Web of Trustは本当に信頼できるのかという事について、少しだけ考えた。
https://www.nic.ad.jp/ja/newsletter/No82/NL82_0220.pdfでは著者の鈴木さんが、当時と今のご自身のWeb of Trustについての評価を少しだけ記載されていた。これが、とても印象に残ったので引用する。
しかし、シンプルに考えると今も昔もWeb of Trustは、「友達の友達は友達だ」というレベルである。筆者も初期の頃は、Web of Trustという方法も意味があるのではないかと考えていたが、現在では欺瞞（deception）に対して脆弱な極めて危険な方法論と考えている。1992年から2022年の現在まで使われ続けており、それによってWeb of Trustという方法が安全であるような幻想が、独り歩きしているとすら筆者は考えている。
この場合の欺瞞とは何だろうと考えると、一つは悪意を持って誰かになりすます事かと思う。友達の友達が信頼したものを、本当に信頼できるのかという事でもある。友達の友達が、誰かに騙されてなりすまされた公開鍵を信頼してしまったら、こちらも信頼されたなりすまし鍵を信頼する事になる。
信頼と言っても、その人物を信頼できるという意味ではない。この署名をした人と、この鍵の所有者は同一と考えてよいかという事でもある。しかも、同一と考えられないからといって、実際に別人かどうかは分からない。更に現実世界と合わせて考えるなら、その鍵の所有者は一人とは限らない。もしかしたら複数人で共有しているかもしれない。通常の運用ではそういう事はしないけれど、実際にそうしているかどうかなんて本人にしか分からない。
https://text.baldanders.info/openpgp/web-of-trust/では暗号機能の4要素について書かれている。
- 機密性（Confidentiality）
- 完全性（Integrity）
- 認証（Authentication）
- 否認防止（Non-repudiation）
先の話は認証や否認防止だろう。
記事ではユーザーの身元を保証しないと書かれているし、その通りだ。実際この鍵を持っている人が、どこの誰なのかという事は分からない。
身元を保証しようと思うと大変だし、そもそも身元を保証するという状態が、どういう状態なのかもよくわからない。一般的には運転免許証や健康保険証があれば、マイナンバーカードがあれば身元を保証した事になるのかもしれないけれど、それは日本という国がそういう制度を整備しているだけであって、そもそも身元を保証できていないと思う。例えば健康保険証の貸し借りが、しばしば問題として取り上げられている。そりゃそうだろう。言ってしまえば「カードを持っていたらその人だ」という事なのだから。
ただこの話は秘密鍵を誰かに明かした場合にも同じ事が言える。だんだんと焦点が合わず、考えがまとまらなくなってきたから、このへんにしておく。