E-COMMERCE USING ELECTRONIC SIGNATURES IN JAPAN AND EUROPE
Keio University Tokyo – 4 July 2017

Setting the Context: Remote signing & eIDAS
Nick Pope – Vice Chair ETSI Electronic Signatures & Infrastructures
Principal consultant -Thales© ETSI 2017. All rights reserved

電子署名を利用した電子商取引の日本と欧州の事例と課題
慶応義塾大学 2017年7月4日

コンテキストの設定 – リモート署名とeIDAS
Nick Pope – Vice Chair ETSI Electronic Signatures & Infrastructures
Principal consultant -Thales© ETSI 2017. All rights reserved

Topics

Example requirements for Digital Signatures
EU eIDAS Regulation 910/2014
ETSI Standards on Digital Signatures and TrustInfrastructures
The EU Trust Framework
Remote Signing
3© ETSI 2017. All rights reservedトピックス

デジタル署名に関する要件例
EU eIDAS 規則910/2014
デジタル署名およびトラスト基盤に関するETSI規格
EUトラストフレームワーク

リモート署名4© ETSI 2017. All rights reserved

Examples of Digital Signature Usage
Dematerialisation of customer documents
example bank has 2.5 million documents per year

5

© ETSI 2017. All rights reservedデジタル署名の使用例
顧客文書の電子化
例：ある銀行では年間250万部の文書を電子化している

6© ETSI 2017. All rights reserved

Examples of Digital Signature Usage
Dematerialisation of customer documents
example bank has 2.5 million documents per yearE-Commerce: Digital signatures supporting
global tax compliance7© ETSI 2017. All rights reservedデジタル署名の使用例
顧客文書の電子化
例：ある銀行では年間250万部の文書を電子化している
電子商取引: デジタル署名が世界的な納税制度への適合性をサポートしている

8© ETSI 2017. All rights reserved

Examples of Digital Signature Usage
Dematerialisation of customer documents
example bank has 2.5 million documents per year
E-Commerce: Digital signatures supporting
global tax compliance

Regulatory requirements for security of records:
e.g. US FDA / EU Medicines Agency

9© ETSI 2017. All rights reservedデジタル署名の使用例
顧客文書の電子化
例：ある銀行では年間250万部の文書を電子化している電子商取引: デジタル署名が世界的な納税制度への適合性をサポートしている
記録文書のセキュリティに関する規制要件:
例： 米国FDA（連邦食品医薬品局） / EU医薬品庁

10© ETSI 2017. All rights reserved

Examples of Digital Signature Usage
Dematerialisation of customer documents
example bank has 2.5 million documents per year
E-Commerce: Digital signatures supporting
global tax compliance

Regulatory requirements for security of records:
e.g. US FDA / EU Medicines Agency
eContracts: e.g. Loan agreement, car hire, insurance

11© ETSI 2017. All rights reserved

Examples of Digital Signature Usage
顧客文書の電子化
例：ある銀行では年間250万部の文書を電子化している
電子商取引: デジタル署名が世界的な納税制度への適合性をサポートしている
記録文書のセキュリティに関する規制要件:
例： 米国FDA（連邦食品医薬品局） / EU医薬品庁
電子契約: 借款契約、レンタカー、保険など

12© ETSI 2017. All rights reservedeID and trust services supporting fulltransaction cycle

13Website
authentication

Web site authentication certificate
confirms web site identity

Electronic
Identity

Electronic identity confirms user
identity

Electronic
Signature

User identity bound to document using
Digital signature

Signature
Verification

Digital signature verified by document
recipient

Signature
Preservation

Validity of signature maintained bytime-stamping service.

© ETSI 2017. All rights reservedトランザクションサイクル全体をサポートする
eIDおよびトラストサービス

14

ウェブサイト認証

ウェブサイト認証証明書はウェブサイトのアイデンティティを裏付ける

eID

eIDはユーザのアイデンティティを裏付ける

電子署名

デジタル署名の使用で文書に結び付く
ユーザアイデンティティ

署名検証

文書の受信者が検証するデジタル署名

署名保存

タイムスタンプサービスが保全する署名の有効性© ETSI 2017. All rights reserved

EU eIDAS regulation 910/2014➢ eIDAS covers two main topics:o Electronic identitieso Trust services➢ eIDAS provides legal framework for two main areas trust

services :o Recognition of electronic signatures (physical persons)and electronic seals (equivalent for organisations)o Assuring trust in Trust Service Providers

15© ETSI 2017. All rights reserved

EU eIDAS規則910/2014➢ eIDASの対象は2つの主要トピックス

o eIDo トラストサービス➢ eIDASは2つの主なトラストサービス分野についての法的なフレームワークを規定している :o 電子署名（自然人）およびeシール （組織に対応）の承認
o トラストサービスプロバイダの信頼性の保証

16© ETSI 2017. All rights reserved

EU eIDAS regulation 910/2014
Recognition of electronic signatures➢ Electronic Seal vs Signatureo Signature: Created by a physical persono Seal: Created by a legal person (e.g. company, governmental body)➢ Forms of electronic signatures / Seals

o Electronic Signature / Seal : No restriction on form of signatureo Advanced Electronic Signature / Seal: form meets requirements
relating to use of digital signature technology
o Qualified Electronic Signature / Seal:
digital signatures supported by- “qualified” signature creation device – certified against requirements- “qualified” trust service provider – audited against requirement

17© ETSI 2017. All rights reserved

EU eIDAS規則910/2014
電子署名の承認➢ 電子シールVS 署名

o 署名：自然人が生成する
o シール: 法人（企業、政府機関など）が生成する➢ 電子署名/シールの形式

o 電子署名/シール : 署名の形式に関する制約はない
o 先進電子署名/シール: デジタル署名技術の使用に関連する要件を満たす形式
o 適格電子署名/シール:
次によってサポートされるデジタル署名- 「適格」署名生成装置 – 要件に対して認証されている-「適格」トラストサービスプロバイダ–要件に対して監査されている

18© ETSI 2017. All rights reserved

Recognised signature formats➢ Specific signature formats to be recognised by government

systemso Secondary legislation reference ETSI standards(PAdES, CAdES, XAdES, ASIC)

19© ETSI 2017. All rights reserved

認められている署名の形式➢ 政府のシステムによって認められる特定の署名フォーマット

o 二次法はETSI規格を参照している(PAdES, CAdES, XAdES, ASIC)

20© ETSI 2017. All rights reserved

EU eIDAS regulation 910/2014
Trust services➢ Trust Services covered by eIDASo Trust services supporting electronic Signatures / Seals:▪ Certification authorities▪ Cloud / remote signature creation▪ Signature validation▪ Signature preservationo Time-stamping authority
o Registered electronic delivery

21© ETSI 2017. All rights reserved

EU eIDAS規則910/2014
トラストサービス➢ eIDASの適用対象であるトラストサービス

o 電子署名/シールをサポートするトラストサービス:▪ 認証局▪ クラウド / リモート署名生成▪ 署名検証▪ 署名保存o タイムスタンプ局
o 登録eデリバリ

22© ETSI 2017. All rights reservedeID and trust services supporting fulltransaction cycle
Websiteauthentication

Electronic
Identity

Electronic
Signature

Signature
Validation

Signature
Preservation
23© ETSI 2017. All rights reserved

TSP issuing web site certificateseID providerTSP issuing signing certificate,
TSP time-stamping proving signing time
TSP providing remote signing
TSP providing signature validation
TSP time-stamp / preservation service
maintaining signature & document integrityトランザクションサイクル全体をサポートする
eIDおよびトラストサービス
ウェブサイト認証

eID

ウェブサイト証明書を発行するTSPeID プロバイダ
署名証明書を発行するTSP

24

電子署名

署名の時刻を証明するTSPタイムスタンプ
リモート署名を提供するTSP

署名検証

署名検証を提供するTSP

署名保存

署名および文書の完全性を保全する
TSP タイムスタンプ / 保存サービス© ETSI 2017. All rights reserved

EU eIDAS regulation 910/2014
Assuring Trust Services➢ All trust services (including those supporting “advance”)

o Liable unless appropriate security measures taken.
o Must report any security breach➢ TSP supporting “qualified”

o Must meet specific requirements of eIDAS regulationo 2 yearly audit (if also CAB Forum 1 yearly)o If legally accepted as qualified placed in Trusted List

25

© ETSI 2017. All rights reserved

EU eIDAS規則910/2014
トラストサービスの保証➢ すべてのトラストサービス（「先進」をサポートするものも含む）

o 適切なセキュリティ措置が取られていない場合、法的責任を負う。
o すべてのセキュリティ違反について報告しなければならない➢ 「適格」をサポートするTSPo eIDAS規則の特定要件を満たさなければならない
o 2年毎の監査（CABフォーラムにも該当する場合は1年毎）
o 適格として法的に認められると、トラストリストに掲載される

26© ETSI 2017. All rights reserved

ETSI meeting eIDAS requirements andIndustry accepted best practice
Recognised standards:
o ISO, IETF, OASIS, CAB Forum …
Standards(General)TSP best practices

eIDAS Qualified TSP requirements
Standards(EU Qualified)

27© ETSI 2017. All rights reserved

eIDAS要件および業界で受け入れられているベストプラクティスを満たすETSI
認められている規格:
oISO, IETF, OASIS, CABフォーラム…
規格(一般)
TSPベストプラクティス

eIDAS適格TSP要件
規格(EU適格)

28© ETSI 2017. All rights reserved

eIDAS Standards Framework:
Published Standards
119 6xx
Trust service status lists
Trust services for:
Issuing certificatesTime StampingSignature creation services
Validation services

x19 4xx
TSPs supporting
digital signaturesx19 5xx
Trust application
service providers
x19 1xx

Procedures for AdES
creation & validation

CC Protection Profiles
QSCD - Smart Cards
HSM used as QSCDHSM used by TSPs
Remote QSCD

Signature Creation& Validation
419 2xx

119 3xx

Signing Devices

Cryptographic suites

119 0xx

General Framework
29© ETSI 2017. All rights reserved

List of approved QTSPs &services supervised by
National Bodies
Trust services for:
Registered eDelivery /eMailLong term preservation
Formats:
XAdES (XML)CAdES (CMS)PAdES (PDF)
ASiC (containers)

Signature suites- Hash- Asymmetric crypto- Key generation- Lifetime
Standards framework
Common definitions
GuideseIDAS規格フレームワーク:
公開されている規格
119 6xx
トラストサービスステータスリスト
次を行うトラストサービス:
証明書発行
タイムスタンプ
署名生成サービス
検証サービスx19 4xx

x19 5xx

デジタル署名をサポートするTSP

トラストアプリケーション
サービスプロバイダ

x19 1xx
AdES生成および検証の手順

CCプロテクションプロファイル

QSCD – スマートカード
QSCDとして使用するHSM
TSPが使用するHSM
リモートQSCD

署名生成および検証419 2xx

119 3xx

署名装置

暗号スイート

119 0xx

一般的なフレームワーク
30© ETSI 2017. All rights reserved

承認されているQTSPおよび国家機関が監督するサービスのリスト
次を行うトラストサービス:
登録eデリバリ/
Eメール
長期保存
フォーマット:XAdES (XML)CAdES (CMS)
PAdES (PDF)
ASiC (コンテナ)

署名スイート- ハッシュ- 非対称暗号- 鍵生成- ライフタイム
規格フレームワーク
一般定義ガイドElements of Framework for Trust Services

Europe31

Trust Management

EU Trusted List
TS 119 612

Trust Audit

EU TSP Audit
EN 319 403 based on ISO 17065(ISO 17065 Accreditation globally recognised
through IAF)

Trust Criteria

Policy Requirements for TSP Issuing Certificates:
EN 319 411-1: general
EN 319 411-2: qualified© ETSI 2017. All rights reserved

トラストサービスフレームワークの要素

欧州

32

トラスト管理EUトラストリスト
TS 119 612

トラスト監査EU TSP監査
ISO 17065 に基づくEN 319 403(IAFにより世界的に承認されているISO 17065認定 )トラスト基準証明書を発行するTSPのポリシー要件:
EN 319 411-1: 一般
EN 319 411-2: 適格© ETSI 2017. All rights reserved

Cross recognition

Advanced level: Relying party needs to know that TSP istrustworthy• Case by case analysis of Certificate Policy and Audit• Trust status indicated by trusted party• Bridge CA• Application platform provider (Microsoft, Google, Apple …)•root CA store
Trust status list from recognised authority

Qualified level:• Legal agreement between nations• Trusted list managed by recognised authority

33© ETSI 2017. All rights reserved

相互承認先進レベル: 依拠当事者はTSPが信頼できるものであることを知る必要がある• 証明書ポリシーおよび監査の個別分析• 信頼できる機関によって示されるトラストステータス• ブリッジ CA• アプリケーションプラットフォームプロバイダ (Microsoft, Google, Apple …)•ルートCAストア
承認されている機関が発行するトラストステータスリスト

適格レベル:• 国家間の法的取り決め• 承認されている機関が管理するトラストリスト

34© ETSI 2017. All rights reserved

Why remote signing ?
Conventional Smart card like QSCD
Features:➢ User’s signing key in user held device
such as smart cards➢ Document to be signed on user’s PC➢ Need special interface / reader on PC➢ Not suited to modern use of mobile devices
such as smart phone’s➢ If card is compromised:➢ user must report loss
➢ TSP must verify report➢ TSP must updated revocation list
OCSP database
35© ETSI 2017. All rights reservedなぜリモート証明 ?
QCSDのような従来のスマートカード
特徴:➢ユーザの署名鍵はユーザが所有するスマートカードなどのデバイス内で保有➢署名する文書はPC内で保有➢PCに特別なインターフェース/リーダーが必要➢スマートフォンなどのようなモバイル端末の使用には適していない➢カードが危殆化した場合には:➢ ユーザはそれを報告しなければならない➢ TSPは報告を検証しなければならない➢ TSPは失効リストOCSPデータベースを更新しなければならない
36© ETSI 2017. All rights reserved

Using Cloud based “Remote Signing”
Features:➢ User’s signing key held on secure device
managed by a Trust Service Provider➢ Document to be signed can be processed“in the cloud”➢ No need for hardware interface touser device
TrustServiceProvider

37© ETSI 2017. All rights reserved➢ User must have “sole control” over thesigning key➢ In case of user compromiseuse of key instantly prohibitedクラウドベース「リモート署名」の利用
特徴:➢ユーザの署名鍵はトラストサービスプロバイ
ダが管理するセキュアデバイス内で保有➢署名する文書は「クラウド」で処理できる➢ユーザ機器にハードウェアインターフェースは不要

トラストサービスプロバイダ38© ETSI 2017. All rights reserved➢ユーザは署名鍵について「単独管理（solecontrol）」しなければならない➢ユーザ危殆化の場合は、鍵の使用は即時に禁止される

The move to Mobile Based Signatures

Many EU countries are movingfrom card based to mobile
signatures
Advantages• Easy deployment➢ Everyone has a mobile• No special hardware➢ No special card interface• Flexibility in authentication➢ Any two factors➢ Use of key can be prohibited incase of user compromise
39© ETSI 2017. All rights reserved

モバイルベース署名への移行

多くのEU諸国は、カードベースからモバイル署名へ移行している
メリット• 展開が容易である➢ 誰でもモバイル端末を所有している• 特別なハードウェアが不要である➢ 特別なカードインターフェース不要• 認証における柔軟性➢ 二要素認証であればどの組み合わせでも可➢ ユーザ危殆化の場合は鍵の使用を禁止することができる

40© ETSI 2017. All rights reserved

Remote Signing
Relevant eIDAS Requirements➢ Requirement on Advanced Electronic Signatures (Article 26)………
c) it [the advanced electronic signature] is created using
electronic signature creation data [key] that the signatorycan, with a high level of confidence, use under his solecontrol;➢ Requirement on QSCD (Annex II)….
3. Generating or managing electronic signature creation dataon behalf of the signatory may only be done by a qualified
trust service provider.

41© ETSI 2017. All rights reserved

リモート署名
関連するeIDAS規則➢ 先進電子署名に関する要件（第26条 ）………
c) （先進電子署名は）署名者が、高い信頼性をもって、自らによる単独の管理（sole control）の下で使用することができる電子署名生成データ（鍵）を使って生成する ;➢ QSCDに関する要件（付属書II）….
3.署名者の代わりに電子署名生成データを生成または管理することができるのは適格トラストサービスプロバイダのみである。

42© ETSI 2017. All rights reserved

Standards for Remote Signing

Recognised standards:o Cloud Signature Consortiumo OASIS DSS & DSS-X

TSP best practices

eIDAS QSCD requirements

43© ETSI 2017. All rights reserved

TS 119 432: Protocols forremote digital signaturecreation

TS 119 431 : Policy andsecurity requirements for
TSP service components
1) operating QSCD / SCD
2) AdES creation

prEN 419241
1) General SystemSecurity Requirements
2) QSCD Protection Profileリモート署名に関する規格認められている規格:
oクラウド署名コンソーシアム
oOASIS DSS & DSS-X

TSP ベストプラクティス

eIDAS QSCD 要件44© ETSI 2017. All rights reserved

TS 119 432: リモートデジタル
署名生成のプロトコル

TS 119 431 : TSPのサービス
内容のポリシーおよびセキュ
リティ要件
1) QSCD / SCD運用
2) AdES生成

prEN 419241
1) 一般的なシステムセキュ
リティ要件
2) QSCDプロテクションプロ
ファイル

Remote Signing
Example without delegation

CA / RA
Function
User
Registration
requestKey generation

RemoteQSCD

SAM
2 factor
Authentication

EN 419241-2

SignerSignRequest© ETSI 2017. All rights reserved

ServerSigning
ApplicationSignature
Activation
Data

CryptoEN 419221-5

リモート署名委任しない場合の例

CA / RA
機能
ユーザ登録
リクエスト

鍵生成

リモートQSCD

SAM
二要素認証

EN 419
241-2

署名者

署名
リクエスト

© ETSI 2017. All rights reserved

サーバ署名
アプリケーション

署名
アクティベーション
データ

CryptoEN 419221-5

Remote Signing
Example with delegation

CA / RA
FunctionUser
registration
requestKey generation

RemoteQSCD

SAM
Signer2 factor
Authentication

Sign
Request© ETSI 2017. All rights reserved

Identity
ProviderServerSigning
Application

EN 419241-2Signature
Activation
Data

CryptoEN 419221-5

リモート署名委任する場合の例

CA / RA
機能
ユーザ登録
リクエスト

鍵生成リモートQSCD

SAM
署名者
二要素認証

署名
リクエスト

© ETSI 2017. All rights reserved

アイデンティティ
プロバイダ

サーバ署名
アプリケーション

EN 419241-2

署名
アクティベーション
データ

CryptoEN 419221-5

Further Information

ETSI standards available for free download
http://www.etsi.org/standards-search
Overview of Electronic Signature and Infrastructure standards:
https://portal.etsi.org/TBSiteMap/ESI/ESIActivities.aspx

E-mail: nick.pope@thales-esecurity.com© ETSI 2017. All rights reserved詳細情報

無料ダウンロードできるETSI規格
http://www.etsi.org/standards-search
電子署名および基盤規格の概要:
https://portal.etsi.org/TBSiteMap/ESI/ESIActivities.aspx

E-mail: nick.pope@thales-esecurity.com© ETSI 2017. All rights reserved