SoftEther VPN User Forum

過去にも同じような状況で投稿されていた方（momonnga様，umemiya様）がいらっしゃいましたが、
ちょうど二年前、一か月間ほど同じように私も、不用意にも「実験に参加する」にチェックを入れた
状態でこのVPNを利用していました。
その結果、誰か他人に私のIPアドレスをトレントによる違法なファイルのやり取りに使われてしまい、
開示請求の通知や示談金を要求する封書が届きました。

既に、ソフトウェア自体はアンインストールしているのですが、データはまだパソコン内に残って
いました。そこで質問なのですが、
パソコン内に残っているデータで、指摘された時間に私のIPアドレスが他人に利用されていた、
もしくは、他人が利用できる状態にあったことが証明できるものでしょうか？
もしできるのならどのファイルのどの部分を見れば良いのでしょうか？

海外の方の投稿で、［SoftEther VPN Client\packet_log\VPNGATE\］内のファイルを見れば良いという
趣旨の書き込みを見つけたのでそのファイルを見てみたのですが、どこをどう見れば良いのかまった
く分からなくて．．．

何方か分かる方がいらっしゃったらご教授いただければ有り難いです。
よろしくお願いいたします。

まず、残っているログファイルを不用意に削除、移動、改名、編集しないようにしてください。可能であれば、SoftEther VPN Client のフォルダ全体をUSBメモリなどの外部記憶装置にコピーし、元のファイルはそのまま保存しておくことをお勧めします。解析する場合は、必ずコピーしたファイルを使用してください。

ログが残っていれば、問題とされている日時に、第三者がこのパソコン上のVPN Gate中継機能へ接続していたことや、そのセッションから外部への通信が行われていたことを示せる可能性があります。ただし、ログの保存期間や設定、通信方式などによっては、必要な記録が残っていない場合もあります。そのため、ログだけで第三者による通信だったことを必ず証明できるとは限りません。

SoftEther VPN Client\packet_log\VPNGATE\ にあるパケットログには、通信日時、送信元・宛先のセッションID、IPアドレス、ポート番号などがCSV形式で記録されています。

まず、開示請求書などに記載されている通信日時、接続先IPアドレス、ポート番号などを確認し、それらと一致する行がパケットログにないかを検索します。Windowsのコマンドプロンプトであれば、コピーしたログのフォルダに対して次のように検索できます。

findstr /s /i "IPアドレス" *.log

該当する通信が見つかった場合は、その行に記録されている SID- で始まるセッションIDを確認してください。次に、security_log などのセキュリティログから同じセッションIDを検索すると、そのセッションがいつ接続され、どの接続元IPアドレスから来たものかを確認できる可能性があります。

ただし、BitTorrentは特定の一台のサーバーと通信する仕組みではないため、開示請求書に記載されている情報が作品名、時刻、あなたのグローバルIPアドレス程度しかない場合、パケットログから該当通信を一意に特定するのは難しいことがあります。また、時刻には日本時間とUTCの違いや、数分程度の誤差が含まれる場合もあります。

ログは、第三者がVPN Gate中継機能を利用できる状態だったことを示す資料にはなり得ますが、法的にどの程度の証拠になるかは別問題です。開示請求や示談要求を受けている場合は、保存したログ一式と通知書を、発信者情報開示請求や著作権案件を扱う弁護士に確認してもらうことをお勧めします。

ログの各項目については、次のページに説明があります。

https://www2.softether.jp/jp/vpn2/introduction/log.aspx

なお、相手方から示談金を要求する書面が届いたとしても、それだけで提示された金額を支払ったり、示談に応じたりする義務が生じるわけではありません。示談は、双方が内容に合意して初めて成立するものです。

一方で、事実関係を確認しないまま支払を拒否してよいと断定することもできません。特に、示談書への署名、責任を認める回答、金銭の支払を行うと、後から覆すことが難しくなる場合があります。

身に覚えがなく、VPN Gateの中継機能を第三者に利用された可能性があるのであれば、まずログなどの証拠を保全し、相手方へ回答したり支払ったりする前に、発信者情報開示や著作権案件を扱う弁護士へ相談することをお勧めします。回答期限が記載されている場合も、書面を放置せず、その期限を弁護士に伝えてください。

cedar 様

非常に詳しくご解説いただきありがとうございました。
おかげさまで、やっと「packet_log」の見方が分かりました。

もう少し質問させてください。

そのあとの「security_log」内の検索IDは、［宛先セッションID］で良かったでしょうか？
また、「"その[宛先セッションID]"が作成されました。」とある行の左端にある日時が、問題
の第三者が私のIPアドレスを利用し始めた日時で、「セッションが終了しました。」とある
行の左端にある日時が私のIPアドレスを利用し終えた日時、さらには、「作成されました。」
の右横にあるIPアドレスが、そのときに私のIPアドレスを利用していた第三者のIPアドレス
であるという解釈で合ってますでしょうか？

それと、「時刻には日本時間とUTCの違いや」と書かれていましたが、「packet_log」や
「security_log」内の日時は日本時間ではないのでしょうか？（であれば、ログは残って
なくて、困ったことになってしまいます．．．）

何度もすみません。よろしくご回答ください。