JNSA電⼦署名WG春祭り２０１８

クラウド署名とCSC対応について
2018年5⽉23⽇

セイコーソリューションズ株式会社
デジタルトランスフォーメション営業統括部
クロノトラスト営業部クロノトラストソリューション課
村尾 進⼀
RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

⾃⼰紹介
職歴：
2003年 セイコーインスツルメンツ(株)⼊社 クロノトラスト事業に配属
2008年 ⻑期署名システム「NiXAdES」の開発を担当
・省庁、医療、国税e⽂書における⻑期署名システムの提供
2011年 ⻑期署名クラウドサービス「eviDaemon」をリリース
2013年 セイコーソリューションズ(株)に（クロノトラスト事業ごと）異動
2014年 NSF 2014「タイムスタンプ活⽤の動向」について発表
2015年 PKI Day 2015「トラストリストと信頼のグローバル化」について発表
2016年 JNSA電⼦署名WG五⽉祭「電⼦署名⼊⾨」について発表

2017年 弊社クラウド署名サービスをクラウド署名コンソーシアム（CSC）規格に対応10⽉26⽇ アドビ システムズ社様のAdobe Signとの連携を発表
2017年 JNSA電⼦署名WG秋祭「 J-LIS公開のAPIを読み解くなど」について発表
・・・現在に⾄る
RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutionsInc.

2

アジェンダ・リモート署名とクラウド署名について・クラウド署名の活⽤シーン
・クラウドHSMサービスのCSC仕様対応
・まとめ

RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutionsInc.

3

リモート署名とクラウド署名について
リモート署名の定義※

リモート署名事業者のサーバに利⽤者（エンドエンティティ）の署名鍵を設置・保管し、利⽤者がサーバにリモートでログインし、⾃らの署名鍵で事業者のサーバ上で電⼦署名を⾏うこと。
※電⼦署名法研究会（METI/経済産業省）
http://www.meti.go.jp/committee/kenkyukai/mono_info_service.html

RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutionsInc.

4

リモート署名とクラウド署名について
リモート署名のメリット

・ICカード/ICカードリーダやUSBトークンなどのドライバソフトウェアをインストールする必要が無い
・リモート署名事業者が提供する認証局との連携機能により証明書申請や登録が簡単になる（発⾏⾃動化）
・リモート署名事業者が提供する鍵管理（HSM）機能により安全に鍵が保管される（証明書更新管理サービス等）
認証局

リモート署名事業者
証明書発⾏プロトコル
HSM（SOAP/REST）
署名鍵
RightsReserved.
Copyright
©2018
Seiko
SolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutionsInc.

5

リモート署名とクラウド署名について
ローカル署名のイメージ図
利⽤者のPC／モバイル端末
電⼦署名アプリケーション
署名対象ドキュメント署名要求
署名済みドキュメント
署名値

HSM／ICカード／PKCS#12
署名鍵
署名値

RightsReserved.
Copyright
©2018
Seiko
SolutionsInc.
All All
RightsReserved.
Copyright
©2014
Seiko
SolutionsInc.

6

リモート署名とクラウド署名について
リモート署名のイメージ図
利⽤者のPC／モバイル端末／
スマホ

リモート署名事業者

電⼦署名アプリケーション

リモート署名サーバ

署名対象ドキュメント

署名済みドキュメント

認証要求
署名要求
HSM
署名鍵

署名値

署名値
RightsReserved.
Copyright
©2018
Seiko
SolutionsInc.
All All
RightsReserved.
Copyright
©2014
Seiko
SolutionsInc.

7

リモート署名とクラウド署名について
クラウド署名のイメージ図
利⽤者のPC／モバイル端末／
スマホ
ログイン
クラウドサービス

署名要求

ファイル転送／ストレージ等
関連サービス
電⼦署名アプリケーション
署名対象ドキュメント

認証要求
署名要求

リモート署名事業者
リモート署名サーバ

署名済みドキュメント

HSM
署名鍵

署名値

署名値
RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright
©2014
Seiko
SolutionsInc.

8

リモート署名とクラウド署名について
クラウド署名のイメージ図
利⽤者のPC／モバイル端末／
スマホ
ログイン
クラウドサービス

署名要求

ファイル転送／ストレージ等
かんたん電⼦契約
関連サービス
電⼦署名アプリケーション
署名対象ドキュメント
クラウド署名サービス
eviDaemon

セイコーのサービス提供範囲
およびサービス名称

REST API（独自API仕様）
認証要求
署名要求

リモート署名事業者
リモート署名サーバ

署名済みドキュメント

eviDaemon for PAdES
署名値
eviDaemon for
XAdES

HSM
クラウドHSM
署名鍵サービス

署名値

RightsReserved.
Copyright
©2018
Seiko
SolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

9

クラウド署名の活⽤シーン

かんたん電⼦契約を利⽤した住宅ローン契約の電⼦化事例
電⼦署名・タイムスタンプを付与することのできる電⼦ファイル受渡サービス

サ

かんたん電⼦契約
署名

債務者等の電⼦署名・タイムスタンプ付与⑤契約書のダウンロード③契約書の参照(内容確認)参照④契約書への電⼦署名・タイムスタ
ンプ付与※クラウドサービス上で「電⼦署名」「タイムスタンプ」を付与します。
RightsReserved.
Copyright
©2018
Seiko
SolutionsInc.
All AllRights
Reserved.
Copyright
©2014
Seiko
SolutionsInc.

債務者・連帯保証⼈ 等②登録先メールアドレスへ

サービス利⽤者 メール通知の電⼦署名・タイムスタンプ付与
かんたん電⼦契約にアクセス

ビス利⽤者︵⾦融機関等︶①契約書のアップロード⑤契約書のダウンロード
10クラウドHSMサービスのCSC仕様対応

クラウド署名コンソーシアム（Cloud Signature Consortium 以下 CSC）とは2016年初め、ソリューション、テクノロジー、トラストサービスプロバイダを含む業界や学術界の専⾨家から成る国際的な協⼒グループによって設⽴された団体で、以下を⽬的として活動。

・共通のアーキテクチャ設計と構成要素構築によって、ソリューション、テクノロジー、トラストサービスプロバイダ間の相互運⽤性を実現
・サービス間の連携を相互運⽤可能にするべくプロトコルとAPIの技術仕様開発
・オープンスタンダードとしてAPI仕様を公開
・クラウド署名のコンセプトを促進
出典：https://itc.jipdec.or.jp/event/20170704.html （Cloud signature consortiumの概要）
RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

11

クラウドHSMサービスのCSC仕様対応

CSCのAPI仕様は下記URLから取得可能
http://www.cloudsignatureconsortium.org/specifications/

RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

12

クラウドHSMサービスのCSC仕様対応

Adobe SignとクラウドHSMサービスの連携イメージ
利⽤者のPC／モバイル端末／
スマホ
署名要求
Adobe Sign
電⼦署名アプリケーション
署名値
署名要求

RFC3161
プロトコル

ログイン

CSC API仕様
プロトコル
AATL対応
電⼦証明書

クラウドHSMサービス
CSC PROXY

タイムスタンプ
セイコータイムスタンプ
サービス for AATL

クラウドHSMサーバ
HSM
署名鍵

AATL対応タイムスタンプ

AATL: Adobe Approved Trust List
RightsReserved.
Copyright
©2018
Seiko
SolutionsInc.
All All
RightsReserved.
Copyright
©2014
Seiko
SolutionsInc.

13

クラウドHSMサービスのCSC仕様対応
サービスURL形式：
https://＜CSC PROXYサーバ＞/csc/v0/＜メソッドパス＞

実装API⼀覧1

メソッドパスinfo

概要
サーバの基本情報を返します。このパスのみ認証不要です。

2

oauth2/authorize

3

oauth2/token

4auth/login

サービスユーザまたは署名鍵に対するOAuth2「Authorization Code flow」
認証を⾏います。認証に成功したら認可コードをクライアントサービスに返します。
認可コードをアクセストークン（認証済みチケット）に変換します。
アクセストークンは、(1)サービスユーザの場合Bearerで、これ以降のリクエストに「Authorization: Bearer」ヘッダとして付加します。
(2)署名鍵の場合SADで、署名実⾏時に使⽤します。
直接ユーザIDおよびパスワードからBearerを取得します。

5auth/revoke

Bearer/SAD/リフレッシュトークンを無効にします。

6

credentials/list

現在のエンドユーザの所有する署名鍵エイリアス⼀覧を返します。

7

credentials/info

指定された署名鍵エイリアスに対応する証明書およびその他の情報を返します。

8

credentials/authorize

直接PINをSADに変換します。

9

credentials/extendTransaction

既存のSADをもとに新しいSADを発⾏します。

10

signatures/signHash

署名を実⾏します。※PINではなくSADを⼊⼒します。

11

signatures/timestamp

タイムスタンプを取得します。

タイムスタンプもJSON形式でリクエスト可能
RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

14

クラウドHSMサービスのCSC仕様対応
CSC_0.1.7.9_PR 13.3章に対応

①認証処理
利⽤者

AdobeSign

クラウドHSM
サービス

login

Adobe Sign

サービスのログイン

redirectoauth2/service_authorize(user + pwd)
authorization_code
redirectoauth2/token(code)
access_token

クラウドHSM
サービスのログイン
画⾯表⽰

アクセス
トークンの発⾏
RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

15

クラウドHSMサービスのCSC仕様対応②証明書リスト取得処理
AdobeSign

署名鍵選択
画⾯表⽰

CSC_0.1.7.9_PR 13.6章に対応

クラウドHSMサービス

credentials/list()
credentialIDs[] + pageToken1
credential/list (pageToken1)
credentialIDs[] + pageToken2
・・・
credential/list (pageTokenN)

署名鍵が複数ある場合credentialIDs[]

RightsReserved.
Copyright
©2018
Seiko
SolutionsInc.
All All
RightsReserved.
Copyright
©2014
Seiko
SolutionsInc.

16

クラウドHSMサービスのCSC仕様対応
CSC_0.1.7.9_PR 13.8章に対応

③署名処理
利⽤者

クラウドHSMサービス

AdobeSign

sign document (PIN)

PIN⼊⼒
画⾯表⽰

signed document

credentials/authorize(PIN)
SAD(Signature Activation Data )signature/signHash(SAD + hash)signed hash

PDFへの署名値埋め込み＆タイムスタンプ付与など

署名値

RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

署名実⾏
署名鍵17

まとめ・リモート署名／クラウド署名の実現により、PC・スマホを問わず、ブラウザのみでかんたんに電⼦署名ができる環境に・リモート署名事業者に求められる安全性および信頼性についての指標についてJT2Aのリモート署名TFで検討しガイドラインを作成中

RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright
©2014
Seiko
SolutionsInc.

18

ご清聴ありがとうございました。

RightsReserved.
Copyright©2018
SeikoSolutionsInc.
All All
RightsReserved.
Copyright©2014
SeikoSolutions
Inc.

19