通信の中身を確かめるために、TLS を復号します

いまの Web の通信は、ほとんどが TLS で暗号化されています。暗号化されたままでは、Edge にわかるのは接続先の名前までで、 何が送られているかはわかりません。Lantern DSSE が TLS を復号するのは、送られる中身を確かめるためです。

機密情報が外へ出るのを止める（DLP）

社外のサービスへのアップロードは、送り出す前に中身を検査します。見つけられるのは、次のようなものです。

• マイナンバー、法人番号、クレジットカード番号、API キー、メールアドレス、電話番号
• 組織ごとに決めたキーワードや、文字の並びのパターン
• 顧客番号や社員番号など、あらかじめ登録しておいた値

Word や Excel などの Office ファイルや PDF は、中の文字を取り出して検査します。

見つかったときの扱いは、ポリシーごとに選べます。記録だけする、警告する、止める、本人確認を求める、の4つです。

同じ端末から短い時間に何度も見つかったときは、その端末のデバイスリスクを上げることもできます。 たとえば、5分のうちに2種類以上の機密データが、同じ宛先へ何度も送られた場合です。 リスクが上がった端末をどう扱うかは、リスクに応じたアクセスのルールで決めます。

会社のアカウントでだけ使わせる（テナント制限）

Google Workspace、Microsoft 365、ChatGPT、Claude では、会社が許可したアカウントにだけサインインさせることができます。 Edge が通信に「許可するアカウント」を書き添え、サービスの側がそれに従って制限します。 この書き添えも、復号した通信にしかできません。

これから組み込む機能

復号した通信の上に、これから機能を足していきます。

• AI の応答の解析。いまの DLP が検査しているのは、社外へ送る側の通信です。 これからは、生成 AI から返ってくる応答の中身も解析できるようにしていきます。たとえば、応答に機密情報が 含まれていないか、AI エージェントをだます指示（プロンプトインジェクション）が紛れ込んでいないか、を確かめられるようにします。
• DSPM。組織の機密データがどこにあり、どこへ送られているかを把握する機能も、組み込んでいく予定です。

どれも、通信を復号できて初めて成り立つ機能です。

復号する場所とコードは、運用者の手元にあります

復号すると、通信の中身はいったん平文になります。だからこそ、どこで、どのコードが復号するのかが大事になります。 Lantern DSSE では、復号する Edge を、運用者が用意したサーバーに置きます（データ主権）。 復号するコードは Apache-2.0 で公開していて、誰でも読めます。

復号したあと、相手のサーバーへの接続は Edge が張り直し、そのサーバーの証明書を確かめてから転送します。

どこを復号するかは、運用者が決めます

インターネットへのアクセスのルールごとに、復号するかどうかを選べます。新しい組織は、「許可して復号する」ルールから始まります。 証明書を固定しているアプリや、復号すると動かなくなるサインイン画面などは、復号から外せます。