザーのプライバシーを保護することは、いつでも二の次となります。

2. 誰が技術スタックをコントロールするのか？　これは非常に技術的な問題ですが、極めて重要なものです。Dovecot、Roundcube、Google reCaptcha、Google Pushなどのサードパーティーの「技術」を使用しているサービスで、セキュリティーとプライバシーが優先されることはまずありません。それはこのサービスの提供者が、意図的に、しかもユーザーにそのことを警告することなく、情報を第三者に流出させているからです。これは、クローズドソースのソフトウェアとの統合に依存しない、オープンソースのサービスを選ぶべきもう一つの理由となります。

3. どのデータが端末間（エンド・ツー・エンド）で暗号化されているのか？　多くのサービスは、安全なメールを提供し、保存されるデータは「暗号化」されていると主張しています。しかし重要なのは、そのデータを暗号化する際の方法です。それは、データがエンドツーエンドで暗号化されている場合にのみ、そのデータは、オンラインサービスだけでなく、他の第三者からも本当にアクセスできなくなるからです。データがエンドツーエンドで暗号化されている場合にだけ、そのサービスは安全なメールサービスを提供していると言えます。データはエンドツーエンドで暗号化されていなければならず、単にデータを暗号化するだけでは十分とは言えません。

ソフトウェア・スタックの制御

多くのメールサービスは、安全なものであっても、DovecotやRoundcubeなどのサードパーティーの技術を使用して、独自の製品を構築しています。セキュアと呼ばれるサービスがサードパーティーのアプリケーションを使うたびに、そのサービスをセキュアにすることは難しくなります。理由は簡単です：コードに含まれるすべてのサービスは、コードを実行します。どのようなサービスでも、その依存関係よりセキュリティーが向上することはあり得ません。サードパーティのコードへの依存関係はすべて維持されなければならず、セキュリティー・アップデートを直ちに適用する必要があります。さらに、すべてのサードパーティ・サービスは、ユーザーを追跡したり、自社のサーバーにデータを送信したりする可能性があります。そのため、Tutaでは、オープンソースのコードを使用する前に、私たち自身が検証したものだけを使用しています。このように、Tutaが使用しているオープンソースツールは安全であることを確認しています：例えば、デスクトップクライアントのベータ版をプッシュした時など、これらのツールや私たちのクライアントに対して定期的にセキュリティーレビューを実施しています。

もちろん、私たちTutaも車輪を再発明することはできません。しかし、私たちは、ウェブ、Android、iOS、そしてすべてのデスクトップクライアントなど、すべてのクライアントを自分たちで構築してきました。さらに、私たちは開発ワークフロー全体において、セキュリティーに強いこだわりを持っています。開発者全員が同じDNAを共有しています：プライバシーとセキュリティーが第一です。

Tutaの主な特徴として、Captcha、Androidのプッシュ通知サービスなど、メールのコア機能以外でも、Tutaの主要部分をすべて自分たちで構築しています。

オープンソース（Tutaのクライアントや依存するソフトウェア）のみ、技術に詳しい人がコードを監査して、Tutaが約束通り、あなたのプライベートメールを最大限に保護しているかどうかを確認できます。

Linux、Windows、macOSのセキュアデスクトップクライアントとAndroidのGoogleプッシュの代替となるオープンソースのCaptchaを構築したことが非常に重要である理由をご覧ください。

セキュリティー

私たちは「セキュリティー第一」というコンセプトに従っています。

安全なメールサービスを提供することで、セキュリティーは万全であるという信頼を得ることができます。私たちにとってこれは、セキュリティーに関しては決して妥協が許されないことを意味します。セキュリティーはコードに組み込まれ、その上にユーザビリティを簡単に追加できるようにしなければなりません。

この「セキュリティー第一」というコンセプトは、今日、Tutaの一流のセキュリティーを保証するいくつかの開発上の決断につながりました。

• PGPは使用していませんが、少し異なる実装（当初はAES 256とRSA 2048をベースにしていました）により、より多くのデータ（件名）を暗号化し、連絡先情報やカレンダーなど、Tutaに追加する他のすべての機能を暗号化しています。私たちはRSAをECDH (x25519) Kyber-1024に置き換え、すべてのTutaユーザーに耐量子暗号をリリースしました。将来的には、前方秘匿もサポートする予定です。

• サーバー上のデータは暗号化されているため、私たちは検索を行いません。その代わりに、Tutaは暗号化された検索インデックスを構築し、それはあなたの端末またはブラウザにローカルに保存され、そこで検索されます。これにより、お客様のプライバシーを保護しながら、電子メール全体（差出人、受取人、件名、本文、添付ファイル）をローカルで検索することができます。

• 暗号化された**データをお客様の端末に送信する場合にのみ機能するため、IMAPは提供していません。その代わりに、私たちは独自のオープンソースのデスクトップクライアントを構築し、データを暗号化して保存しています。このデスクトップクライアントは署名もされており、GitHubで公開されているコードと全く同じコードを実行していることを誰もが検証することができます。

Tutaで安全なメールアドレスを作成すると、データが安全に保管されていることを確認できます。

TLS暗号化

メールプロトコルの安全性

Tutaでメールを送信する場合、Tutaは自動的にエンドツーエンドでメールを暗号化することができるので、最も安全なオプションを選択したことになります。

しかし、Tutaを使用していない連絡先との間で、パスワードを共有することが不便な場合に、暗号化されていないメールを送信したり受信したい場合があります。こうした場合、メールプロバイダーが暗号化できるのは送信のみで、データそのものは暗号化できないため、そうしたメールを保護するのは非常に難しいです。

暗号化されていない電子メールを可能な限り保護するために、私たちはSMTP電子メールプロトコルの可能な限り高い標準を遵守しています。この規格は、電子メールにとって厳密なHTTPSがウェブサイトにとってそうであるように、今までにすべての電子メールサービスでサポートされているはずです。トランスポート暗号化（TLS）が可能な場合は常にこれを強制します。

TutaはSPF、DKIM、DMARCもサポートしています。この3つのプロトコルは、フィッシング詐欺やスパムメールからの侵入に対してインフラを強化するために必要です。

Tutaは、XSS攻撃を防ぐために（メール内の）不明なコンテンツを表示するためのHTMLサニタイザーである厳格なCSP（コンテンツセキュリティーポリシー）を使用しており、デフォルトでは、他のサーバーからの外部コンテンツ（メール内の画像やビデオ）を読み込まないようにしています。ユーザーは、差出人を信頼すれば、ワンクリックやタップで外部コンテンツを表示させることができます。

TutaがSecurityheaders.ioでどの程度のスコアを獲得しているかは、[こちら]]({securityHeadersLink})をご確認ください。

最大限のログイン保護

Tutaはユーザーのパスワードをサーバーに送信することはありません。

あなたが安全なメールボックスにログインする際、Tutaはお客様のパスワードをハッシュ化し、ソルト化してからサーバーに送信します。このハッシュから実際のパスワードを導き出すことは不可能です。そのため、Tutaの私たちでさえもお客様のパスワードを知ることはできません。パスワードを保護するために、私たちはArgon2とSHA256を使用しています。

Tutaはまた、二要素認証(2FA)を提供し、セキュリティーのレイヤーを追加します。TOTPまたはU2Fを使い、ログイン情報を保護することができます。U2Fは二要素認証の中で最も安全な形式であるため、セキュリティー器具によってU2Fを使うことをお勧めします。これにより、認証されたユーザーのみがアカウントにアクセスできるようになります。

ハッカーからメールを安全に保護する方法については、オンラインセキュリティーガイドをご覧ください。

ゼロ知識アーキテクチャー

Tutaはゼロナレッジアーキテクチャを採用しており、ユーザーのデータがTutaのサーバーに平文で保存されることはありません。Tutaのサーバーは暗号化されたデータのみを保存し、復号化キーはユーザーのみが利用可能です。このため、Tutaのサーバーがハッキングされたとしても、データの安全性は確保されます。

GDPRに準拠

欧州のGDPRは、EU市民の機密データを含む電子メールの安全確保を企業に求めています。企業は、個人データが転送されている間でも、そのデータを保護することが求められています。

すべてのビジネスメールをTutaの安全なサーバーで暗号化してホスティングすることで、時間とコストを節約できます。Tutaでは、プラグインや複雑な暗号化ソフトウェアを、この10年でとっくにビジネスには適さなくなったムダだらけの企業向けメールサービスに載せて使う必要はありません。

メールの暗号化は、GDPRのコンプライアンスを保証します。TutaはGDPRに完全に準拠する、最も安全なメールサービスを提供しています。

Tutaはデータ最小化＆プライバシー・バイ・デザイン（Privacy by design）の原則に従います。

私たちはお客様の個人データを保護する責任があり、この責任をきわめて重要視しています。そのため、

• Tutaは「データ最小化」と「プライバシー・バイ・デザイン」のデータプライバシー原則に基づいています。

• ユーザーのすべてのデータはTutaでエンドツーエンドで暗号化して保存されます（メールの差出人と受取人のメールアドレスなどのメタデータを除きます。この情報は、メールプロトコルによって正しいアドレスにメールを届けるために必要です）。

• お客様のデータを最大限保護する技術上および組織上の対策を行っています。

• Tutaは、GDPRへの準拠を証明するために、法的拘束力のあるデータ保護保証のある注文処理契約書（OPA）を提供します。

詳しくはプライバシーステートメントをご覧ください。

内蔵の暗号化機能と、世界中のどの受取人にも暗号化メールを送信できることから、Tutaはビジネスに最適な安全なメールとして最もふさわしいサービスだと言えます。Tutaでは、GDPRに確実に準拠しつつ、機密性の高い個人データを、エンドツーエンドで暗号化して送信することが可能となります。

TutaがあなたのビジネスにおけるGDPRコンプライアンスの達成に役立つ方法については、当社のブログをお読みください。

ドイツ製プライバシー

ドイツのデータ保護法は、最も厳格なデータ保護法の1つです。

欧州連合（EU）におけるデータプライバシー規制は世界で最も厳しいものの1つであり、欧州加盟国の中でも、ドイツは最も強力な政策の1つである連邦データ保護法（Bundesdatenschutzgesetz）を備えています。EUの一般データ保護規則（GDPR）は、その大部分が、ドイツ連邦データ保護法に基づき設計されました。

この法律は、インターネットサービスの利用者を保護するものです。これはユーザーが、自分のデータをどう扱うべきかを管理する法律であり、企業（＝私たち）が、個人（＝あなた）の明示的な許可なしに、氏名、生年月日、IPアドレスなどの個人情報を収集することは認められていません。

また、ドイツには、私たちを箝口令に従わせたり、私たちにバックドアを実装させたりする法律はありません。

ドイツのデータ保護の法律に関する詳細は、当社のブログと透明性レポートでご確認いただけます。

ドイツにデータを保管

Tutaはすべてのデータを、ドイツの安全性の高いデータセンターで暗号化して保存しています。

Tutaのすべてのデータは、ドイツにあるISO 27001認証のデータセンターの自社サーバーでエンドツーエンドで暗号化して保存されています。

サーバーには、アクセスする前に多要素認証に合格する必要がある管理者以外は、誰もアクセスすることができません。すべての運用システムは、不正なアクセスや異常な活動がないか、24時間365日体制で監視されています。

匿名メールサービス：追跡なし、広告なし

Tuta は、あなたを追跡しない 匿名メールサービスです。

当社のビジネスモデルは、一般的なメールサービスとは異なります：暗号化されているため、私たちはあなたのメールをスキャンすることはできません。私たちはあなたを追跡することはありません。また、お客様のメールボックスにターゲット広告を送信することもありません。つまり、お客様のデータは、メールやカレンダーのサービスを提供する以外の目的で使用されることはないのです。このため、お客様のデータが第三者の広告主やその他の団体と共有されることはなく、お客様のプライバシーが損なわれる可能性があります。

デフォルトでは、Tutaはログイン時やメール送信時にIPアドレスを記録しません。登録時には、Torブラウザで登録する場合でも、個人データを提供する必要はありません（例：電話番号の入力は不要です）。Tutaは、送信されたメールのIPアドレスをメールヘッダから削除し、お客様の所在地がわからないようにしています。このように保護されているにもかかわらず、あなたは私たちに対してもIPアドレスを隠しておきたいと思うかもしれません。そのため、私たちはVPNやブラウザを提供することはありません。特にVPNを提供することは意味がありません。なぜなら、VPNを提供した場合、メールサービスの提供者として、ユーザーがこのVPN経由で接続した場合、ユーザーの元のIPアドレスを知ることができるからです。プライバシー保護の観点から、こうしたサービスは分けて使うのがいいでしょう。

充実したプライバシー機能

Tutaはプライバシーを第一に考えて作られています。

企業はマーケティングのキャンペーンに電子メールを愛用しています。それは、メールは既定では、あなたのプライバシーを尊重しないからです。マーケティングニュースレターを受信すると、通常、メールには外部コンテンツ（例：画像、ビデオ）が読み込まれます。その際、あなたは追跡されている最中です。IPアドレス、使用しているブラウザー、その他多くの情報が、メールの差出人に送信されています。

Tutaは、そうした追跡方法から自動的に保護するメールサービスを提供しています。

• 既定で画像をブロックします。明示的に許可しない限り、メールを開いた際に外部のコンテンツが読み込まれることはありません。

• ユーザーのプライバシーを守るため、送信されたメールからすべてのヘッダー情報（IPアドレス）を取り除きます。

• 技術的な差出人と差出人が異なる場合に警告を発します。差出人の偽装は、フィッシング攻撃で使われる典型的な手法です。ブログでは、メールフィッシングを防ぐためのヒントを紹介しています。

リモートでセッションを監視、終了

暗号化されたTutaのメールボックスに誰かがアクセスしたかどうかを確認できます。

Tutaでは、オプトインの機能として、アクティブなセッションと終了したセッションを確認できます。これにより、自分以外の人が自分のアカウントにログインしていないことを検証できます。終了されたセッションは、1週間後に自動的に削除されます。Tutaのセッション処理機能を使えば、遠隔でセッションを終了できます。携帯電話を紛失した場合、Tutaアプリでログインしたままであれば、他の端末からこのセッションを終了し、紛失した電話で安全なメールにアクセスすることを防ぐことができます。

IPアドレスは常に暗号化されて保存され、1週間後に自動的に削除されます。暗号化されているため、この情報にアクセスできるのはあなただけです。私たちTutaはこの情報に全くアクセスすることができません。

オープンソースにコミットする

フリー＆オープンソースメールをみんなのために。

Tutaは、セキュリティーとプライバシーを重視しています。私たちにとって、オープンソースはその両方を達成するために不可欠です。私たちはTutaウェブクライアント、Tutaデスクトップクライアント、AndroidとiOSアプリをオープンソースソフトウェアとしてGitHubで公開しています。

このように誰もがコードを確認し、コードベースにバグやセキュリティーの脆弱性がないことを確認できます。オープンソースであることで、潜在的な問題に気づき、クローズドソースのアプリケーションの場合よりもはるかに速く修正することができます。