現在、国や市町村への行政手続きの電子申請・申告、電子商取引、オンラインバンキング、オンラインショッピングなど、インターネットを利用したサービスが普及しています。
しかし、このようなサービスは、対面で本人確認することができないため、他人のふりをされる（なりすまし）恐れがあります。また、インターネット上で電子的な契約書や申請書などをやり取りするため、それらを変更される（データの改ざん）恐れがあります。
さらに、後から契約や申請の内容や事実を否定される（否認）恐れがあります。これらの脅威に対策する上で、電子署名を用いることが有効です。本章で、これらの脅威に対する電子署名の効果について説明します。
なりすましとは、悪意のある第三者が、不正に取得した認証情報（ID/Passwordなど）を悪用して他人のふりをし、機密情報へアクセスする、または、Eメールの差出人を詐称するなどの不正な行為です。本人のみが所持することを求められる情報から電子署名を生成するため、オンラインでの認証に電子署名を利用すると、なりすましを防ぐことができます。
データの改ざんとは、権限のない者が、不正にコンピューターに侵入し、記憶されているデータを書き換える、または、悪意のある第三者がネットワーク上でやり取りされるデータを書き換えるなどの行為です。元のデータから計算される電子署名を検証することで、データの改ざんが行われていないかを検知することができます。
否認とは、当事者が過去に行った契約や申請などの内容や事実を否定する行為です。本人のみが所持することが求められる情報から電子署名を生成するため、否認を防ぐことができます。
インターネット上でやり取りされる電子文書に電子署名を付与することにより、第1章で説明した脅威を解決し、電子文書を本人が作成したこと、電子文書が改ざんされていないこと、電子文書を作成したことを本人が否定しないことを保証することができます。 本章では、電子署名で利用されている技術と電子署名の生成・検証方法を説明します。
電子署名では、電子文書を第三者から秘匿することを目的とした暗号の技術が利用されています。
暗号には二つの処理があり、定められた処理手順（暗号アルゴリズム）と別途設定する値（暗号鍵）で、判読可能な文（平文）を、判読不可能な文（暗号文）に変換することを暗号化、また、その逆の処理を復号と呼びます。
暗号方式は共通鍵暗号方式と公開鍵暗号方式の二つに大きく分けられます。
共通鍵暗号方式は、暗号化と復号で同一の鍵を用いる方式です。一般的に、公開鍵暗号方式と比較し、暗号化や復号を高速に処理することが可能であるため、電子文書全体のような大きなデータを秘匿する際に利用されます。
一方、鍵を知られてしまうと誰でも復号が可能となってしまうため、電子文書をわたしたい相手への鍵の配送が問題となります。
公開鍵暗号方式は、暗号化と復号で異なる鍵を用いる方式で、他人に公開する鍵（公開鍵）と他人に知られてはいけない鍵（秘密鍵）をペアで組み合わせて利用します。公開鍵で平文を暗号化して暗号文を作成し、また、秘密鍵で暗号文を復号して平文に戻します。通信相手の鍵を公開しても良いため、共通鍵暗号方式の課題であった鍵の配送問題を解決することができます。
電子署名は、公開鍵暗号方式を応用したものです。本人しか知らない秘密鍵で暗号化したデータを通信相手が公開鍵で復号することにより、本人が作成したデータであるかどうかを確認できます。
公開鍵暗号方式は暗号化や復号の処理に時間がかかるため、電子署名を生成する際には、あらかじめ、要約の技術を利用し、暗号化する前のデータを短いデータに圧縮します。
任意の長さのデータから、ハッシュ関数と呼ばれる一方向関数を用いて、固定長のデータ（要約）を生成します。
利用する一方向関数には、データの内容が少しでも異なる場合に生成される要約が大きく異なる特徴や、要約から元のデータを復元することが不可能（不可逆）な特徴があります。
これらの特徴により、データを送受信する際に、受信したデータから要約を生成し、送信元から別手段でわたされる要約と比較することで、データが改ざんされていないかを確認することができます。
このように要約の技術を利用することで、データの圧縮とデータの改ざん防止が可能です。
電子署名付きメールの送受信を例に、電子署名の生成と検証の手順を示します。
送信者は、メール本文からハッシュ関数を利用し、要約を生成します。次に、要約を送信者の秘密鍵で暗号化し、電子署名を生成します。そして、メール本文に電子署名を付与して、受信者に送付します。
電子署名付きメールを受け取った受信者は、送信者と同一のハッシュ関数を利用してメール本文から要約を生成します。次に、Eメールに添付された電子署名を送信者の公開鍵で復号し、そのデータと受信者が生成した要約が一致しているかの比較をし、検証を行います。
復号に失敗する場合は、受信者が検証に使用した公開鍵と送信者が使用した秘密鍵の組み合わせが間違っている可能性があるため、メールの送信者が偽装されている恐れがあります。また、要約が一致しない場合は、メールの本文が改ざんされている恐れがあります。
この手順では、受信者が送信者の公開鍵を取得していることが前提ですが、その公開鍵の信頼性をどのように担保するのかが課題となります。そこで、公開鍵と所有者の結び付きを保証する公開鍵認証基盤（PKI）の仕組みについて次章で説明します。
公開鍵の信頼性担保の問題を解決するために、認証局（CA）と呼ばれる信頼できる第三者機関が、公開鍵の所有者を審査した上で、公開鍵とその所有者の結び付きに保証を与え、公開鍵証明書として発行する仕組みを公開鍵認証基盤（PKI）と呼びます。
本章では、PKIの特徴とPKIを構成する要素について説明します。
PKIを利用することで、従来、紙で行っていた契約を電子化し、電子的な契約に証拠性を持たせることができます。
従来の紙ベースの契約では、自治体に登録した印鑑で契約書に印影を押し、契約書とともにその印鑑証明書を契約相手にわたすことで、契約に使用した印鑑の信頼性を担保してきました。
このような紙ベースのシステムにおける契約を、PKIを利用した電子的な契約に置き換えると、公開鍵証明書は印鑑証明書に、秘密鍵は印鑑に、電子署名は印影に相当します。信頼できる認証局から公開鍵証明書を発行することにより、電子契約書の電子署名に利用した公開鍵の信頼性を保証することが可能です。
認証局の主な役割は、公開鍵証明書や証明書失効リストの受付・登録、発行、公開です。
インターネット上の多くのサービスでは、国際標準化機関であるITUで標準化されたX.509 v3 公開鍵証明書が利用されています。
X.509 v3 公開鍵証明書の記載内容には、必須の項目とオプションの項目があります。
必須の項目には、認証局の名前、有効期限、公開鍵証明書の所有者の名前、所有者の公開鍵に関する情報などが含まれます。
また、オプションの項目には拡張領域が含まれ、所有者種別、鍵使用目的、証明書ポリシーなどのX.509で規定された情報や、システム独自の情報が記載されます。拡張領域はX.509 v3から使用可能となりました。
さらに、認証局は、公開鍵証明書記載内容を保証するために、認証局の秘密鍵で電子署名を生成し、公開鍵証明書に付与します。
電子署名の利用が普及するにつれて、署名・押印された文書と同様に、電子署名された文書にも法的な定義が必要となりました。
そこで、ネットワークを通じた社会経済活動の円滑化を目的として、2001年4月1日より、「電子署名及び認証業務に関する法律」（以下、電子署名法と記載）が施行され、電子署名が手書き署名・押印と同等に通用することが法的に明らかとなりました。
電子署名法では、電磁的記録の真正な成立の推定、特定認証業務に関する認定の制度などの事項が定められています。次節より、それぞれの事項について説明します。
電子署名法では、本人による電子署名が付与された電子文書は、本人よる署名・押印がある文書と同様、真正に成立したものと推定されることを規定しています。
例えば、契約などに関する民事訴訟が発生した場合、証拠性のある文書を裁判所に提出しなければいけません（民事訴訟法第228条第1項「文章は、その成立が真正であることを証明しなければならない。」）。
紙の世界の場合、提出した文書に押印があり、その印影が本人の印鑑よるものであること認められると、本人の意志により押印されたことが事実上推定されます（裁判昭39.5.12民集18-4-597「私文章の作成名義人の印影が当該名義人の印章によって顕出されたものである場合は、反証がない限り、当該印影は当該名義人の意志に基づいて顕出されたものと推定する。」）。
また、その文書の証拠性が事実上推定されます（「私文章は、本人又はその代理人の署名または押印があるときは、真正に成立したものと推定する。」民事訴訟法第228条第4項）。
印影が本人の印鑑によるものかどうかは、文書の押印に使用された印鑑の印鑑登録証明書を確認することで証明することができます。
紙の世界と同様に、電子文書に電子署名が付与され、本人による電子署名であることが認められると、電子文書の証拠性が事実上推定されます（「電磁的記録であって情報を表すために作成されたものは、当該電磁的記録に記録された情報について本人による電子署名が行われているときは、真正に成立したものと推定する。」電子署名法第3条）。
本人による電子署名であるかどうかは、電子署名に使用された電子証明書が特定認証事業者などにより発行された信頼性の高い電子証明書であるかを検証することで証明することができます。
電子署名の証拠性を保証するために、電子証明書を発行する認証機関の安全・信頼性の水準を一定に保つ必要があります。そこで電子署名法では、認証業務（電子署名が本人のものであることを証明する業務）を次のように規定しています。
認証業務に関し、一定の水準を満たすことを総務大臣、経済産業大臣および法務大臣の認定を受けることができます（「特定認証業務を行おうとする者は、主務大臣の認定を受けることができる。」電子署名法第4条）。
そのため、特定認証業務機関には、利用者の真偽の確認資料などの保存義務（帳簿保存義務）、利用者確認に係る情報の目的外使用の禁止などの義務が発生します。
なお、特定認定業務機関としての認定を受けるには、電子署名法に基づく申請書を提出し、また、電子署名の技術的な方式、認証設備、利用者の真偽の確認方法などが「電子署名法に基づく特定認証業務の認定に係る指針」に定められている要件を満たす必要があります。
また、指定調査機関によってそれらの要件を満たしているかどうか調査が行われます。
日本国政府においても、行政手続きの電子申請・申告の実現に向け、電子署名を活用するさまざまな行政サービスへの取り組みが行われています。
行政手続きのオンライン化にあたり、電子申請の本人確認や改ざん防止が必要不可欠となりました。そこで、PKIに基づく電子署名が導入され、政府認証基盤（GPKI）や自治体における組織認証基盤（LGPKI）などの認証基盤が構築されました。
また、個人や法人代表者に対しては、自治体が運用する公的個人認証サービスや、「商業登記に基礎を置く電子認証制度」に基づく法務省商業登記認証局から、それぞれ公開鍵証明書が発行されています。
さらに、民間においても、電子署名法に基づく特定認証業務の認定を受けた事業者による認証基盤が整備されており、複数の民間認証局から認証サービスの提供を受けることが可能です。
これらの認証基盤はGPKIのブリッジ認証局と相互認証を行い、各認証基盤間の信頼の関係を築いています。
これらの認証基盤を用いて、自治体が個人や企業から、インターネットを利用して提出された申請・届出・申告の信頼性を確認したり、また、個人や企業が自治体や政府から送付された証明書・許可書の信頼性を確認したりするなどのさまざまな行政サービスが実現されています。
公共システム営業統括本部・公共システム事業部に対する各種お問い合わせを受け付けております。
自治体職員限定！最新情報を毎月2回お届けします。