イーダス

eIDAS（「電子識別、認証および信頼サービス」の略）は、 「電子取引のための電子識別および信頼サービス」を規制することを目的としたEU規制です。2014年に可決され、その規定は2016年から2018年にかけて発効しました。^{[1] [2]}

eIDAS は、欧州連合の域内市場における電子取引の電子識別および信頼サービスを監督しています。電子署名、電子取引、関係機関、およびそれらの埋め込みプロセスを規制し、電子資金送金や公共サービスとの取引など、ユーザーがオンラインで安全にビジネスを行う方法を提供します。署名者と受信者の両方が、より便利で安全なものになります。郵便やファックスなどの従来の方法に頼ったり、紙ベースの文書を提出するために直接出向いたりする代わりに、「 1-Click 」テクノロジーなどの国境を越えた取引を実行できるようになりました。^{[2] [3]}

eIDASは、電子署名、認定デジタル証明書、電子印鑑、タイムスタンプ、その他の認証メカニズムの証明によって、紙で行われる取引と同じ法的地位を持つ電子取引を可能にする標準を作成しました。 ^[4]

この規制は、欧州連合内で安全かつシームレスな電子取引を促進するための手段として、2015年7月に発効しました。加盟国は、eIDASの基準を満たす電子署名を認識する必要があります。^{[2] [5]}

この法律は、2014年7月23日の電子識別に関するEU規則910/2014で制定され、1999年12月13日に1999/93/ECによって廃止されました。 ^{[1] [2]}

この法律は2014年9月17日に発効し、第52条に記載されている特定の条項を除き、2016年7月1日から適用される。 ^[6] EU加盟国で公共デジタルサービスを提供するすべての組織は、2018年9月29日からすべてのEU加盟国の電子IDを認識しなければならない。この法律は欧州単一市場のすべての国に適用された。^{[7] [8]}

2024年7月、go.eIDAS協会はドイツのテクノロジー企業や財団と協力して、アーキテクチャおよびリファレンスフレームワーク（ARF）準拠のウォレットにPIDクレデンシャルを発行する最初のeIDASテストベッドを立ち上げました。^[9]

eIDASは、欧州委員会がヨーロッパのデジタルアジェンダに注力した結果生まれたものです。委員会の監督の下、eIDASはEU内でのデジタル成長を促進するために導入されました。^[10]

eIDASの目的はイノベーションを推進することです。eIDASの技術ガイドラインに従うことで、組織はより高いレベルの情報セキュリティとイノベーションを推進することができます。さらに、eIDASは次のことに重点を置いています。^{[5] [11]}

• 相互運用性: 加盟国は、他の加盟国の eID を認識し、その信頼性とセキュリティを確保する共通のフレームワークを作成する必要があります。これにより、ユーザーは国境を越えてビジネスを行うことが容易になります。
• 透明性: eIDAS は、集中署名フレームワーク内で使用できる信頼できるサービスの明確でアクセス可能なリストを提供します。これにより、セキュリティ関係者は、デジタル署名を保護するための最適なテクノロジーとツールについて話し合うことができます。

この規則は、電子取引に関連する以下の重要な側面について規制環境を提供します。^[2]

• デジタルアイデンティティ：法的有効性を持つ、市民のデジタル認証のための欧州規模のフレームワーク（欧州デジタルアイデンティティウォレット、EDIW）^{[12] 。}欧州のデジタルアイデンティティの9つの原則が定義されています：^[13]ユーザーの選択、プライバシー、相互運用性とセキュリティ、信頼、利便性、ユーザーの同意と制御の比例性、カウンターパートの知識、グローバルなスケーラビリティ。
• 高度な電子署名(AdES): 電子署名は、特定の要件を満たす場合に高度なものとみなされます。
  • 署名者とリンクする固有の識別情報を提供します。
  • 署名者は、電子署名の作成に使用されるデータを単独で管理します。
  • メッセージに付随するデータが署名後に改ざんされたかどうかを識別できる必要があります。署名されたデータが変更された場合、署名は無効としてマークされます。
  • 電子署名には証明書があり、署名者の身元を確認し、電子署名検証データをその人物にリンクする電子証明です。
  • 高度な電子署名は、 ETSIが規定するデジタル署名のXAdES、PAdES、CAdES、またはASiCベースラインプロファイル（関連署名コンテナ）標準に従って技術的に実装することができます。^[14]
• 認定電子署名とは、認定電子署名証明書に基づいて認定電子署名作成装置によって作成される高度な電子署名です
• 電子署名用の認定デジタル証明書。認定された信頼サービス プロバイダーによって発行された認定電子署名の信頼性を証明する証明書です。
• 認定ウェブサイト認証証明書、eIDAS 規制で定義された信頼サービスに基づく認定デジタル証明書。
• トラストサービスとは、電子署名、タイムスタンプ、シール、証明書を作成、検証、確認する電子サービスです。また、トラストサービスは、Web サイトの認証や、作成された電子署名、証明書、シールの保存も提供することがあります。これは、トラストサービスプロバイダーによって処理されます。
• 欧州連合信頼リスト( EUTL )

eIDAS規則は、電子署名に関してEU加盟国が達成することが期待される目標を設定した指令1999/93/ECから発展したものです。小国ヨーロッパ諸国は、デジタル署名と識別の採用を最初に開始した国々の一つで、例えば、最初のエストニアのデジタル署名は2002年に、最初のラトビアのデジタル署名は2006年に付与されました。これらの国の経験が、現在ではEU全体の規則を策定するために活用され、2016年7月1日からEU全体で法律として拘束力を持つようになりました。^[15]指令1999/93/ECは、EU加盟国に、EU内で電子署名システムを構築するという目標を達成できるように法律を制定する責任を負わせました。この指令では、各加盟国が法律を解釈して制限を課すことも許可されていたため、真の相互運用性が妨げられ、断片化されたシナリオにつながっていました。^[16] 1999年の指令とは対照的に、eIDASは加盟国間の認証のためのeIDの相互承認を保証し、^[17]デジタル単一市場の目標を達成します。

eIDASは法的価値の段階的なアプローチを提供します。このアプローチでは、高度な電子署名または適格電子署名ではないという理由だけで、電子署名の法的効力または法廷での許容性を否定できないことを求めています。^[18]適格電子署名には、手書きの署名と同じ法的効力が与えられなければなりません。^[19]

電子印鑑（法人の署名版）については、印鑑は完全性と添付データの出所の正確性の推定を享受する必要があるため、証明価値が明確に規定されている。 ^[20]

2021年6月、委員会は改正案を提案し、勧告を公表した。^{[21] [22] [23]}

2023年には、EU政府が暗号化通信を含む中間者攻撃を実行できるようになる可能性があるため、法律の改正案が精査された。 ^[24]この提案は、サイバーセキュリティ研究者、NGO、市民社会のグループから、人権、プライバシー、尊厳に対する脅威として非難された。^{[25] [26] [27] [28]この提案は、} 2019年にカザフスタンで行われた大規模監視の試みと同じメカニズムで機能した。

この論争の核心は、第45条の改正案の第二段落にある。^[29]

「第 1 項で言及されている Web サイト認証用の認定証明書は、Web ブラウザによって認識されるものとします。[...] Web ブラウザは、Web ブラウジング サービスのプロバイダーとして運営される最初の 5 年間、委員会勧告 2003/361/EC に従って零細企業および小規模企業とみなされる企業を除き、第 1 項で言及されている Web サイト認証用の認定証明書のサポートと相互運用性を確保するものとします。」

批評家は、認証局（CA）がブラウザベンダーが導入した監査および審査手順を経ずに証明書を発行できるようにすると、インターネット全体のセキュリティが危険にさらされ、中間者攻撃の扉が開かれる可能性があると主張した。^{[30] [31]これにより、政府が義務付けたCAが任意のドメイン名の証明書を発行し、それを偽装に使用できるようになり、最も重要なことに、ブラウザが信頼できるものとして証明書を削除できなくなる可能性がある。 [30]}これは、法の支配が弱い国では特に懸念されると考えられており、国家および国家とつながりのある主体が法律を利用して自国民をスパイし、政治的抑圧や私的利益を得ることができる。これにより、国家とつながりのある民間主体が権力にアクセスし、独自の目的のために権力を悪用できるようになるというさらなる懸念もあった。^{[25] [27]}

しかし、最終草案では、ブラウザベンダーがセキュリティ対策を継続的に実施できるようにするための規定が設けられ、実際にはこの種の傍受が発見されることなく実行することが困難になるような内容となった。^[32]具体的には、最終草案では次のように述べられている。

第 1 項の例外として、特定の証明書または証明書セットのセキュリティ侵害または整合性の損失に関連する実証された懸念がある場合にのみ、Web ブラウザはその証明書または証明書セットに関して予防措置を講じることができます。

これは、ブラウザベンダーがブラウザのセキュリティを維持するために証明書の透明性などのメカニズムを引き続き使用できると解釈されている。^[32]欧州委員会の第45条の改正に関する声明は、この声明を明確にし、ブラウザベンダーとの合意を通じてブラウザの「独自のセキュリティポリシー」に制限が課されないことを示しています。^[33]

データベース情報は、何らかのID 番号にリンクされている必要があります。個人が個人情報にアクセスする権利を持っていることを証明するには、いくつかの手順が必要です。

• デジタル証明書など、ある国で開発された方法を通じて、人と番号を結び付けることができます。
• 数値を特定の情報に結び付ける作業。データベースで実行されます。
• eIDAS の場合、情報を持つ国が使用する番号と、デジタル証明書を発行する国が使用する番号を関連付ける必要があります。

eIDASは、名前と生年月日を最低限の身元の概念としている。しかし、より機密性の高い情報にアクセスするには、2つの国で発行された身分証明書が同一人物を指しているという何らかの証明が必要である。^[34]

2019年10月、セキュリティ研究者によってeIDAS-Node （欧州委員会^[35]が提供するeID eIDASプロファイルのサンプル実装）に2つのセキュリティ上の欠陥が発見されました。両方の脆弱性はeIDAS-Nodeのバージョン2.3.1で修正されました。^[36]

欧州連合は^{[いつ? ]} eIDAS 互換の欧州自己主権アイデンティティフレームワーク(ESSIF)の作成を開始しましたが^[要出典]、多くの国では、ユーザーは eIDAS サービスを利用するには Google または Apple の顧客である必要があります。

欧州連合信頼リスト（EUTL）は、EU eIDAS電子署名規制に最高レベルの準拠を提供するために特別に認定された200を超えるアクティブおよびレガシーの信頼サービスプロバイダー（TSP）の公開リストです。^[37]

• 中国:中国RealDID
• AdESと長期検証(LTV)
• パデス
• 多要素認証
• シングルデジタルゲートウェイ
• 米国:国際および国内商取引における電子署名法および統一電子取引法( UETA )

無料辞書のウィクショナリーでOOTSを調べてください。

• 2014年7月23日のEUR-Lexの域内市場における電子取引のための電子識別および信頼サービスに関する規則（EU）第910/2014号
• 2024年4月11日の規則 (EU) 2024/1183は、EUR-Lexにおける欧州デジタルアイデンティティフレームワークの確立に関する規則 (EU) No 910/2014を改正する。