 |
|
9月5日(水）
【メインコンファレンス】
第三部 Adobe Acrobat5.0日本語版のセキュリティ・電子署名機能（機能紹介＆事例紹介） |
|
モデレ−ター：アドビシステムズ株式会社 市川 孝 氏
スピーカー１：アドビシステムズ株式会社 岡本明彦 氏
スピーカー２：日本ベリサイン株式会社 相原敬雄 氏
スピーカー３：三菱電機インフォメーションシステムズ株式会社 遠藤 淳 氏
始めに市川氏からはAdobe Acrobat 5.0のセキュリティと電子署名機能の説明，次にAcrobat5.0と連携できるPKI（Public Key Infrastructure：電子認証基盤／公開鍵基盤）ソリューションを提供する2社のデモンストレーションが行われた。さらに相原氏はPKIについて，遠藤氏は電子政府化について解説を加えた。
■Acrobat 5.0の提供する3つのセキュリティ機能について（岡本氏）
PDFは従来，配信用の最終的な電子文書として利用されることが多かったが，最近になって一方向の配信だけではなく，Web上で双方向にやり取りされるということが多くなりつつある。
社内でのやり取りならば，ファイアウォールで文書は守られる。しかし，外部へ文書をオープンにする場合，文書のセキュリティは重要な課題である。また，文書ごとにセキュリティをかける必要がある。
Acrobat 5.0では，それらの事情を踏まえつつ，Adobe Acrobat 4.0が持っていたセキュリティ機能を強化，新機能を追加した。
●パスワードセキュリティ機能
さまざまなオーサリングツールで作ったドキュメントをPDFに変換し，誰でも閲覧できる形で配信する際，ファイル内のコンテンツの改ざんや抽出，印刷を禁止したい，あるいはパスワードを知る人間だけ閲覧を許可したい場合に，パスワードセキュリティを利用する。
Adobe Acrobat 3.0，Acrobat 4.0では，アルゴリズムにRC4を使い，40bitキーでパスワードの暗号化を行っていた。Acrobat 5.0では，RC4では最高水準の128bitキーで暗号化を行う。
この機能を用いたPDFドキュメントは，情報配信用として安全にWeb上にアップロードできる。
●Self-Signセキュリティ機能
Acrobat 5.0から新しく搭載された機能で，アクセスできる者を指定したPDFを作成したい場合に利用する。これは“公開鍵暗号化技術”によって実現した。
Acrobat 5.0は，公開鍵と暗号鍵を生成する機能を持つ。公開鍵で暗号化したドキュメントは，公開鍵とペアになった秘密鍵でのみ暗号を解く（複合化する）ことができる。逆に，秘密鍵で暗号化したものはペアの公開鍵でないと暗号は解けない。
利用メンバーが各々のAcrobatを使って作成した公開鍵を，あらかじめ管理者が受け取っておく。管理者は，必要なメンバーの公開鍵を使って，PDFの暗号化を行えば，それに対する秘密鍵を持つメンバーだけがPDFにアクセスできる。
Self-Signは，フルアクセスとユーザアクセスの2種類の設定がある。フルアクセスは，文字通りすべてのアクセス権限を持つ。ユーザアクセスは，内容のコピーと抽出，内容の変更，印刷の許可，アクセシビリティを有効にするなど，アクセス内容を細かく指定することができる。
●電子署名機能
Acrobat 5.0は，Acrobat単体で証明書を作り出す能力も備える。これがSelf-Sign署名機能である。PDF上に複数の署名を書き込めるので，稟議書や提案書など，社内の承認のワークフローに利用できる。
一方，大規模なPKIシステムとの連携を行うことも可能。Acrobat 5.0は，Entrust PKIと連動しながらドキュメントに署名を施し，ドキュメント交換を行なえる。また，日本ベリサイン社の「VeriSign」を用いてPDFに署名できる。
Acrobatは，署名のための署名ハンドラーを開発するためののAPIを無償公開している。これにより，順次，国産のPKIシステムベンダーにも対応する予定である。
■「VeriSign OnSite」および「Document Signer」によるAcrobatの電子署名（相原氏）
●PKIシステムとは
2000年は“PKI元年”と言われている。ここ数年で電子認証という言葉が出現し，ネットワークの普及やネットワーク技術の安定，アプリケーションの対応が整い，システムの運用が実際に始まったのである。
PKIシステムは，秘密鍵と公開鍵という，2つの鍵のペアによって実現されるということは先述の通りである。他に，暗号をかける時と解く時に同じ鍵を使う方式もあるが，多数のメンバーに鍵を渡す場合，鍵のコピーだけで大変な労力を費やしてしまう。公開鍵の場合，秘密鍵をメンバーが持ち，公開鍵は認証を行う側で管理する。公開鍵で，秘密鍵の持ち主を指定でき，電子署名後は，秘密鍵によって認証相手が特定できる。
最近，ニュースでもインターネットのセキュリティ問題がよく取り上げられている。特にウィルスやファイアウォール関連が話題にのぼるが，その次のレベル，すなわちデータに関する部分，認証に関する部分のセキュリティベースが，PKIなのである。
●PKIの要素
PKIは，電子署名技術と運用方法という，2つの要素から成り立っている。安全に暗号化し，複合化する技術が開発された上で，さらに誰に鍵を発行するか，秘密鍵の管理方法といった問題がクリアされて初めて，電子署名の価値が生まれてくる。
PKIはインターネット上で24時間・365日続けて，安全かつ信頼できる形で運用できるということが必須であり，その上で，PKI技術を駆使したアプリケーションが意味を持ってくるということである。
1.電子署名技術
署名する人はAcrobatのデータを元に，“ハッシュ関数”という，データ内容の特性を小さなデータで表現するアルゴリズムを適用する。その結果，“ダイジェスト”というデータが生成される。わずかでも元のメッセージが変わった場合，ダイジェストも大きく変更される。
ダイジェストを，秘密鍵を使って暗号化する。これがすなわち電子署名である。
管理側は，オリジナルに対応するダイジェストを作ると同時に，管理側の秘密鍵で暗号化したダイジェストを，公開鍵で複合化する。この2つを参照し，同じ内容であれば，ドキュメントが改ざんされていないという証明になる。
この技術を用いることによって，次のセキュリティ効果がある。
・なりすましができない：秘密鍵は，当事者しか持たないため
・事後否認ができない：逆に，当事者しか持たない鍵を使った承認は揺るがない
・データが改ざんされていないか検証できる
また，これらのプロセスで電子署名を施した契約書は，法律的にも認められる。また，さまざまな面でコスト効果というメリットも得られる。
2.運用方法
［認証局］
電子証明書は，別名“信頼された第三者機関”と呼ばれる「認証局」で証明書の発行，管理，検証となり，公開鍵のダウンロード元にもなる。電子証明書は，“X509”という技術フォーマットをもとに，公開鍵，名前，住所などの属性情報，有効期限，シリアル番号，発行機関名などを記している。
認証局の機能は，登録局と，証明書の発行や運用セクション，の2つに分けられる。VeriSign OnSite（以下，OnSite）は，登録局をユーザーが運用し，発行機能はベリサイン社のセンターでアウトソーシングする形態である。
登録局は最低限，インターネット接続可能なパソコンとブラウザがあれば，誰が，誰に対して公開鍵を発行するかという情報がコントロールできる。OnSiteを導入している企業には，あたかも自社のマシンルームに大きな認証局を設置しているようなソリューションが提供される。証明書の内容も，企業ごとにカスタマイズ可能である。
認証局を立てるもうひとつのパターンは，インターネットに接続された企業内のマシンルームに証明書を発行するシステムまで導入し，24時間，365日運用するという方法があるが，災害対策を考えると，システムを分散した方が安全である。その点も考慮し，OnSiteは分散管理・アウトソーシング型のソリューションとなっている。
実際の利用パターンとして，Webのアクセスコントロール，また電子メールの暗号化，VPNなどへのアクセス，金融関係でもIdentrusというシステムなどで導入されている。また，エクストラネットやイントラネットなどで，コンシューマ型のソリューションとしてOnSiteが導入されている。
［認証規定（CPS）］
すべての認証局を公開した形で運用する場合は，どのような証明書をどのような形で認証し，発行しているかを規定したCPSを公開している。ベリサイン社のCPSは3つのクラスに分かれており，クラスが高くなるほど，発行時の審査が厳密になる。また，ユーザーが独自のCPSを作り，発行することも可能になっている。メール，あるいはAcrobatの署名ならばクラス1，クラス2が一般的である。
●PDFへの電子署名
PDFへの電子署名は，ベリサイン社のDocument Signerという無償Acrobatプラグインによって実現されている。一般的に認証局は，ルートとなる親認証局から子認証局といった，階層構造の形態がとられる。証明書を受け取った場合，それが信頼できるかどうかを判断するためのルート認証局として，クラス1，クラス2が標準でアプリケーションに組み込まれている。ユーザー独自のプライベート認証局を組み合わせることも可能。
●導入方法と事例
Document Signerはベリサイン社のWebから最新版が無償ダウンロードできる。クラス1の証明書は，日立情報ネットワーク社のサイトなどから入手可能。大規模な導入の場合は，OnSiteを導入し，ベリサイン社から各クラスの供給を行う。
1.日本行政書士連合会
2002年には，2000件ほどの申請を電子文書で行う予定。その際，行政書士資格の証明が必要であるため，導入された。
証明書の元データをOnSiteに登録。行政書士は，Web上から証明書を入手する。本システムの場合，証明書を持つ人だけが閲覧できるアクセスコントロールによって，不正アクセスを防ぐ。一般ユーザーから行政書士へ依頼する場合には，行政書士の公開鍵をダウンロードしたり，ユーザーと行政書士との間で暗号化したメールのやり取りができる。
将来的には，PDF上で同じ電子証明書を使って署名を行い，暗号化するという発展形も考えられる。
2.UFJキャピタルマーケッツ証券
企業向けのポートフォリオ管理。オンライン取引の信用性を高めるために導入された。
オンサイト社のクラス1証明書を利用し，企業業績など，毎日発行されるPDFで書類に電子署名を行うことで，改ざんやなりすましを防止し，投資家に対して文書の信頼度を上げている。
■セキュリティ・電子署名の動向とソリューション事例（遠藤氏）
三菱電機では，情報セキュリティにかなり早い時期から取り組んでおり，国産の共通鍵暗号アルゴリズム“MISTY”を持っている。2000年に行われた情報処理振興事業協会（IPA）の暗号技術評価でも，MISTYやカメリア（NTTと共同開発）は高い評価を得た。
またMISTYは，次世代携帯電話の暗号アルゴリズムとしても採用されている。
●中央省庁・自治体を取り巻く状況
中央省庁は，1997年に閣議決定「行政情報化推進基本計画の改定について」で，電子政府構築が決定。1999年の「ミレニアム・プロジェクト」では，2003年までに電子政府を実現するための具体的計画が提示され，文書交換システム，文書管理システム，電子申請，電子調達などの官公庁と民間，あるいは一般の消費者を結ぶシステム構築が推進されている。その動きに合わせ，各自治体も，官公庁の動向を見ながら，電子化，ネットワーク化を進めている。
現在，認証局のシステムを「GPKI」として構築中。まず国土交通省と産業経済省，総務省に導入されている。今後続けてその他の省庁の認証局システムが構築される予定。それに伴い，「電子署名及び認証業務に関する法律」が，2000年の5月に成立し，2001年4月から施行され，電子署名や署名認証，証明書発行に対する法律上の基準，取り扱いを明確にした。基準に則って国から認定を受けた業者は“特定認証業務業者”となる。ただし，特定認証業者以外の認証局から発行された認証書を使った署名であっても，本人が署名したものと証明されれば，法的に有効である。
日本政府の各省庁の認証局は，総務省が運営する「GPKIブリッジ認証局」をトップに据え，各省庁，自治体などの認証局を位置付けて証明書を発行する。
法務省は，登記簿謄本発行に関する電子認証局「商業登記認証局」を2000年10月からスタート。地方公共団体も，日本政府と同様のスキームでブリッジ認証局を立てる予定である。それらがGPKIブリッジ認証局へ連結することで，電子認証の階層構造が形成されてゆく。
［貿易管理オープンネットワークシステム］
産業経済省貿易局に対して，インターネットを用いて輸出入に関しての申請や，許可を得ることができる，電子政府対応実用化第1号のシステム。2000年4月から稼動を始めた。フロッピーディスクに電子証明書を記録し，民間企業側にインストールされたクライアントソフトに鍵を埋め込んで利用する。申請書類はXMLで記述されており，秘密鍵で電子署名を施してインターネットで産業経済省貿易局へ申請する。貿易局で改ざんチェックや審査が終われば，貿易局側で署名し，許可を出す。
●金融分野の電子認証の動向：アイデントラス社の電子認証サービス
アイデントラス社は，米シティバンクやドイツ銀行などを始めとする世界の主要金融企業が出資し，1999年3月にニューヨークで設立された。
アイデントラスの電子認証サービスは，インターネット上で企業間取引を行う際に，顧客に対して世界各地の金融機関が一定の審査基準に基づき，各企業の身元を保証する証明書を発行する。証明書はICカードとして配布され，ICカードの失効確認が即座にできるサービス，身元保証に関わる保証機能なども提供される。将来的には決済機能までも証明書に附随して提供することも考えられている。
アイデントラスのB2Bシステムイメージは，アイデントラス社から各銀行に「銀行証明書」を発行する。各銀行は，それぞれの顧客である企業に対して証明書を発行する。
認証は，安全に運用しなければ意味がない。そのため，銀行からサービスを受ける時には，ICカードや「鍵管理装置（HSM）」などを用いて，コピーや不正アクセスの防止を図る。一般にはICカード，そして同時にICカードリーダライター，クライアントの署名用ソフトなどがパッケージで提供される。検証する側のECサイトやEマーケットプレイスは，HSMを導入し，そこに秘密鍵と証明書を埋め込んで運用する。また他に，受注用のWebアプリケーションや，銀行と通信するためのソフトウェア，「署名生成検証ライブラリ（DSMS）」が必要である。
HSMの機構をPCIボード型のHSMで説明すると，公開鍵・秘密鍵をボードの中で作り，公開鍵だけ取り出して，証明書の発行を申請する。そして発行された証明書をボードの中に埋め込む。HSM内の公開鍵にをコピーしようとしてボードを開けると検知し，公開鍵を消去する。この機構によって，安全に鍵を運用できることになる。
ある企業が，EC企業のサイトにアクセスし，注文や決済などを行うとする。ICカードで電子署名を行い，送信すると，EC企業は，電子署名が正しいかどうかを，自社の取引銀行に問い合わせる。その銀行からさらに，送信元企業の取引銀行に問い合わせが回り，認証されれば，その結果がフィードバックされ，取引が成立する。これがB2Bシステムのイメージである。
●PKIにおけるPDF利用ソリューション
PKIは従来，おもにネットワークセキュリティの一部としてユーザー認証の強化に使われており，対応するソフトウェアは多く市場に出回っている。しかし，国や金融機関では，デジタルドキュメントに署名するためのアプリケーションの基盤としてPKIを採用している。ここで電子署名のためのソフトウェアが必要になるが，残念ながら発展途上である。
その現況の中で，PDFの署名機能はPKIを取り入れている先進的ツールであり，しかも一般に普及している。このことから，電子政府，電子自治体などでも注目されている。
XMLとの連携も強みである。XMLも注目されているフォーマットであるが，ツールの充実度，また普及度においてもPDFには及ばない。
-
［PDF署名プランの特徴］
1.ICカードを使った署名が可能
- 安全，確実に本人確認ができる。
- 2.印影つきの電子署名が可能
- 紙での運用と同じ感覚で署名できる。
- 3.ドキュメントを署名つきで保存
- PDFに電子署名と証明書が埋め込まれているため，いつでも電子署名の状況を確認できる。
- 4.添付ファイルの貼り付けが可能
- Web上の運用などに対する柔軟性が高い。
●PKI関連製品
・「CERTMANAGER」：証明書発行サーバ製品
・「TRUSTWEB」PKIをアクセス制御として使う場合の製品
・PDF署名プログラム：ICカード，ICリーダーライターもセット
・検証ソフトウェアライブラリ
・HSM
・認証ポリシー／認証実施規定策定コンサルティング
・セキュリティポリシー策定コンサルティング
・証明書発行サービス（アウトソーシング）
・証明書検証サービス
・証明局運用サービス
・他，SIサービス
|
|
