PKI Day 2014
新しい電子署名～クラウド/モバイル署名と非PKI署名～
宮地 (miyachi@langedge.jp)
電子署名WGサブリーダー/スキルアップTFリーダー（有限会社ラング・エッジ）

2014 年 3 月 13 日

最初に：電子署名とは？
http://ja.wikipedia.org/wiki/電子署名 より
電子署名とは、電磁的記録（電子文書）に付与する、電子的な徴証であり、紙文書における印やサイン（署名）に相当する役割をはたすものである。主に本人確認、偽造・改竄(かいざん)防止のために用いられる。

つまり以下２項目を目的とした技術であると言える。

１：否認防止（本人確認） → 「誰が」２：改ざん防止（真正性確認） → 「何に」PKIを利用した電子署名は電子署名の一種に過ぎない。
本日は初心に戻り電子署名を見直してみる。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 2

もう１つ：利用環境の変化
ご存知のように近年ITの利用環境が激変している。
クライアント環境：
PC利用からモバイル端末を含んだ環境へ広がった。
別の見方としてスマートフォンは個人端末となった。
サーバ環境：
オンプレミスからクラウドへ環境が広がった。
単独サービスから複数サービスのマッシュアップへ。
認証技術の標準化により認証レベルの明確化。
クラウドとモバイルの2つの環境変化が同時に進行中。
本日は利用環境の変化から電子署名を見直してみる。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 3

新しい電子署名：本日のアジェンダ
１） 全体の説明（宮地）
電子署名の技術分析と分類他

２） 最新トレンドの紹介（亀田さん）
クラウド署名：AWS CloudHSM
非PKI署名：OCRAワンタイムパスワード

３） クラウド署名とモバイル署名（宮地）４） 電子署名WGの活動計画（宮地）Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 4

電子署名の技術分析と分類
大分類

小分類

特徴

補足

従来のPKI電子署名（日本署名法型）

Shell model により有効期限が切れる前に再タイムスタンプが必要

間違い無いが面倒
クラウドやモバイルへの対応が望まれている新しいPKI電子署名（ドイツ署名法型）

Chain model によりアルゴリズムが危殆化しない限り再タイムスタンプは不要

最近PKIモデルが日本と異なる事が判明
運用が日本型より楽でも相互運用性は？

ハッシュ応用やワンタイムパスワード

ガードタイム方式やハッシュツリー応用等の新技術

用途限定では普及している分野もあり事例もある

エビデンス保管型（米国署名法型）

証拠を残す事で本人確認や真正性を担保

米国型クラウド署名で採用されている（クラウド署名で説明）

PKI電子署名

非PKI電子署名

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 5

PKI電子署名：Shell model （日本他）
Root証明書

CA証明書

EE証明書
こうならないように長期署名が必要。

時間
署名時刻
長期署名では有効期限が切れる前にアーカイブタイムスタンプを定期的に付与し続ける必要がある。

検証時刻１
○ 有効

検証時刻２
× 無効

有効

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

無効Page 6

PKI電子署名：Chain model （ドイツ採用）※ 要調査！電子署名WGで調査予定。
Root証明書

CA証明書
検証情報は証明書の有効期限後も発行される。
でもそれってCRLだとサイズが大きくならない？

EE証明書

時間
長期署名ではアルゴリズムの危殆化が生じた場合だけアーカイブタイムスタンプを付与する。
でもこれで良いのか？？

相互運用性の問題もあるのできちんと理解しておく必要があると考えている。

署名時刻

検証時刻１
○ 有効

検証時刻２
○ 有効

有効（アルゴリズム危殆化まで）

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 7

非PKI電子署名：ガードタイム方式
公表コード：カレンダーを結合して毎月１個のハッシュ値を生成し公文書館に保管される新聞に掲載。
検証カレンダー：複数のデータから生成したハッシュ値を結合し世界で毎秒１個のハッシュ値を生成しネット上に公開。
検証：オリジナルデータ・取得したキーレス署名・カレンダーを使って計算したハッシュ値を新聞に公表されたハッシュ値と照合し、データの非改ざん性を検証。

http://www.guardtime.com/

非ＰＫＩの根拠は、証明書等の信頼チェーンでは無く、新聞に公開されたハッシュ値を利用して信頼性を確保する為。単独で検証が可能。
全て数学的な仕組みの為にハッシュアルゴリズム危殆化まで有効である。
ガードタイム社はシンガポールに本社があり欧米で使われている。標準化が望まれる。
サーバ署名やタイムスタンプのかわりに使えるが「誰が」は保証できない。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 8

非PKI電子署名：電子証拠 (Digital Evidence)
米国の電子署名法はPKI電子署名は要求していない。
米国電子署名法の電子署名の定義：「契約に添付された、あるいは論理的にその契約と関連づけられる電子音、電子的記号、または電子的プロセス」
つまり何らかの電子的なエビデンス（証拠）があれば良い。
電子的プロセスと言う意味ではクリックによる同意の証拠を保管。
電子的な同意プロセスとその電子証拠（Digital Evidence）が重要。
電子証拠の一種としてPKI電子署名も含まれるがより広く捉える。
※ 米国/英国ではDigital Evidenceのガイドラインやルールがある。
http://en.wikipedia.org/wiki/Digital_evidence Digital Evidence (Electronic Evidence)
http://www.acpo.police.uk/documents/crime/2011/201110-cba-digital-evidence-v5.pdf
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 9秘密鍵を守る：SSCD （Secure Signature Creation Device）
SSCDにはHSM以外にもスマートカードやUSBトークンも含まれる。他にモバイルのSIMカードもSSCDの一種である。

DTBS
SAD
SCD
SCDev

Data to be Signed
Signer's Activation Data
Signature Creation Data
Signature Creation Device

SCDidSSA
HSM
SSCD

Signature Creation Data Identifier
Server Signing Application
Hardware Security Module
Secure Signature Creation Device

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 10

最新トレンドの紹介

JIPDEC客員研究員／日本セーフネット株式会社

亀田 治伸 氏Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 11

クラウド署名とモバイル署名
クラウドとモバイルは表裏一体の関係。
主なクラウド署名サービスはモバイルに対応済み。
クラウド：
 クラウドは単にサービスをクラウド上に置くだけでは無い。
 REST API によりマッシュアップ可能であることが重要。
 本日はクラウド署名をAPIから分析する。

モバイル：
 モバイル（スマートフォン等）の利用は今や大前提になった。
 PCと異なりモバイルはパーソナル端末と言う特徴がある。
 本日はサーバ（クラウド）との連携した署名利用を分析する。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 12主なクラウド署名サービスの現状
サービス名
ProSale Signing(Comfact AB)

種類
PKI電子署名

入出力

API他

入出力：PDF形式

API利用可能（OASIS DSS可能）
認証は独自とSAMLに対応
証明書と秘密鍵は自動作成されるモバイルアプリはまだ無いようだ
欧州ETSI標準に準拠予定

入出力：PDF形式REST API利用可能
認証は独自か？（OAuthっぽいが…）
PC/MacOSのAdobe Readerで利用可能
iOS/AndroidのAdobe Readerでも対応
米国署名法に対応？

入力：doc/docx/pdf/png
出力：PDF形式

REST API利用可能（シンプルなAPI）
認証は独自とOAuth2.0に対応
iOS/Androidアプリ公開中
米国署名法に対応？

入出力：MS-Office文書
及びPDF形式※Office365と連携可能
OneDriveに保存

SOAPのAPIも提供（RESTへ移行中？）
REST API利用可能（API数が多い！）
認証はOAuth2.0に対応
Windows Azure Active Directoryも対応
iOS/Androidアプリ公開中
米国署名法に対応？

スウェーデンの会社

EchoSign(Adobe Systems)

SignNow(Barracuda Networks)

DocuSign(DocuSign, Inc.)- MSと提携 -PKIサーバ署名

非PKI電子署名（合意システム）

PKIサーバ署名

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 13

クラウド署名１： ProSale Sigining
https://www.comfact.com/Product/Signing/

スウェーデン Comfact社が開始したPKIクラウド署名サービス。
Comfact社はETSI Plugtestにも参加している会社。
電子署名以外にe-Seal（法人電子署名）やHSM等も扱っている。

メールアドレス登録は必要です
がフリートライアルが試せます。
証明書/秘密鍵も発行されます。
HSMにて秘密鍵を管理。

署名証明書はWebTrust認証されたオランダの認証局。
サブジェクトはSerialNumberのみ個別で少し寂しい。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

多国語に対応すると言っていましたが既に8言語に対応済み。
日本語ニーズがあれば対応するそうです。

Page 14

クラウド署名１： ProSale Sigining のAPI
https://www.comfact.com/Product/API/※ まだAPIの詳しい情報は無いようだ。要求中。

良く見たらABC順に並んでいるだけでシーケンスを示していない…

クリックしてAPIの説明を見ることができそうだ
けど、これ単なる画像なんですよね…

欧州標準化完了がまもなくなのでこれからに期待か…
PKIクラウド署名の実例としては期待できそう。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 15

クラウド署名２：EchoSign
https://www.echosign.adobe.com/

Adobeが買収したクラウド署名サービス。
現在はAdobe Reader/Acrobatに統合されたサービスに。
Adobe Reader
からも署名タブで利用可能。

Adobe CDS 証明書でPKI電子署名される。
<echosign-certified@adobe.com>

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 16

クラウド署名２：EchoSign のAPI
https://secure.echosign.com/public/docs/restapi/v1
APIの感想：シンプルで良くまとまっている。

EchoSign REST API Version 1
tokens : Access Tokens （認証してアクセストークンを取得）post /auth/tokens

Issues an access token for a user of an application.

transientDocuments : Transient Documents （ドキュメントのアップロードとドキュメントID取得）
post /transientDocuments

Uploads a document and obtains the document's ID.

agreements : Agreements （合意処理 ※否認防止・本人確認の為に重要）
post /agreements
get /agreements
get /agreements/{agreementId}
get /agreements/{agreementId}/documents
get /agreements/{agreementId}/documents/{documentId}
get /agreements/{agreementId}/auditTrail
get /agreements/{agreementId}/combinedDocument
put /agreements/{agreementId}/status

Creates an agreement. Sends it out for signatures.
Retrieves agreements for the user.
Retrieves the latest status of an agreement.
Retrieves the IDs of all the.
Retrieves the file stream of a document of an agreement.
Retrieves the audit trail of an agreement identified by agreementid.
Gets a single combined PDF document for the documents associated.
Cancels an agreement.

reminders : Reminders （催促）post /reminders

Sends a reminder for an agreement.

users : Users （ユーザ操作）
post /users
get /users

Creates a new user in the Echosign system
Gets all the users in an account.

libraryDocuments : Library Documents （保管ドキュメント操作）
get /libraryDocuments
get /libraryDocuments/{libraryDocumentId}
get /libraryDocuments/{libraryDocumentId}/documents
get /libraryDocuments/{libraryDocumentId}/documents/{documentId}
get /libraryDocuments/{libraryDocumentId}/auditTrail
get /libraryDocuments/{libraryDocumentId}/combinedDocument

Retrieves library documents for a user.
Retrieves the details of a library document
Retrieves the ID of the document associated with library document
Retrieves the file stream of a library document.
Retrieves the audit trail associated with a library document
Retrieves the combined document associated with a library document

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 17

クラウド署名３：SignNow
https://signnow.com/

Barracuda Networks, Inc.のクラウド（モバイル）署名サービス。
以前はPKI電子署名をサーバ署名として付与していたはず…
試してみたら現在は非PKI型になっているようだ。

PKI電子署名の署名フィールド作成は可能。

メールアドレスを登録すると1ヶ月のフリートライアルが可能。

PKI電子署名は付与されない。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 18

クラウド署名３：SignNow のAPI
https://signnow.atlassian.net/wiki/display/SAPI/REST+Endpoints
SignNow API/user （ユーザ操作）
POST /user
GET /user
GET /user/documentsv2

Create a user. Recently changed to not generate a token.
Retrieve a user resource.
Retrieve a list of the user’s documents.

/oauth2 （認証してアクセストークン取得）
POST /oauth2/token
GET /oauth2/token

Request an access token for a user.
Verify an access token for a user.

APIの感想：シンプルだけどシンプルすぎるかも？

/document （ドキュメントと署名の処理）
POST /document
PUT /document/<id>
GET /document/<id>
GET /document/<id>/download
POST /document/<id>/invite
POST /document/<id>/download/link
POST /notaryinvite

Uploads a file and creates a document.
Update an existing document.
Retrieve a document resource.
Download a collapsed document.
Create an invite to sign a document.
Creates a one-time use URL for anyone to download the document as a PDF.
Create a notary invite to sign a document.

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 19

クラウド署名４：DocuSign
https://www.docusign.com/

DocuSign, Inc.のクラウド署名サービス。
以前は非PKI電子署名だったはず…
試してみたら現在はPKI型のサーバ署名になっているようだ。
Adobe Root CAのサーバ署名が。

メールアドレスを登録すると2週間のフリートライアルが可能。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 20

クラウド署名４：DocuSign と Office365
http://www.microsoft.com/en-us/news/press/2014/feb14/02-17docusignpr.aspx

2014年2月17日に米MicrosoftがDocuSignと提携を行い、「Office 365」に電子署名機能を統合すると発表。
3月初旬にOffice365からDocuSignアプリケーションを実行可能に。

DocuSign上のドキュメントは自動的に Microsoft OneDrivefor Business に保存。
Azure Active Directory によりOffice365 の認証情報でDocuSign のシングル サインオンが可能。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 21

クラウド署名４：DocuSign のAPI
https://www.docusign.com/sites/default/files/REST_API_Guide_v2.pdf

DocuSign REST API version 2 （抜粋）/oauth2 （認証してアクセストークン取得）/login_information （ユーザ情報）/accounts （DocuSign操作）/accounts/{accountId}/accounts/{accountId}/billing_plan/accounts/{accountId}/brands/accounts/{accountId}/connect/accounts/{accountId}/custom_fields/accounts/{accountId}/envelopes/accounts/{accountId}/folders/accounts/{accountId}/groups/accounts/{accountId}/permission_profiles/accounts/{accountId}/recipient_names/accounts/{accountId}/search_folders/accounts/{accountId}/settings/accounts/{accountId}/templates/accounts/{accountId}/unsupported_file_types/accounts/{accountId}/users/accounts/{accountId}/views/console/accounts/provisioning

Account for information operations.
Account billing plan operations.
Account bland profile operations.
DocuSign Connect operations.
Gets a list of all envelope custom fields associated.
Send envelopes, get envelopes information.
Account folder operations.
Group operations.
APIの感想：Permission profiles operations.
ここに書いたのGet Recipient Names.
はほんの一部。
Get List of Envelopes in a Folders.
全120APIある。
Account setting operations.
高機能のようだ
Template of account.
が難しそう…
Get List of Unsupported File Types.
Account user operations.
Post Authentication View.
Get Account provisioning information.

/billing_plans （支払プラン情報）
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 22

既存クラウド署名サービスAPIまとめ
 多くのサービスが OAuth2.0 認証をサポート。
 認証は重要。今後 OpenID Connect 等の対応も期待。

 ほぼ全てのサービスが REST API をサポート。
 クラウドサービスと言うならREST APIは必須！

 API は標準化されておらず各サービスでバラバラ。
 サービス内容も異なるので仕方が無い面もある。
 OASIS DSS (XML署名) もあるがさすがに古い…

 署名よりも合意プロセスを重視した API がメインか。
 米国系のサービスが多い為にこれも仕方が無い。
 今後は欧州系PKI電子署名サービスに期待できそう。

 cURL による REST API の利用例も多く見かけた。
 Good! ハンズオンの勉強会ができそう！
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 23

モバイル署名：はじめに
モバイル署名は欧州では昔から注目されていた。
現在 ETSI にてモバイル長期署名フレームワーク策定中。
SR 019 020 Rationalised Framework of Standards for
Advanced Electronic Signatures in Mobile Environment

http://www.e-signatures-standards.eu/mission※ 現在はドラフトが上記URLから入手可能。
※ CAdES/XAdES/PAdES等と同じくESIで策定している。
フレームワークを策定して、シナリオ毎に利用ケースを想定して普及と標準化を目指している。
本日は主なシナリオを紹介する。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 24モバイル署名のシナリオ
 ローカル署名：モバイル自身で署名を行うシナリオ
 シナリオ１：モバイルから直接署名サーバ呼び出して署名
 シナリオ２：サービス提供者から署名サーバ経由で署名
 シナリオ３：モバイル自身で署名生成を全て行う

 リモート署名：署名サーバで署名を行うシナリオ
 シナリオ１：モバイルから直接署名サーバ呼び出して署名
 シナリオ２：サービス提供者から署名サーバ経由で署名※ モバイルは署名の承認処理を行う

 鍵分割署名：モバイルと署名サーバで鍵を分割して保有
 署名検証：モバイルからの要求で検証サーバが検証する※ ETSI仕様とは少し異なる分類。ETSIもまだまとまっていない？
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 25

モバイル署名：ローカル署名シナリオ１
モバイルから直接署名サーバを呼び出して署名
署名サーバ③ドキュメン
ト生成とハッ
シュ値計算

サービス提供者
署名者
①署名要求

②署名要求

④ハッシュ値⑤署名値
SSCD⑥ドキュメン
トへ署名
データ埋込

⑦署名結果

(SIM等)⑧署名結果

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 26

モバイル署名：ローカル署名シナリオ２
サービス提供者から署名サーバ経由で署名
署名サーバ

サービス提供者②署名要求③ドキュメン
ト生成とハッ
シュ値計算

署名者①サービス利用④ハッシュ値⑤署名値

SSCD(SIM等)⑥ドキュメン
トへ署名
データ埋込

⑦署名結果
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 27

モバイル署名：サーバ署名シナリオ２
サービス提供者から署名サーバ経由で署名署名サーバ

署名者③署名の承認要求①サービス利用

④承認要求

SSCD
(HSM等)

サービス提供者

②署名要求

⑥署名承認

⑤要求内容の確認（ハッシュ値等）⑦署名デー
タとドキュメントの生成⑧署名結果
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 28ETSIモバイル長期署名のまとめ
 モバイルによる長期署名の標準化ニーズは強い。
 モバイル長期署名がCAdES/XAdES/PAdESと同レベル。

 モバイルが非力な時代の影響が残っている。
 昔から使われているのでその時代の前提が多い。
 現在のスマートフォンやタブレットは能力が高い。

 クラウド利用において重要なAPIに全く触れていない。
 利用シナリオの分析と利点・問題点の整理がメイン。

 まだドラフトレベルで内容もまとめきれていない。
 今後も継続してチェックして行く必要はあるだろう。

 その他注目点。
 署名鍵の分割とは具体的にどうやるのか？
 検証シナリオはモバイルに限らず重要と考える。
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 29

クラウド署名・モバイル署名の考察■ REST API公開とモバイル連携が前提
 クラウド署名と言えばモバイル署名を含む
 API標準化やモバイルシナリオ整理が望ましい■ 認証は重要（署名に必要なLoAを良く考える）
 署名時にはID/パスワード以外の要素で認証を 認証レベルが担保されるならサーバ署名も可能■ 秘密鍵のサーバ預託時にはSSCDでしっかり管理
 サーバ内のSSCD署名プロセス標準化も必要
 モバイルに秘密鍵を持つケースも考慮が必要■ 非PKI電子署名も含めて考えて行く必要あり 電子エビデンスの調査や標準化
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 30

電子署名WGの活動計画
スキルアップTFで新しいことにチャレンジ！
 今年スキルアップTFでは勉強会を開いてきた。
 来年は成果が残る活動をメインにしたい。

テーマ案：
 クラウド署名やサーバ署名の標準化
 非PKI電子署名の調査（電子エビデンス）
 PKI署名に関しても新しい方式等の調査
 試験環境（遊び場プロジェクト）の推進
 オープンソースプロジェクトの推進 一般（JNSA非会員）向けの勉強会実施
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 31これまでのスキルアップTF勉強会実績
第1回：7月：長期署名入門
講師＞電子署名WGオールスター 宮崎氏、佐藤氏、石本氏、西山氏、宮地

第2回：8月：クラウド署名とHSM
講師＞タレス・ジャパン 住田氏、セーフネット/JIPDEC客員研究員 亀田氏、他

第3回：9月： jsrsasign / jsjws 勉強会
講師＞富士ゼロックス 漆嶌氏
補足＞JavaScriptによるRSA/PKIモジュールとJSON署名

第4回：10月： PDF電子署名仕様入門

そろそろネタ切れ
なので継続した勉強会は難しい。

講師＞ラング・エッジ 宮地

第5回：11月：クラウド時代のデータセキュリティ
講師＞ガードタイム 柳原氏
補足＞ガードタイム社による非PKI署名他

第6回：1月：電子署名WG合宿ダイジェスト
第7回：2月：オープンデータにおける署名・タイムスタンプの活用
講師＞ラング・エッジ 宮地
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 32遊び場プロジェクト～プログラマの為のお試しと教育の環境構築～
TSA機能

情報公開

署名機能

検証機能

Time
stamp

Info &Sample

Sign

Verify

OCSP
発行

タイムスタンプ

発行

ソース他
公開

サービス
提供

サービス
提供

CA機能でTSA証明書を準備

各機能実装
情報やサン
プルを公開

APIや対話画面を用意してクラウド的にモバイル署名も考慮して検討する

Wiki, Blog
GitHub 等

Ruby on Rails 等か
CA機能と連携？
FreeXAdES, jsrsasign
等の利用

長期署名サ
ンプル等
ノウハウもクラウド署名の実証実験的にできるとベスト
HSM等使えると面白い

CA機能

Cert &Key

CA
Certs

証明書・鍵

リポジトリ公開

CRL

OCSP

サービス

HTTP

対話画面による発行

CA証明書は公開
CRLは定期的に更新出来ればCSP/CP等も証明書DB
またはCRL
連動し発行

OpenSSLのCA機能
認証連携

OpenSSLの簡易CA機能を利用
画面は作成が必要

OpenSSLで可能？
ocspオプション利用

準備完了
FreeTSA

証明書・秘密鍵は登録制等にして完全フリーは難しいかも。一応本人確認くらいはする？
OCSPは最初は無くても良いかもしれない。

認定TSAからの提供も歓迎

LDAP

JNSAではかつて「チャレンジPKI http://www.jnsa.org/mpki/index_j.html 」があった。今は使えない。

興味を持った技術者がフリーで使えてプラグテストや実証実験にも使える！
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 33

クラウド署名・モバイル署名の実証実験
目的（世界に先がけて標準化）：

認証と連携したクラウドの署名・検証をAPI化→ 認証に OpenID Connect with OAuth2.0 等を利用しIdP連携→ 出来ればSSCD（HSM）等も試したい（協力や協賛を募集）→ 同意プロセス等も実際に実装してみて課題を調査検討→ 機能を整理して将来は標準化やガイドラインへモバイル機器との連携を行う（モバイル署名）→ 秘密鍵の持ち方や手順を検討して実際に試せる環境を→ iOS/Androidの署名・検証アプリの試作も行いたい

実証実験に必要となるお試しインフラの整備→ オープンソースプロジェクトの積極利用と新規開発→ 協賛頂けるベンダーからリソースの提供を受ける
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 34

クラウド署名・モバイル署名の実証実験
IdP（IDプロバイダ）
認証：
OpenID Connect
with OAuth2.0
対応IdPを利用

mixi Connect
YConnect

API：

CA

TSA

HSM

実証実験環境インフラ：

必要機能を検討
APIを用意提供
ガイドライン作成

協賛を募る
整備する

ユーザ管理
API

署名付与
API

長期保管
API

署名検証
API

同意操作
API

・認証確認
・証明書発行・その他

・サーバ署名・モバイル署名

・アーカイブタイムスタンプ・検証結果表示・非PKI署名・電子エビデンス

クライアント環境
PC環境：
ブラウザによる操作を提供。

iOS環境：
専用アプリを提供。

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Android環境：
専用アプリを提供。

Page 35

FreeTSAプロジェクトお試し
http://www.langedge.jp/tsa

RFC3161タイムスタンプお試しの為のフリープロジェクト
OpenSSL 1.0.X系と Apache ＋ Perl でお手軽TSA構築
http://www.langedge.jp/blog/index.php?itemid=665▽ フリーTSA公開中なので試せます！（※ cURLが必要）// タイムスタンプリクエストの生成> openssl ts -query -data test.txt -cert -sha512 -out req.tsq
Loading 'screen' into random state - done// タイムスタンプリクエストの送信とレスポンスの取得> curl -k --data-binary @req.tsq "http://www.langedge.jp/tsa" > resp.tsr% Total% Received % Xferd Average Speed TimeTimeTime Current
Dload Upload Total
Spent
Left Speed
100 2966 100 2864 100 102 20457
728 --:--:-- --:--:-- --:--:-- 20457// タイムスタンプレスポンスを使った検証> openssl ts -verify -data test.txt -in resp.tsr -CApath root.pem -CAfile root.pem
Verification: OK
課題：タイムスタンプトークンの抽出ができない。
>
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 36一般向けの勉強会やハンズオン実施
一般開発者向けに勉強会やハンズオンを実施→ 署名や証明書発行やタイムスタンプの使い方を解説→ 実際にAPIをたたいて貰ったりプログラミングしたりする→ PKI基礎知識を説明し利用する可能性をアピールする→ PKI若手育成と新規参入者の獲得を目指す

PKI業界
開発者

クラウド業界等
一般開発者

既存PKI技術者のスキルアップを図る。

裾野を広げて電子署名技術の一般化を目す！

Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 37

おまけ：Adobe信頼性管理マネージャー
http://blogs.adobe.com/publicpolicy/2014/01/22/update-alignment-of-adobe-approved-trust-list-aatl-and-eu-trust-list-eutl/

Update: Alignment of Adobe-Approved Trust List (AATL) and EU Trust List (EUTL)

2014/01/14アップデート（Reader/Acrobat 11.0.06）
にてEUのTrust Listがサポートされた！

日本はどうするの？

(;ﾟДﾟ)
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 38

ご清聴ありがとうございました。

電子署名WGへの参加者募集中です！
https://www.facebook.com/eswg.jnsa.org
Copyright (c) 2000-2014 NPO日本ﾈｯﾄﾜｰｸｾｷｭﾘﾃｨ協会

Page 39