【要点抽出】⺠間事業者向けデジタル本⼈確認ガイドライン 第1.0版 その1

ニキヌス

⺠間事業者向けデジタル本⼈確認ガイドライン 第1.0版についてまとめます。

https://www.openid.or.jp/news/kyc_guideline_v1.0.pdf

何のガイドライン？

⼀般社団法⼈OpenID ファウンデーション・ジャパンが作成したものです。
本来、本人確認は「法的には」金融機関・携帯電話事業者・古物商に義務付けられていますが、その他の事業者でも本人確認をしている or これからしたいサービスが沢山あります。
前者向けには既に国からガイドラインが出ていますが、後者向けには頼れるものがないため、ちょうどイイものを整理してみたという感じです。

構成は？

本紙129ページ、付録114ページ　あわせて243ページという超大作です。
分量的に読むのに時間がかかるので、1～4章を分けて書いていきます。

1章　総則　・・・言葉の定義など前提情報
2章　デジタル本人確認の導入、手法の選択時に留意すべきこと
3章　事業者、ユーザの負担を軽減する中間的な手法
4章　サービスに応じた本人確認手法を探す
5章　おわりに

1章　総則

1.対象・⽬的

対象や目的は「何のガイドライン？」に記載の通りなので割愛します。

2.本⼈確認とは

本人確認という言葉は2つに分解されます。

  • 身元確認
    Webアプリで言うと、ID登録の際に「アンタ架空の人物じゃないでしょうね」を確認するものです（実在性の確認）
    確認の際には、免許証やパスポート等の本人確認書類をチェックします。確認前の申請段階の人を「登録申請者」と呼び、無事チェックが住むと「加入者」になります。

  • 当人認証
    Webアプリで言うと、ID登録後のログインの際に「アンタ、このIDの持ち主本人でしょうね」を確認するものです。（当人性の確認）
    確認の際には、パスワードや生体情報を用いて、あらかじめ登録された情報と合致することをチェックします。
    確認前の申請段階の人を「利用申請者」と呼び、無事チェックが住むと「加入者」になります。

身元確認は以下3ステップに分けられます。(元資料のP.25を見たほうが早い)

  1.  Resolution　コア属性とEvidenceの収集
    コア属性とは登録申請者に関わる情報（所属とか氏名とか）を意味すると理解しました。つまり、どこの誰とも分からない申請者が「ワイはこういう者です」と申告します。
    Evidenceは免許証やパスポート等の本人確認書類です。「この書類を見ればワイが実在することが分かります」ということを主張するわけです。

  2.  Validation Evidenceの確認
    提出された本人確認書類の有効性を確認します。つまり、免許証が偽造されていないか、有効期限が切れていないか、みたいなチェックです。

  3.  Verification Evidenceの検証
    提出された本人確認書類が間違いなく申請者のものであるかを確認します。つまり、他人の免許証を提示していないか、みたいなチェックです。

身元確認と当人認証にはそれぞれ強度を示す「保証レベル」が定められています。それぞれ3段階あり、3が最もしっかりチェックします。
IALとAALのどちらかのレベルが低いと、システム全体の本人確認のレベルは低い方に引きずられてしまいます。

身元確認はIAL（IdentityのAssurance Level）
IAL1：身元確認はなし。申請者の申告をそのまま信じる。
IAL2：遠隔または対面で身元確認する
IAL3：対面での身元確認

当人認証はAAL(AuthenticatorのAssurance Level）
AAL1：単一または複数の認証要素
AAL2：複数の認証要素
AAL3：複数の認証要素＋耐タンパ性を持つHWトークン

なお、NIST SP800-63 4ではIALが0～3になったそうですが、本書はSP800-63-3時点の記載です。
ただし、IAL2を細分化した「DADC IAL」がP.29で紹介されており、上記のIAL0の登場はその流れを受けているのかもしれません(私もまだNISTの方をしっかり読んでいないので想像）。

3.本⼈確認に関わる法令等

冒頭にあげた金融や古物商のように、法令で本人確認が求められる事業者に対して、「身元確認」については具体的な手法が明記された法令があるようです。一方で「当人認証」についてはそうした法令がないようです。

「身元確認」「当人認証」ともに行政手続きガイドラインは存在します。それらはNIST SP800-63-3を参考にしています。
例えばマイナンバーカードを用いた本人確認は、IAL・AALともに最高の3に相当する、みたいな感じです。

4.本⼈確認書類

本人確認書類にも様々ありますが、顔写真の有無がポイントだそうです。

  • 顔写真あり・・・運転免許証、マイナンバーカード、パスポート 等

  • 顔写真なし・・・被保険者証、住民票 等

政府としてはマイナンバーカードを本人確認の中心とする方向に向かっています。(最近も保険証を廃止するとかニュースになってましたね）
これは、マイナンバーカードには顔写真があるだけでなく、

  • ICチップが搭載

  • 読み取り時に暗証番号(数字4桁）が必要

  • チップは耐タンパ性を持つ

ことから特に安全であるとみなされるためです。
ここから分かるように、マイナンバーカードの本質はカードであることではなく、耐タンパ性を持つICチップで保護された電子証明書であることです。
よって、今後はカードではなく同様のチップが搭載されたスマホがマイナンバーカード代わりになる流れにあるようです。
一方で、現状はICチップではなく、マイナンバーカード等の券面を撮影した画像をアップロードさせて本人確認する事業者が多いそうです。

感想

まずは1章について書きました。ここまでで元資料のPPT 50ページ分です。
自分で書きながら台無しなことを言いますが、元の資料の完成度が非常に高いのでそっちを見た方がよいです。こんな文章よりも分かりやすく図表にまとまっています。さすがパワポ資料。

個人的には、マイナンバーカードがAAL3というのがどうもしっくりこないと思っています。
確かにMFAであり耐タンパ性を持つのは分かります。フィッシング耐性もあります。
しかし、現実には暗証番号4桁を付箋に貼ってカードとともに持ち歩いてしまう人もいるでしょうし、想像しやすい暗証番号にする人が大半でしょうから、一定回数誤りでのロック機構があれど盗難紛失時にどれくらい守れるのかが疑問です。
所有+生体であるYubikeyもAAL3だと思いますが、こちらは盗難紛失時になりすませるとは思えません。
こうした「正規ユーザによるセキュリティ強度の下げやすさ(サボりやすさ)」みたいな観点を強度の評価軸に加えなくていいのかが気になるところでした。

＊＊2023/4/6追記＊＊
元資料のP.146に以下の記載がありました。

「マイナンバーカードの機能のスマートフォン搭載」には署名⽤電⼦証明書と利⽤者⽤電⼦証明書の2種類の電⼦証明書が搭載されます。そのうち、利⽤者証明⽤電⼦証明書については、画⾯ロック解除機能（⽣体認証等）での認証が可能です。

これならユーザの画面ロック解除の設定次第ですが、所有+生体にも出来るので、盗難紛失時にも安心ですね。

＊＊＊はじめての方へ＊＊＊
これは何のnoteだ？と思われた方はこちらをご覧ください。

この記事が気に入ったらサポートをしてみませんか？