あなたの知らないPKI（6）--より安全で便利、効率的な社会の実現に向けて

総括3：認証での活用は今後に期待

　我が国の行政や制度において、オンラインでの認証の用途でPKIの利用が明示的に示された例はあまり見られない。ただし、ここでの「認証」とは少々限定的な意味であって、通信を行う当事者間で相手方を確実に識別する機能のことを意図している。参考として、総務省の「公的個人認証サービスの利活用のあり方に関する検討会」の発表資料に示された、電子署名とオンライン上での認証の違いの整理を図6-2に示す。

図6-2 電子署名、オンライン上の認証それぞれの定義や双方の相違点について（総務省発表資料をもとに一部加筆）（画像をクリックすると拡大します）

　だが、実際には、PKIの認証の機能は様々な場面で利用されている。日本ベリサインでは、企業向けに認証局の機能をアウトソースで提供するサービスを展開しているが、このサービスを利用する企業のかなりの部分は認証の目的のため、例えばB2Bにおいてオンラインで受発注情報を交換する際の通信相手の認証や、社内システムの利用における電子的な社員証、あるいは、VPN接続のためのパソコンの機器認証、その他特定のデバイスについての機器認証などに認証局を利用しているようだ。

　また、少し視点は異なるが、ウェブサーバに導入されるSSLのサーバ用電子証明書は、通常、暗号化の機能だけを期待して利用されるのではない。ウェブサーバが正しい運営者によって設置されたものか、すなわちウェブサーバの認証、より具体的には実在性と本人性の証明の機能を期待して電子証明書が利用される。ウェブサーバにおけるSSLの採用は、有効なフィッシング対策のひとつとしても認知され、広く利用されている。

　PKIは、オンラインでの認証において、極めて高い安全性を実現しうるものだ。パスワード、またはワンタイムパスワードも含め、オンラインでの認証プロトコルの多くは、認証の対象者とこれを検証する者（サーバなど）がそれぞれ同じ秘密情報を共有し、または、秘密情報を暗号化されたネットワーク上で送信する。これに対して、PKIを利用した認証プロトコルでは、秘密情報（秘密鍵）を取り扱うのは認証の対象者のみに限られ、検証者は秘密情報に触れる必要がない。秘密情報を知りうる者の範囲を制限できるため、PKIは強力な認証手段になり得る。かつ、検証者が秘密情報を管理する必要がないことは、管理コストの面で、大きな利点である。

　公的個人認証サービスを所管する総務省では、同サービスの利用の形態のひとつとして、PKIを利用したオンラインでの個人認証の仕組みを検討の対象としている。前回説明したように、もともと、公的個人認証サービスが発行する電子証明書は、電子署名で利用されることを前提としている。これに対して、既存の電子証明書を認証用途でも利用できるようにする案、および、認証用途のために新たな電子証明書を発行する案等が考えられるようだ。
参考までだが、隣国韓国の公的認証サービスでは、1枚の電子証明書を電子署名と認証の両方に利用する。デンマークでは、1枚の電子証明書を電子署名、暗号、認証の3つの用途に、ベルギーでは電子署名用と認証用に別々の電子証明書を利用する。このような諸外国の中には、国をあげてPKIの普及を促進し、安全で便利な電子社会の実現に一定の成果を挙げている例もある。

　認証分野におけるPKIの潜在的な可能性は高く、今後も色々な場面での採用が続くと思われる。昨年9月に発表された国のIT戦略本部の「オンライン利用拡大行動計画」では、行政手続におけるオンライン利用の拡大を狙って、公的個人認証サービスの改善を含む認証基盤の抜本的な普及拡大や、オンライン利用に係るガイドラインの策定などが謳われており、またこの計画にしたがって必要な整備が進められている。このような取り組みを通して、オンラインでの認証におけるリスクや要件の整理が行われ、電子政府だけではない民間部分も含め、安全な電子社会の実現がさらに身近になることを期待したい。

おわりに、

　PKIは、ある意味、枯れた技術であると思う。メディアへの露出の傾向を見ても、PKIの用語が最も頻繁にメディアに登場していたのは今から8〜9年程前、2000年頃だったのではないだろうか。その後、PKIは、難しいとか、手間がかかるとか、色々な課題が指摘され、なんとなく敬遠されてきているようにも感じられる。

　だが、そのような状況の裏で、PKIは着実に社会制度の中に取り込まれてきている。電子社会におけるインフラとして、究極的には、誰にも意識されることなく、誰もがいつの間にかこれを利用し役立てている。そんな世界が実現するのは何年後なのかわからないが、この姿がPKIの目指すべき方向であり、そこに向かって進んで欲しいと思う。また、そうした社会の実現のため、筆者自身も微力ながら力を尽くしていきたい。

著者紹介

佐藤直之（日本ベリサイン 主席研究員）
2001年5月、日本ベリサイン入社。前職において暗号技術についての研究活動に従事し、現職では情報セキュリティ関連、特にPKIを中心としたコンサルティング業務等に従事。セキュリティの技術面だけでなく、電子署名法やe文書法など情報の電子化に関連する法令・制度の面において多くの知見を有する。