スマートフォンのセキュリティ機構〜マイナンバーカードのスマホ搭載における論点を参考に〜

情報セキュリティ大学院大学 教授
日本銀行金融研究所 客員研究員
デジタルアイデンティティ推進コンソーシアム理事

大塚IISEC

Insitute of Information Security

Image from The New Yorker cartoon by Peter Steiner, 1993.

玲

本プレゼンテーションの内容と意見は、すべて個人に属するものであり、日本銀行の公式見解を示すものではありません。

目次
1.マイナンバーカード
1. 経緯・スケジュール
2. 法改正3. マイナンバーカードの概要

2.ICカードとスマホ搭載SEの本質的な違い
1. スマートフォン＝カード＋UI＋通信機能
2. WYSIWYS(What You See Is What You Sign)の達成

3.スマートフォンのセキュリティ機構
1. セキュアエレメント (GP-SE)の機能
2. セキュアブート機構
3. アクセス制御機構とリモートアテステーション
4. 生体認証によるPWの代替（...排除）
5. 盗難／紛失／譲渡時の対応

4.まとめと金融機関へのインプリケーション
IISEC

Insitute of Information Security

1.マイナンバーカード

IISEC

Insitute of Information Security

1.2 法改正
デジタル社会の形成を図るための関係法律の整備に関する法律案の概要＜予算関連法案＞

趣旨
デジタル社会形成基本法に基づきデジタル社会の形成に関する施策を実施するため、個人情報の保護に関する法律、行政手続における特定の個人を識別するための番号の利用等に関する法律等の関係法律について所要の整備を行う。
概要
個人情報保護制度の見直し（個人情報保護法の改正等）① 個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の3本の法律を1本の法律に統合するとともに、地方公共団体の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化。
② 医療分野・学術分野の規制を統一するため、国公立の病院、大学等には原則として民間の病院、大学等と同等の規律を適用。
③ 学術研究分野を含めたGDPR（EU一般データ保護規則）の十分性認定への対応を目指し、学術研究に係る適用除外規定について、一律の適用除外ではなく、義務ごとの例外規定として精緻化。
④ 個人情報の定義等を国・民間・地方で統一するとともに、行政機関等での匿名加工情報の取扱いに関する規律を明確化。
施行日：公布から１年以内（地方公共団体関係は公布から２年以内）

マイナンバーを活用した情報連携の拡大等による行政手続の効率化（マイナンバー法等の改正）① 国家資格に関する事務等におけるマイナンバーの利用及び情報連携を可能とする。
② 従業員本人の同意があった場合における転職時等の使用者間での特定個人情報の提供を可能とする。

施行日：公布日（①のうち国家資格関係事務以外(健康増進事業、高等学校等就学支援金、知的障害者など)）、公布から４年以内（①のうち国家資格関係事務関連）、令和３年９月１日（②）

マイナンバーカードの利便性の抜本的向上、発行・運営体制の抜本的強化（郵便局事務取扱法、公的個人認証法、住民基本台帳法、マイナンバー法、J-LIS法等の改正）＜マイナンバーカードの利便性の抜本的向上＞① 住所地市区町村が指定した郵便局において、公的個人認証サービスの電子証明書の発行・更新等を可能とする。
② 公的個人認証サービスにおいて、本人同意に基づき、基本４情報（氏名、生年月日、性別及び住所）の提供を可能とする。
③ マイナンバーカード所持者について、電子証明書のスマートフォン（移動端末設備）への搭載を可能とする。
④ マイナンバーカード所持者の転出届に関する情報を、転入地に事前通知する制度を設ける。 等
施行日：公布日（①）、公布から２年以内（①以外）

Duplication＜マイナンバーカードの発行・運営体制の抜本的強化＞① 地方公共団体情報システム機構（J-LIS）による個人番号カード関係事務について、国による目標設定、計画認可、財源措置等の規定を整備。
② J-LISの代表者会議の委員に国の選定した者を追加するとともに、理事長及び監事の任免に国の認可を必要とする等、国によるガバナンスを強化。
③ 電子証明書の発行に係る市町村の事務を法定受託事務化。 等
施行日：令和３年９月１日

押印・書面の交付等を求める手続の見直し（48法律の改正）○ 押印を求める各種手続についてその押印を不要とするとともに、書面の交付等を求める手続について電磁的方法により行うことを可能とする。
施行日：令和３年９月１日（施行までに一定の準備期間が必要なものを除く。）

出所)内閣官房「デジタル社会の形成を図るための関係法律の整備に関する法律案」2021.3.9.

IISEC

Insitute of Information Security1.3 マイナンバーカードの概要①
マイナンバーカードに格納される公的個人認証サービスについて
氏名

番号 花子

住所○○県□□市△△町◇丁目○番地▽▽号
性別

平成元年 3月31日生□□市長

0123456789ABCDEF

女

公開鍵暗号方式

2025年 3月31日まで有効

1234

公的個人認証サービスが採用する暗号方式。秘密鍵と公開鍵はペアとなっており、片方の鍵で暗号化されたものは、もう一方の鍵でしか復号できない性質をもつ。

利用者証明用電子証明書

署名用電子証明書（性質）
インターネットで電子文書を送信する際などに、署名用電子証明書を用いて、文書が改ざんされていないかどうか等を確認することができる仕組み（性質）
インターネットを閲覧する際などに、利用者証明用電子証明書（基本４情報の記載なし）を用いて、利用者本人であることのみを証明する仕組み（利用局面）
e-Taxの確定申告等、文書を伴う電子申請等に利用される。

（利用局面）
マイナポータルのログイン等、本人であることの認証手段として利用される。

（利用されるデータの概要）（利用されるデータの概要）

電子証明書のイメージ

電子証明書のイメージ
利用者証明用
秘密鍵

署名用
秘密鍵※ カードの中の格納された領域から外に出ることがない※ カードの中の格納された領域から外に出ることがない※ 秘密鍵を無理に読みだそうとすると、ICチップが壊れる仕組み※ 秘密鍵を無理に読みだそうとすると、ICチップが壊れる仕組み※基本４情報を記録※基本４情報の記録なし

4出所)総務省 マイナンバーカードの機能のスマートフォン搭載等に関する検討会 第1回資料.

IISEC

Insitute of Information Security

1.3 マイナンバーカードの概要②

出所)総務省 「第1次とりまとめ 〜電子証明書のスマートフォン搭載の実現に向けて〜」2020.12.25.

IISEC

Insitute of Information Security

2. ICカードとスマホ搭載SEの本質的な違い

IISEC

Insitute of Information Security

2.1 スマートフォン＝カード＋UI＋通信機能

出所)総務省 「マイナンバーカードの機能のスマートフォン搭載等に関する検討会（第7回）資料2」2021.7.28.

セキュアエレメント(耐タンパ性）

ICカード

UI

通信機能

タッチ動作

NFC

〇
NFC通信可能な

タッチ時のみON

セキュアエレメント

スマートフォン

〇NFC通信可能かつアプリ連携可能な
セキュアエレメント
IISEC

Insitute of Information Security

タッチ動作＋
表示機能＋入力機能
WYSIWYS可能

NFC＋
インターネット(紛失時リモート消去可)

常にON
高いマルウェア耐性が求められる

2.2 WYSIWYS(What You See Is What You Sign)の達成
不正アプリを用いて、表示内容およびサーバーへの送信内容を不正に制御するトロイの木
馬型のウイルス。(MitMo: Man in the Mobile攻撃）
銀行に送信される内容
ユーザーが確認しているスマホ画面

口座振替
金融機関名

○×銀行

支店名

横浜支店

科目

普通口座番号2459692

振込先口座名義人

悪徳商事

振込金額

1,000,000円
マルウェアが表示画面と署名機能を不正に制御
振込実行

利用者が画面で確認した文書(SEE)＝署名される文書(SIGN)が重要！
IISEC

Insitute of Information Security(マイナンバーカード搭載スマホではWYSIWYSの達成を目標にセキュリティ機構を設計）
9

補足：Androidマルウェアの実態（感染ルート）
Last but not least, 27 malware families (with 644 or 51.1%samples) are harvesting user’s information, including user
accounts and short messages stored on the phones.
Third, we perform an evolution-based study of representative Android malware, which shows that they are
rapidly evolving and existing anti-malware solutions areseriously lagging behind. For example, it is not uncommon for Android malware to have encrypted root exploits or obfuscated command and control (C&C) servers.
The adoption of various sophisticated techniques greatly
raises the bar for their detection. In fact, to evaluate theeffectiveness of existing mobile anti-virus software, we
tested our dataset with four representative ones, i.e., AVG
Antivirus Free, Lookout Security & Antivirus, Norton
Mobile Security Lite, and Trend Micro Mobile Security
Personal Edition, all downloaded from the official Android
Market (in the first week of November, 2011). Sadly, wile
the best case was able to detect 1, 003 (or 79.6%) samples
in our dataset, the worst case can only detect 254 (20.2%)
samples. Furthermore, our analysis shows that malware
authors are quickly learning from each other to create hybrid
threats. For example, one recent Android malware, i.e.,Drive-by Download
AnserverBot [4] (reported in September 2011), is clearly4inspired from Plankton [5] (reported in June 2011) to havethe dynamic capabilityof fetching and executing payload atStandalone
177challenges for the development
runtime, posing significantof next-generation
Updateanti-mobile-malware solutions.
The rest of85
this paper is organized as follows: Section II
presents a timeline analysis of existing Android malware.
Section III characterizes our samples and shows a detailed
breakdown of their infection behavior. After that, Section IV
presents an evolution study of representative Android malware and Section V shows the detection results with four
Repackaging
representative mobile anti-virus
software. Section VI discusses possible ways for future improvement,
1,083 followed by asurvey of related work in Section VII. Lastly, we summarize
our paper in Section VIII.

ノースカロライナ州立大学の調査

Androidマルウェアの全体の83%（1083件）はRepackagin

有名なアプリにマルウェアを同梱した偽アプリを配布
UpdateRepackageと同じく有名なアプリにアップデートプログラムを同梱し，ソフトウェアアップデートでマルウェアを導入
Drive-by Download

ブラウザの脆弱性を利用してダウンロードで感染させるPC版とは異なり，

Android版は利用者を騙してマルウェアの導入を促すことが多い
Standalone:（その他）

スパイウェア，有名アプリの見かけをまねた偽アプリ，自作アプリにSMS窃取機能を持たせたもの，脆弱性を使ったルート化ツール等
IISEC:)::

Insitute of Information Security

II. M ALWARE T IMELINE

MalwareSamples

FakePlayer
GPSSMSSpy
TapSnake
SMSReplicator
Geinimi
ADRD
Pjapps
BgServDroidDreamWalkinwat
zHash
DroidDreamLightEndofday
Zsone
BaseBridge
DroidKungFu1
GGTracker
jSMSHider
Plankton
YZHC
Crusewin
DroidKungFu2
GamblerSMS
GoldDream
HippoSMS
Lovetrap
Nickyspy
SndApps
Zitmo
CoinPirate
DogWars
DroidKungFu3
GingerMaster
NickyBot
RogueSPPushAnserverBot
AsrootDroidCoupon
DroidDeluxe
Gone60SpitmoBeanBot
DroidKungFu4
DroidKungFuSapp
DroidKungFuUpdate
FakeNetflix
JifakeKMin
RogueLemon
Total

662
169
2258
91611146
11212234
1161122230
147
41210111309
41918781191896311
152
2
1260

Markets‡
O†
A√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√√

DiscoveredMonth2010-08
2010-08
2010-08
2010-112010-122011-02
2011-02
2011-03
2011-03
2011-03
2011-03
2011-05
2011-05
2011-05
2011-06
2011-06
2011-06
2011-06
2011-06
2011-06
2011-072011-072011-072011-072011-072011-072011-072011-072011-072011-08
2011-08
2011-08
2011-08
2011-08
2011-08
2011-09
2011-09
2011-09
2011-09
2011-09
2011-09
2011-10
2011-10
2011-10
2011-10
2011-10
2011-10
2011-10
2011-10In Table I, we show the list of 49 Android malware
families in our dataset along with the time when each14
44
particular malware family is discovered. We obtain the list
(O†: OFFICAL ANDROID MARKET;Source)
Y. Zhouthe
andX. Jiang,
android malware:by carefully
examining
relatedsecurity“Dissectingannouncements,‡: ALTERNATIVE
49 95–109.
different malware Afamilies,
indicatinga MARKETS
very decent
ANDROID
threatCharacterization
reports, and blog contentsfrom existing
mobileantiand evolution,”IEEE
S&P
2012,inpp.
coverage of existing Android malware.
virus companies and active researchers [6]–[12] as exhaus10
tively as possible and diligently requesting malware samples
For each malware family, we also report in the table
thefrom them or actively crawling from existing official and alnumber of samples in our collection and differentiate thegRepackaging

Table IT HE T IMELINE OF 49 A NDROID M ALWARE IN O UR C OLLECTION (O† :‡OFFICAL A NDROIDM ARKET; A : A LTERNATIVE A NDROID M ARKETS )調査対象のマルウェアの概要

3. スマートフォンのセキュリティ機構

IISEC

Insitute of Information Security

3.1 セキュアエレメント (GP-SE)の機能① 耐タンパー性【補足資料4】セキュリティ評価（マイナンバーカードとの比較）
・ FeliCa-SEのプラットフォーム（HW+OS）は、 FASTというフェリカネットワークス（FN）社で定めたセキュリティルールに基づいて、 CC認証、もしくは、EMV認定の取得に加えて、FeliCa機能に関するセキュリティ要件を満たすことが条件となっている。マイナンバーカードにおけるCC認証とは、以下のような相違がある。
FeliCa-SEプラットフォームのセキュリティ評価

項目

マイナンバーカードのセキュリティ評価（CC認証）

セキュリティ要件

ISO15408に基づいて作成されたプロテクションプロファイル（公開）EAL4+（AVA_VAN.5)

ISO15408に基づいて作成されたプロテクションプロファイル（公開）EAL4+（AVA_VAN.5)

評価の範囲

製品の評価及びその開発プロセスを含んだ評価

製品の評価及びその開発プロセスを含んだ評価

脆弱性
評価

JIWG文書（※1）で示される攻撃への対抗

JIWG文書（※1）で示される攻撃への対抗

有効期間

認証取得国による認証取得国による1年（再評価後1年、最長6年）3年（再評価後1.5年）

評価機関

認証機関が認定した評価機関

認証機関が認定した評価機関

EMVCoが認定した評価機関

FNが認定した評価機関

認証機関

認証制度に基づく認証機関（公的機関）

認証制度に基づく認証機関（公的機関）

EMVCo

FNが認定した認証機関

FAST認定（FeliCa機能観点）
CC認証（HW＋OS）

EMV認定（HW+OS）
EMVCoが定めるSecurity
Guideline（非公開）
EAL4+（AVA_VAN.5)

FNが定めるSecurity
Guideline（非公開）
EAL4+（AVA_VAN.5)

・マイナンバーカードのCC認証及びFeliCa-SEのFAST認定では、脆弱性分析においてはいずれも同一のJIWG文書を参照し、攻撃方法への対抗策が評価されている。参照するJIWG文書は、現在想定されるICカードへの攻撃方法を網羅的に記したものであり、国※1 JIL Application of Attack Potential to Smart Cards, version 2.9 Jan 2013
際的に広く参照されている文書である。
・FeliCa-SEでは、脆弱性分析においては最高レベルであるAVA_VAN.5を取得することが条件となっており、マイナンバーカードと同等の保証レベル（AVA_VAN.5）を要求していることは高く評価できるものと考えられる。
12IISEC

Insitute of Information Security

出所)総務省 マイナンバーカードの機能のスマートフォン搭載等に関する検討会 第1回資料.

AVA̲VAN.5 ペネトレーションテスト

Points of interest selection

EM leakage location finding
Some delivers truth but too costly

Key rank (5M)

Some cheaper but misleading
Data leakage

Ghost peak dist.(8M)

Pics origin: “EM-scanning” by Albert SpruytIntermediates corr. (3M)

NoiseSamples showing statistical dependency between
intermediate (key-related) data and power consumption.
Spectral intensity (1)Input corr. (1M)

Output corr. (1M)

10出所) Jasper van Woudenberg, “Practicing the art and science of side channel and fault attacks,” Real World Crypto 2019.

IISEC

Insitute of Information Security

3.1 セキュアエレメント (GP-SE)の機能② タッチ動作

出所)総務省 マイナンバーカードの機能のスマートフォン搭載等に関する検討会 第1回資料.

IISEC

Insitute of Information Security

3.2 セキュアブート機構
Android OSの保護機構: Veri ed Boot

fastboot flashing [unlock | lockBootloaderはOSの保護機構の役割を果たしており、OEMの署名が施された正規OSだけがシステム領域にインストール&Boot可能になっている
但し、Android端末では、利用者がシステム領域をunlockする機能を提供しており、利用者がunlockコマンドを実行した場合には、データ領域を全消去（工場出荷時に戻す）した上で、シス
テム領域の書き込み制限を解除する

lock状態

OEMベンダーの署名が施された正規OSのみをインストール可能（正規Android OS）
システム領域は読み込み専用

unlock状態

所有者が好みのOSを導入可能
システム領域は書き込み可能
正規Android OSIISEC

非正規OS

非正規OS

コード署名あり コード署名なし

アンロック

15]

fi

Insitute of Information SecuritySupport for Virtualization

補足：セキュアブート機構 TPM(Trusted Platform Module)
Upgrade cycles—and especially hardware upgrade cycles—can take years, but factors like virtualization

cloud computing, consumerization and bring your own device (BYOD) policies are rapidly shortening thtypical upgrade cycle. For this reason, TCG also supports security of virtual machines at the pre-boot leve
One example of security for virtualization is the SecureView20 desktop virtualization effort, originally desソフトウェアの真正性を検査するためのハッシュ値測定/格納機能，
for use by the Department of Defense. SecureView uses a hardware root of trust (a TPM and Intel’s Truste
およびRemote Atrtestationのための公開鍵暗号機能を有する耐タンSource) In neonSecureVie
eXecution Technology [TXT]) to launch virtual machines in a carefully controlled environment.
パーチップ．
verifies the integrity of the XenClient hypervisor and detects offline tampering of the installed software
the configuration of the device. See Figure 2.

Application
⑨実行

⑦計測

⑥実行

④計測

OS
⑧登録

Boot Loader
⑤登録

③実行

TPM+BIOS
IISEC

fiInsitute of Information SecuritySource) Gal Sphantzer, “Implementing Hardware Roots of Trust:
TrustedPlatform Module Comes of Age,” A SANS
Figure 2. TPM inThe
VirtualEnvironment
Whitepaper, June, 2013.

SecureView uses a feature of the TPM specification called “sealing” to ensure that secret data is decrypted①計測
andused only when there is no doubt the platform has not been compromised. When the system boots
up, integrity measurements are taken and stored in Platform Configuration Registers (PCRs) in the TPM. I②登録
possible to order the TPM to encrypt data and tie decryption to a conditional state of the device, so it isdecrypted only if the values stored in the PCR match specified values and the platform is in a verified cleof Trustfiles
Chainstate. SinceExtension
the XenClient configuration
are encrypted and the encryption key is sealed to PCRs in th

監視HW16

3.3 アクセス制御機構

出所)総務省 マイナンバーカードの機能のスマートフォン搭載等に関する検討会 第1回資料.

IISEC

Insitute of Information Security•Global Platform規格により，SE(Secure Element)にアクセスできるアプリ(JPKI-UIアプリ)は，事前にARAに登録済みのアプリ証明書を持つものに限られる(=アクセス制御）•

このアクセス制御機構により，マルウェアによるSEへのアクセスを制限し，UI機能付きのSEのようにアプリとSEを連携させる．

3.4 生体認証によるPWの代替（...排除）
5．生体認証＋外部認証（アクティべート時）の詳細フロー Option2
・生体認証の利用を開始するためのフローを以下に示す。
【補足1】
署名用秘密鍵による署名生成を行う考え方もあり、議論中。
④①

乱数R1、PIN

利用者用秘密鍵で署名生成
利用者証明用証明書
署名Android OS及び標準API

スマホアプリ

GP-SE

生体情報利用を選択②③ スマホの利用者用PINを入力、利用者認証の署名を要求⑤

利用者認証の署名検証を要求

端末内

利用者用証明書、署名対象データ、署名【TEE or SE】⑧
プライマリー認証の起動
BiometricPrompt

公開鍵の登録実行⑨【補足2】
API実行時、鍵ペア生成の前に、プライマリー認証あるいは生体認証が要求される

NG

⑪⑬

J-LIS

公的個人認証サービスで本人確認を行えるよう、指紋認証を行ってください。

ユーザ操作

【補足3】
アプレットインストール時に鍵を閉塞状態とする場合は、公開鍵の登録前に、鍵の閉塞解除を実施⑥ 署名検証＆有効性確
認

利用者認証OK⑦

その他

乱数R1生成乱数R1

生体認証付き鍵ペア生成要求
KeystoreAPI, KeyGenerator
with setUserAuthenticationRequired

SCP03

TSM

失敗処理

OK➉
⑫

公開鍵を取得GP-SEに登録を要求

鍵ペア生成し、秘密鍵を保持。公開鍵返答

公開鍵Option2

公開鍵⑯

生体情報登録完了

6出所)総務省 マイナンバーカードの機能のスマートフォン搭載等に関する検討会 第5回資料.

•TEE内で生成した鍵ペア(Cryptographic Object)を生体認証と結びつける(BiometricPrompt API)•GP-SEの認証／署名は，GP-SEが生体認証で起動されたCryptographic Objectの認証成功が条件

IISEC

Insitute of Information Security

3.4 生体認証によるPWの代替（...排除）
REE: Rich Execution Environment

TEE: Trusted Execution Environment

Rich Application

電子証明書のイメージ
署名用
秘密鍵※ カードの中の格納された領域から外に出ることがない

Trusted Application

Trusted Application

利用者証明用秘密鍵<latexit sha1_base64="+oP6/v1tw//qd5x6CHZqDaTw6S0=">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</latexit>

生体認証

CryptoObject※ カードの中の格納された領域かマイナンバーカードに格納される公的個人認証サービスにつら外に出ることがない
本人確認
公開鍵暗号方式+ ※ 秘密鍵を無理に読みだそうとする
公的個人認証サービスが採用する暗号
機器間認と、ICチップが壊れる仕組み
公開鍵はペアとなっており、片方の鍵で証(Biome① 本人確認要求t
氏名番号 花子

住所○○県□□市△△町◇丁目○番地▽▽号

性別※ 秘密鍵を無理に読みだそうとすると、ICチップが壊れる仕組み

平成元年 3月31日生□□市長

ricPrompot AP

0123456789ABCDEF

署名用電子証明書

TEE Client API

アクセスRich OS
制御機構(OpenMobileAPI)

1234I)※基本４情報を記録

女

2025年 3月31日まで有効のは、もう一方の鍵でしか復号できない②
外部認証

利用者証明用電子証明

TEE Internal API（性質）
インターネットで電子文書を送信する際などに、署名用電子証明書を用いて、文書が改ざんされていないかどうか等を確認することができる仕組み
Trusted OS（性質）
インターネットを閲覧する際などに、利用者証
報の記載なし）を用いて、利用者本人である（利用局面）
e-Taxの確定申告等、文書を伴う電子申請等に利用される。

（利用局面）
マイナポータルのログイン等、本人であることる。

（利用されるデータの概要）（利用されるデータの概要）

Messages

GP-SE

Platform Hardware
電子証明書のイメージ③ マイナンバーカードによる利用者認証（電子署名）
IISEC

Insitute of Information Security

電子証
利用者証明用
秘密鍵

署名用
秘密鍵

19

※ カードの中の格納された領域から外に出ることがない※ カードの中の格納された領域から外に出ることがない※ 秘密鍵を無理に読みだそうとすると、ICチップが壊れる仕組み※ 秘密鍵を無理に読みだそうとすると、ICチップが壊れる仕組み※基本４情報を記録※基本3.5 盗難／紛失／譲渡時の対応
リモートでのGP-SE内の情報削除

23

サーバから要求を開始して、GP-SEにアクセスし、GP-SE内の情報を削除することが技術的に可能。
Google社が提供するFCM（Firebase Cloud Messaging）という、サーバからスマートフォン上のアプリにメッセージを送信するサービスを利⽤する。
スマートフォン1台毎に“トークン“と呼ばれるユニークな番号がFCMの仕組みで発番され、サーバはトークン番号をキーにメッセージを送信する。
ユーザのアプリ操作なしに、サーバとアプリの通信で処理を⾏うことが可能。
リモートでの処理が必ず成功することを保証するサービスではないため、削除ができないケースがありえる。
スマートフォンがネットワーク通信できない場合はメッセージ送信が失敗する。
アプリの削除や端末の初期化が⾏われた場合や、あるいはその他の理由、トークンが削除されたり無効になった場合もメッセージ送信が失敗する。
その他の理由で、FCMサーバからのメッセージ送信は失敗するケースがあり得る。

FCM
サーバ

②メッセージ送信③メッセージ受信、処理

アプリ
Android
Android
スマートフォン

GP-SE①メッセージ送信要求(トークン番号を指定)④削除処理開始
トークン

サーバ※事前にトークン番号をアプリ経由で取得
トークン番号管理⑤GP-SEと認証、削除コマンド送信⑥GP-SE内情報削除※鍵・証明書情報のみ削除することもApplet含めて削除することのいずれも可能（Applet含めた削除はSEI-TSMで実施）
出所)総務省 「第1次とりまとめ 〜電子証明書のスマートフォン搭載の実現に向けて〜」2020.12.25.

IISEC

Insitute of Information Security

4. まとめと金融機関へのインプリケーション

IISEC

Insitute of Information Security

5. まとめと金融機関へのインプリケーション
スマートフォンのセキュリティ機能
GP-SE = ICカード + UI + 通信機能
紛失時はリモート消去可能
セキュアブート
アクセス制御機構(OpenMobile API）
=マルウェアによるGP-SEへのアクセスを阻止
生体認証でパスワードレス認証＝フィッシングリスク減

金融機関へのインプリケーション
マイナンバーカードのスマホ搭載で公共サービスが便利に！
金融機関（民間事業者）でもGP-SE領域を利用可能
オンラインで確実なeKYC(民間利用)
キャッシュカード／クレジットカードのスマホGP-SE化
CBDCのプラットフォーム
IISEC

Insitute of Information Security