PKI入門（６）　PKIの証明書の格納場所はどこか？

　銀行のキャッシュカードのたとえでゆくと、PKIの証明書の格納場所は、キャッシュカードになる。前回述べたように、PKIの秘密鍵は、印鑑に匹敵する仕組みであり、これに、印鑑証明に相当する認証がつけば、便利になるはずである。例えば、銀行印に相当するレベルの証明書がICカードに格納されていて、それを使えばどの銀行でも、銀行別のパスワードなしに、オンラインバンキングできるなら、非常に便利である。しかし、このキャッシュカードに相当する部分は、実際に互換性の問題なく使える標準的なものは、まだ決まっていない。ATMに相当する部分に関しては、SSLをうまく使うことで解決され、急速に普及が進んでいる。そのよい例がVPN-SSLだ。SSLは使い勝手がよかったので、普及している。PKIの秘密鍵格納場所で、SSLがまさに果たしたような使い勝手のよいものは何かが、重要な課題になる。

●格納場所に対する考え方　偽造耐性が必要なはずだけど…

　電子的な印鑑に相当する秘密鍵はもともと単なるデジタルデータである。コピーしようとすれば、簡単にコピーすることが可能だ。フロッピーディスクやUSBメモリなどの記憶媒体に秘密鍵（キャッシュカードに相当！）を単なるファイルとして格納するならば、コピーは非常に容易だ。キャッシュカードの例えで言えば、キャッシュカードの内容を印刷して表面に張っているようなものだ。どのコンビニでもあるコピーで銀行のキャッシュカードが簡単に複製できるならば、セキュリティ上は問題だ。そして、さらに、問題がある。暗証番号も簡単に盗まれるのだ。

　フロッピーを差し込んだパソコンに仕掛けがしてあると、中身のファイルにすぎない秘密鍵は、簡単にコピーされる。さらに秘密鍵を使う時に簡単な暗証番号をキーボードから入れるが、これもパソコンに仕掛けがしてあるととられてしまう。キャッシュカードと、暗証番号が、簡単に同時に盗られるならば、セキュリティ上は大問題である。フロッピーや、USBメモリ内部のファイルは、偽造耐性が全くない。だから、セキュリティの専門家が、偽造耐性のある電子媒体の必要性を強調するのも当然だ。それで、いくつかの電子媒体が、考えられている。

　古くは、いわゆるICカード。最近では、USBキーだ。これからは、携帯電話といわれている。いずれも偽造耐性のある電子媒体だ。秘密鍵は、そとからとりだせない。署名は、媒体の中で行われる。簡単な計算機能が、電子媒体の中にはいっていて、そこで、やや複雑な計算をして、署名をつくりそれを、媒体の外部に出力する。単純なUSBメモリとは違って、偽造耐性の電子媒体は、内部で計算して秘密鍵から署名をつくる。そのために、偽造耐性のある電子媒体は複雑な構造をもち高価になる。同じ規格のものが大量に作成されるなら、価格的にはやすくなるが、まだ、偽造耐性ある電子媒体で圧倒的に普及はしているものがあるといえない状況だ。

●ICカードの現状　ある程度は、普及はするのは確実だけど…

　まず、古くからあるICカードは、十分に大量な数のICカードが出回っているといえる。しかし、ICカードと一口でいっても、接触型、非接触型があり、スイカ、エディのように電子マネーの規格として広く普及しているものもあり、互換性等の問題や価格の問題は、まだまだ残っている。

　少し前の話になるが、Windows2000がでたばかりのころのICカードは互換性や運用の問題をかなり抱えていた。汎用で互換性のあるといわれるICカードのデモンストレーションなのに、いろいろ障害が発生するのを見た経験のある人は多いだろう。ICカードのベンダが環境整えてデモをしたはずなのに、トラブルが起こったりしたこともあるはずだ。ICカードのベンダにとっては不幸な時代であった。インターネットバンキングでのSSLのクライアント認証が、うまくいかなかったのと同じといえる。設定が難しく、しかも動かないのである。一般の人が日常的に苦痛なく利用できる仕組みとしてはまだ失格である。

　今は、それに比べると格段に環境は安定してきているといえる。特に最近は、住民基本台帳カードのサービスがはじまっている。まさに汎用の規格のICカード普及のはじまりだろう。住民基本台帳カードが普及するならば、公的個人認証というPKIの秘密鍵格納場所としては最有力である。もちろん、現状の公的個人認証の認知度、普及度は、極めて低く、これからではある。住民基本台帳カードを起爆剤として、ICカードが普及するのは、おそらく確実だろうが、まだまだ時間がかりそうだ。

【執筆：武井明】

（この記事には続きがあります。続きはScan本誌をご覧ください）
http://www.ns-research.jp/cgi-bin/ct/p.cgi?m-sc_netsec