ほとんどのスマホにduress PINはない。だからMorse Messengerに緊急消去を作りました

duress PIN（duressは英語で「強要」という意味）は、2つ目のロック解除コードです。いつものコードとは別に設定しておきます。誰かにスマートフォンのロック解除を迫られたら、いつものコードの代わりにduress PINを入力します。するとスマートフォンは開く代わりに、自分自身を消去します。

考え方はシンプルです。エンドツーエンド暗号化は送受信の途中でメッセージを守り、ロックされたスマートフォンは保存されているメッセージを守ります。でも、誰かにロック解除を強いられたら、どちらも役に立ちません。そのとき残された守りは、消去することだけです。

それに、守るのはあなただけではありません。チャットには、ほかの人の言葉も入っています。秘密を打ち明けてくれた友だち、家族、一緒に働く人たち。消去は、その人たちも守ります。

たとえば、こんな場面で大切になります。

• ロックが解除されたスマートフォンを誰かに奪われたとき、またはロック解除を強いられたとき。
• スマートフォンをチェックするパートナー。支配的な関係にある人にとっては、友だちや支援してくれる人とのチャットがスマートフォンに残っているだけで、危険になることがあります。
• ジャーナリスト、活動家、そして人から大切な秘密を託されるすべての人。情報源とやり取りしているなら、ほかのことはジャーナリスト向けメッセージングのガイドで解説しています。

まず、ないと思って間違いありません。Pixel向けの代替AndroidシステムであるGrapheneOSは、2024年にduress PINを追加しました。スマートフォンがPINを求める画面のどこで入力しても、GrapheneOS自身の言葉を借りれば「デバイスを元に戻せない形で消去」します。

iPhone、Samsungのスマートフォン、Googleの標準ソフトウェアを使っているPixelには、こうした機能はありません。iPhoneでいちばん近いのは、パスコードの入力に10回失敗すると消去される設定ですが、正しいパスコードを入力させられたら役に立ちません。それに、スマートフォン全体を消去すると、写真もほかのアプリも、すべてが一緒に消えてしまいます。

メッセージアプリも、たいていこの穴を埋めてはくれません。ほとんどのアプリでできるのは、アプリの中からアカウントを削除するか、チャットを消すことだけです。しかも、やり取りした相手の手元には、たいていコピーが残ります。

そこで、私たちはこれをMorseに組み込みました。緊急消去は、最初はオフになっています。すべてを消去するボタンを、うっかり押せてしまってはいけないからです。オンにする手順は次のとおりです。

1. 1「あなた」タブを開き、「プライバシー & セキュリティ」を開きます。
2. 2「パニックボタン」をタップします。次のアップデートで、新しい名前「緊急消去」に変わります。
3. 3「パニックボタンを表示」をオンにします。必要なら、「保存した写真と動画も消去」もオンにします。

それ以降、アプリの中とMorseのロック画面に消去ボタンが表示されます。2回のタップですべてが消去されます。ボタンをタップし、次に「すべて消去」をタップするだけです。先にMorseのロックを解除する必要はありません。

MorseはiPhone向けに提供しています。緊急消去は、まもなく登場するAndroidアプリにも搭載されています。

数秒のうちに、次のことが起きます。

1. 1スマートフォンがまだ接続しているうちに、Morseが私たちのサーバーにアカウントの削除を依頼します。
2. 2Morseのデータベースを開く鍵を破壊します。中にあるすべてのメッセージと連絡先が、一瞬で読めなくなります。
3. 3データベースのファイルと、鍵で守られていないものをすべて削除します。開いた写真や動画、音声とカメラの録音・録画、一時ファイル、画面上の通知、アプリのバッジ、そしてMorseでコピーしたものがまだ残っていればクリップボードもです。
4. 4何も残っていないかを確認し、残ったものがあればもう一度消去します。
5. 5相手のスマートフォンから、あなたとの1対1のチャットが削除され、連絡先からもあなたが削除されます。

そしてMorseは、インストールしたばかりのように、ようこそ画面に戻ります。元に戻せるものもありません。Morseのデータを開く鍵はそのスマートフォン専用として保存されているので、バックアップがあっても、ほかのデバイスでは読めません。

なぜファイルを削除するのではなく、鍵を破壊するのでしょうか。スマートフォンのフラッシュストレージでは、ファイルを削除しても確実に消えるとは限りません。チップは消耗を均一にするために書き込み先を分散させるので、古いデータがアプリの手の届かない場所に残ることがあるのです。だからMorseは、削除に頼りません。Morseのデータベースは、スマートフォンの保護された鍵ストレージに保管された鍵で、スマートフォン上で暗号化されています。その鍵を破壊すれば、チップに残ったものはただのノイズです。これは暗号消去（crypto-erase）と呼ばれ、メッセージが1万件あっても10件でも、かかる時間は変わりません。

でも、その鍵も結局は同じチップ上のデータの1つにすぎないのではないでしょうか。もっともな疑問です。その答えがPINロックです。MorseのPINロックをオンにしていると、データベースの鍵そのものが二重にロックされます。1つはあなたのPINで、もう1つは、iPhoneではSecure Enclave、AndroidではAndroid Keystoreが保持する鍵です。この鍵は、スマートフォンの外へ決してコピーできません。消去では、このハードウェアの鍵も削除します。そのため、ロックされたデータベースの鍵のコピーがチップのどこかに残っていたとしても、それを開けるものはもう何も存在しません。

なぜロック画面から実行できるのでしょうか。鍵を破壊するのに、鍵は必要ないからです。消去ではデータベースを一度も開かないので、MorseはPINなしで実行できます。Morseがロックされている間に消去に必要なのは、私たちのサーバー上のアカウントを削除する許可だけです。そのためにMorseは、ロック中でも読める削除用トークンを保管しています。このトークンにできるのはアカウントの削除だけで、何かを読んだり送ったりすることはできません。

サーバーが最初なのは、相手のスマートフォンがあなたがいなくなったことを知る手段が、私たちのサーバーだけだからです。そこでMorseは、スマートフォンがまだ接続しているうちに真っ先にサーバーに依頼し、少しだけ待ちます。ネットワークが遅くても、スマートフォン上の消去が止まることはありません。返事が来なくても、スマートフォンはそのまま消去されます。

そのすべての前に、Morseはバックグラウンドで動かしているものをすべて止めます。消去の途中で、何かが新しいデータを書き込まないようにするためです。そのあとで、アカウント、鍵、ファイル、最後に確認の順に進みます。

難しかったのは、保存した写真です。iPhoneでは「このアプリが保存した写真」を一覧にできないので、Morseは写真を1枚保存するたびに独自のリストに記録し、そのリストを使って削除します。写真を削除するときはiOSが確認を求めます。これはAppleのルールなので、Morseはチャットを先に消去し、この確認で何かが止まることはありません。Android 10以降では、Morseは自分のフォルダに保存した写真と動画を削除します。

Morseがデータをどのように保存し、守っているのか、その全体像はセキュリティホワイトペーパー（英語）にまとめています。

消去は簡単そうに聞こえます。すべてを削除するだけです。作業の大半を占めたのは、「すべて」が隠れている場所と、邪魔になりうるものへの対応でした。

• 消去の途中にメッセージが届くことがあります。iPhoneでは、通知は別の小さなプロセスが処理していて、このプロセスはいつでも起動する可能性があります。データベースを破壊している最中にこのプロセスが保存したメッセージは、残ってしまうおそれがあります。そこで消去は、何かを削除する前に、まずこのプロセスに書き込みをやめるよう伝えます。
• 後片付けの一部は、スマートフォン自体のサービスを通して行います。アプリのバッジ、画面上の通知、スマートフォンがチャットから学習した提案を消すことです。こうしたサービスは、応答が遅いことがあります。でも、どれにも消去を止めさせません。それぞれに短い制限時間があり、時間が来れば消去は先へ進みます。
• 何かがまだファイルを指しているうちは、そのファイルは消えません。動画を再生するために、アプリは復号したファイルへの追加のリンクを作ります。そのため、メディアフォルダだけを削除していたら、その動画はスマートフォンに残っていたはずです。そこで消去では代わりに、中身が何であれ、一時フォルダを丸ごと空にします。
• Morseが保存した写真を消去するには、iPhoneでは写真ライブラリへのフルアクセスが必要です。Morseは、それ以外ではこのアクセスを一切求めません。だから、別のスイッチになっています。そうした写真も消去したいときだけ、そのアクセスを許可すればいいのです。

消去の確かさは、そのリストで決まります。メッセージアプリは、思っている以上に多くの場所にデータを置いています。データベース、スマートフォンの鍵ストレージ、設定、キャッシュ、一時ファイル、そしてアプリのうちバックグラウンドで動く部分です。そのすべてが、iPhoneでもAndroidでも1つのリストにまとめられ、テストも用意されています。

このリストが追いつかなくなるとしたら、アプリが大きくなるときだけです。だから、忘れにくい仕組みにしました。私たちのコードベースには、データを保存する新しい場所は、同じ変更の中でテストと一緒に消去に追加しない限りリリースしない、というルールがあります。

そして消去は、うまくいったと決めつけることはありません。終わったら、リストのすべての項目を確認し、まだ残っているものがあればもう一度消去します。

私たちの側では、消去によって、あなたのアカウントとそれにひも付くすべてが削除されます。鍵、まだあなたへの配信を待っているメッセージ、プッシュ通知の登録、暗号化されたプロフィールと写真、保留中の連絡先リクエスト、そしてグループでのプロフィールです。そのあと、サーバーが相手のスマートフォンに、あなたがいなくなったことを伝えます。

App Storeのサブスクリプションの記録は残りますが、使用済みとして記録され、もうあなたのMorse IDとはひも付いていません。そのため、新しいアカウントに移すことはできません。メッセージは、そもそも私たちのサーバーで読めたことは一度もありません。サーバーは、暗号化されたメッセージを受け渡しているだけです。

いちばん困ったときに気づくより、今のうちに限界を知っておくほうが安心です。

取り消しはできません。アカウントはなくなり、新しく作り直す必要があります。

緊急消去は、その瞬間の前に備えるものです。duress PINは、その瞬間そのものに備えます。Morseのロック画面用の2つ目のPINで、誰かにアプリを開くよう強いられたときに入力すると、アプリを開く代わりにすべてを消去します。今後のアップデートで登場します。

それまでは、失うものを小さくしておく方法が2つあります。大事なチャットでは消えるメッセージをオンにして、そもそもスマートフォンに残るものを減らしましょう。また、Morseにはリンクしたデバイスがないので、あなたのスマートフォンを手にしている間にこっそり1台追加して、別のスマホからメッセージを読むことは誰にもできません。