緊急用パスワード・パニックコード・緊急用パターンとは

セキュリティの多くは、見知らぬ人を締め出すためのものです。緊急用パスワードが想定しているのは別の場面、つまり誰かがすぐ隣に立ち、中に入れろと迫ってくる瞬間です。このガイドでは、緊急用パスワードとは何か、その考え方の由来、スマホアプリでの使われ方、そしてVelcryptの緊急用パターンの仕組みと限界を説明します。

緊急用パスワードとは

緊急用パスワードとは、強要されているときにだけ使う2つ目の秘密です。見ている人にとって、それを入力する様子は通常のロック解除とまったく同じです。しかし裏側では、あなたやデータを守るための追加の動作が行われます。

同じ考え方に、いくつもの呼び名があります。

• デュレスコード（duress code）：警報システムや警備の厳しい施設で使われる一般的な呼び方。
• パニックパスワード、パニックPIN、偽パスワード：アプリでよく使われる呼び方。
• 緊急用PINや緊急用パターン：端末のロック解除方法による呼び方。

決定的な特徴は、反応がサイレントであることです。コードを入力したとたんにサイレンが鳴ったり、警告が出たり、画面が目に見えて変わったりすれば、強要している相手にあなたが抵抗したことが伝わり、かえって危険が増します。

考え方の由来

警報システム

家庭用や業務用の警報パネルの多くは、デュレスコードに対応しています。キーパッドでそれを入力すると警報はいつもどおり解除されるので、解除を強要した侵入者には何も変わった様子は見えません。同時に、パネルは監視センターに、あなたが危険な状況にあることを密かに知らせます。

銀行や警備の厳しい施設

銀行員は昔から、サイレントアラームや緊急の合図を使ってきました。ボタン、合言葉、コードなどで、強盗に気づかれずに警備に知らせるものです。目的は警報パネルと同じで、表面上は従いながら、裏で助けを呼ぶことです。

ATMの暗証番号を逆から入力すると警察が呼ばれる、という話を聞いたことがあるかもしれません。これは都市伝説です。アイデアとしては議論され、特許まで取られていますが、ATMは一般にそのようには動作しないので、当てにしないでください。

暗号化ソフト

ディスク暗号化ツールは、関連する考え方を取り入れました。2つ目のパスワードで、もっともらしい外側のボリュームを開き、隠しボリュームは見えないままにする仕組みです。何かが作動するわけではないので厳密にはデュレスコードではありませんが、「一部だけ明かす」ことを安全な選択肢にするという目的は共通しています。その歴史はもっともらしい否認とはで扱っています。

スマホアプリでの実装方法

スマホには通常、知らせるべき監視センターがないため、緊急用コードは代わりにデータを守ります。よくある方式は次のとおりです。

1. 無害な中身を開く。 緊急用コードでダミー、つまりありふれた見た目の2つ目の領域を開きます。これはダミー保管庫に近く、それだけでは何も削除しません。
2. 無害な中身を開き、残りを削除する。 緊急用コードでダミーを開くと同時に、機密データを消去します。最も強力な方式で、元に戻せません。
3. すべてを消去する。 セキュリティ重視のシステムの中には、端末やアプリ全体を消去する緊急用PINを用意しているものもあります。データは守れますが、何かが起きたことは一目瞭然です。

良い実装とそうでない実装を分けるのは、主に何が観察できるかです。

• ロック解除の見た目やかかる時間は、通常と同じか？
• 緊急用コードが設定されていることを示す設定、バッジ、ファイルはないか？
• 解除後に画面上で何かが変わらないか？

どれか1つでもコードの存在を明かしてしまうなら、緊迫した状況をかえって悪化させるおそれがあります。

Velcryptの緊急用パターンの仕組み

Velcryptは5×5のグリッドに描くパターンでロックを解除し、パターンごとに専用の保管庫が開きます。緊急用パターンは、この仕組みの上に作られたPremium機能です。

• ダミーの保管庫を開いた状態で設定します。「設定」→「緊急用パターン」から行います。ダミーとは、見られても問題はないがそれらしい中身を入れた2つ目の保管庫です。2つ目以降の保管庫にはPremiumが必要です。
• 別のパターンを2回描いて確定します。 すでに保管庫を開くパターンは使えません。
• ロック画面で緊急用パターンを描くとダミーが開き、そのiPhone上のほかの保管庫はすべて気づかれずに完全削除されます。
• 何かが起きたことは画面に表示されません。 ロック解除の見た目もかかる時間も通常と同じです。
• 緊急用パターンが設定されているかどうかを、アプリは決して表示しません。 iOSのキーチェーンには常に固定サイズの暗号化レコードがあり、緊急用パターンが未設定のときはランダムなバイトが入っています。
• iPhone 1台につき1つ。 新しく設定すると以前のものは置き換えられます。オフにするには緊急用パターンを描く必要があり、オフにしても何も削除されません。
• Premiumが終了しても機能し続けます。 Premiumが必要なのは設定するときだけです。

そのiPhoneにある唯一の保管庫に設定した場合は削除するものがないため、Velcryptが警告します。

正直にお伝えする限界

削除は元に戻せない

削除された保管庫は、iPhone上からは復元できません。保管庫のデータはiCloudやコンピュータのバックアップから除外されているため、取り戻す唯一の方法は、事前に「設定」→「バックアップ」で作成した暗号化バックアップファイルです。バックアップは無料で、アプリの外に保存したバックアップファイルには緊急用パターンは影響しません。バックアップの保護方法はセキュリティのページで説明しています。

削除は物理的な消去と同じではない

フラッシュストレージでは、削除したデータがすぐに物理的に消去される保証はありません。Velcryptが頼りにしているのは、保管庫のデータがAES-256-GCMで暗号化されており、鍵が保管庫のディレクトリと一緒に削除されることです。そのため、残ったデータは鍵のない暗号文にすぎません。

届くのはVelcryptの保管庫だけ

「写真」ライブラリ、「最近削除した項目」、iCloud、チャット、ほかの人のスマホにあるコピーはそのまま残ります。取り込み後は元の写真を削除しましょう。

見られたことは取り消せない

本当のパターンを描くところを見られたり撮影されたりしていたら、緊急用パターンを使っても相手が知っていることは変わりません。

責任ある使い方：緊急用パスワードの目的ではないこと

緊急用パスワードは、身の安全を守るためのツールです。強盗、脅迫、スマホを見せろと迫る支配的なパートナーなどの場面を想定しています。

証拠を消したり、警察、国境の係官、裁判所による合法的な要求を回避したりする手段ではありません。法律は国によって異なり、法的な要求に応じてデータを削除すること自体が、証拠隠滅や捜査妨害などの犯罪になる場合があります。法的な要求を受けている、または受けそうな場合は、法律の専門家に相談してください。旅行については国境でのスマホのプライバシーで具体的に扱っています。

使うべきか

保管庫のロック解除を迫られる場面が現実に想像でき、見られるくらいならファイルを失ったほうがいいと思えるなら、緊急用パターンは理にかなっています。逆に、ファイルがかけがえのないものでバックアップもない場合や、緊張した状況でどのパターンが何をするか思い出せる自信がない場合は、あまり向いていません。

使うと決めたら、まずバックアップを取り、もっともらしいダミーを作り、ダミー保管庫と緊急用パターンの設定方法を読んでください。特定の相手が理由で検討しているなら、スマホのロック解除を強要されたときの対処法で安全面の全体像を解説しています。Premiumのプランは料金のページにあります。