スマートID

Smart-IDは、エストニアのSK ID Solutions社が開発した電子認証ツールです。ユーザーはさまざまな電子サービスにログインしたり、電子署名で文書に署名したりすることができます。^[1]

Smart-IDは、欧州連合の eIDAS 規則および欧州中央銀行の安全な認証ソリューションの基準を満たしています。^{[2] Smart-IDは、}適格電子署名（QES）を発行できる適格署名作成デバイス（QSCD）です。 ^[2] Smart-IDアプリはiOSとAndroidの両方のデバイスと互換性があり、 SIMカードを必要としません。^[3] 2021年までに、Smart-IDアプリケーションはHuawei AppGalleryでリリースされました。^[3] 2023年5月現在、Smart-IDにはバルト諸国（ラトビア、リトアニア、エストニア）全体で3,298,969人のアクティブユーザーがいます。^[4]毎月、Smart-IDは7,900万件のトランザクションを処理します。^[5] 2023年3月、Smart-IDユーザーは異例の8,500万件のトランザクションを行いました。^[6]

2016年11月、SK IDソリューションズは年次会議で初めてSmart-IDツールを発表しました。2017年2月には、eKool、Starman、Tallinn Kaubamaja Gruppが初めて電子サービスにSmart-ID認証を実装しました。^{[7] 2017年3月には、}バルト三国すべてでSEB銀行とSwedbankの オンラインバンキングに認証オプションとしてSmart-IDが追加されました。^[8]

以前はDigiDocとして知られていたDokobitは、 2017年4月にSmart-IDを使用した電子サービスを利用する機能を顧客に提供し始めました。 ^[9] 2019年11月までに100を超えるサービスプロバイダーが、サービスの認証ソリューションとしてSmart-IDを導入しました。

SK IDソリューションズは、2018年11月8日の年次会議で、厳格な認証プロセスを経て、 Smart-IDが欧州連合における最高レベルの認定電子署名であるQSCD[8]レベルと互換性があると認定されたことを明らかにした。^[10]その結果、手書き署名のデジタル版であるSmart-QESレベルIDの電子署名が、ツールに登録したすべてのユーザーに利用可能になった。この署名は、すべての欧州連合加盟国で受け入れられている。^[11]

2019年8月26日、エストニア情報システム監督局の専門家がSmart-ID（ISSA）を審査した。eIDAS規則に規定された方法に基づき、専門家委員会はSmart-IDが高度な電子識別保証を提供すると結論付けた。SK IDソリューションズとRIAは2019年9月に契約を締結し、Smart-IDがRIAの中央認証サービスを介してエストニアの国家電子サービスを認証できるようにした。このサービスは60以上の公的機関で使用されている。^{[12] [13]} 3年前に作成されたSmart-IDアカウントは2020年1月に期限切れとなった。そのため、アカウントを更新し、必須の更新を行う必要があった。^{[14] [15] [16]}

2020年2月、SK IDソリューションズは、これまではモバイルID経由のIDカードでのみ可能だった国家デジタル署名ソフトウェアDigiDoc4でSmart-IDを使用してデジタル署名を行うことができると発表した。この機能を使用するには、ユーザーはコンピューターに少なくともバージョン4.2.4.71以降のDigiDoc4ソフトウェアをインストールしている必要がある。^{[17] [18]}

2020年2月より、 IDカードやパスポートの生体認証情報を使ってSmart-IDアカウントを作成できるようになりましたが、これは以前にSmart-IDアカウントを使用したことがあるユーザーに限られます。2022年10月より、リトアニアでは13～17歳の未成年者も生体認証情報を使ってSmart-IDアカウントを作成できるようになりました。登録には親または法定後見人の承認が必要です。^{[19] SK ID Solutionsは、}英国のiProovおよびオランダのInnoValorと共同でこの新しいソリューションを開発しました。ドイツの認証会社TÜV Informationstechnik GmbHが評価しました。^{[20] [21]}

2023年5月以降、Smart-IDはエストニアで企業の年次報告書を提出するために使用でき、PIN2を使用して電子商取引登録簿内のあらゆるものにデジタル署名することができます。^[22]

Smart-IDアプリは、Google PlayとAppleのApp Storeからダウンロードできます。Android 4.4とiOS 11は、Smart-IDでサポートされている最も古いオペレーティングシステムのバージョンです。^[23] Smart-IDは、インテリジェントデバイス（ユーザーが所有するもの）とPIN（ユーザーが知っているもの）を組み合わせた2要素認証を前提として機能します。^[1] 新規ユーザーは、最初にIDカードまたは携帯電話番号で認証し、次に手動または自動で生成されたPIN1コードとPIN2コードを確認する必要があります。最初のPINは、電子バンキングまたは電子サービスにアクセスする際に個人の身元を認証するために使用され、2番目のPINは電子署名をサポートし、トランザクション（例：送金）を認証するために使用されます。^[24] PIN1コードの長さは4桁、PIN2コードは5桁でなければなりません。^[25] 電子サービスにログインするには、ユーザーは認証方法としてSmart-IDを使用し、一意のSmart-IDユーザーIDを入力する必要があります。ソフトウェアがインストールされているユーザーのスマートデバイスに通知が開き、確認コードが表示されます。コードが電子サービスによってユーザーに提示されたコードと一致した場合、ユーザーはPIN1コードを入力して一致を確認できます。ユーザーはデジタル署名を行う際にPIN2コードでアクションを確認する必要があります。^[25] Smart-IDアカウントの有効期間は3年間です。レポートはいつでも無料で更新、変更、削除できます。Smart-IDは、エストニア語、ラトビア語、リトアニア語、ロシア語、英語の5つの言語で利用できます。^[26]

2021年に実施された国際調査では、バルト諸国ではスマートIDが最も信頼性の高い認証ソリューションであることが明らかになりました。^[27] 2023年1月、エストニアの国家認証サービス（TARA）にアクセスするためにスマートIDが使用された回数は、2022年7月以来初めてモバイルIDとIDカードを上回りました。^[28]

Smart-IDは、Cyber​​neticaのSplitKey認証およびデジタル署名プラットフォーム技術に基づいており、同社はこの技術について特許を申請している。^{[29] [30]} この技術では、公開鍵暗号、デジタル署名方式、重要な公共インフラストラクチャがすべて使用されている。 ^[29]ユーザーのPINはデバイスに保存されず、Smart-IDアプリで秘密鍵を復号化するためにのみ必要となる。^{[29]ユーザーが}PINを入力すると、秘密鍵が解読され、その答えがSmart-IDサーバーに送信され、アプリによって提供された鍵の一部がサーバーの暗号化された鍵と結合される。^{[29]ユーザーが間違った}PINを3回連続で 入力すると、アプリは3時間ユーザーによるアクセスをブロックする。これがもう一度発生すると、アプリは24時間ロックされる。これが3回目になると、アカウントは永久に無効になる。アカウントが作成されると、 PINを変更または回復することはできない。アカウントが永久にブロックされた場合、ユーザーは新しいアカウントを作成する必要がある。^[31] Smart-IDはAppleとGoogleのメッセージングネットワークを使用して、新しいデータがサーバーに保存されたときにアプリに通知します。^[32]

エストニア情報システム管理者が2019年4月に発表した月次レポートによると、 2019年2月、正体不明の犯罪者が、フィッシング詐欺の顧客のテキストメッセージやウェブサイトのアドレスから盗んだIDを使ってスマートIDアカウントを作成しようとした。ラトビアの情報技術セキュリティインシデント評価機関Certも、3月1日にこれらの侵入について通知を受けた。詐欺師は銀行の担当者を装って潜在的な被害者にメールを送信した。メールは、ユーザーを偽の銀行ログインページにリダイレクトした後、フィッシングページにリンクしていた。被害者は、身分証明書情報とPIN1コードを使用してログインするよう求められた。その後、詐欺師は新しいスマートIDアカウントの生成プロセスを開始した。その結果、被害者はPIN2番号を入力する必要があり、これにより詐欺師は被害者の個人情報で新しいタブの設定を完了することができた。エストニアの詐欺師は、スマートIDアカウントと被害者のデータを使用して、スマートIDを利用して複数の電子サービスにログインすることができた。詐欺師は被害者に代わってオンラインバンキングサービスも利用した。その後、エストニアの情報システム管理者は数人の被害者を特定し、そのうちの何人かは金銭的損失も経験していた。^[33] エストニアの情報システム管理者はSK IDソリューションに事件の完全な報告書を要求した。同組織は情報を受け取って同社を批判しないことを選択したが、Smart-IDアカウントの作成手順を見直すことを提案した。エストニア銀行協会によると、エストニアの銀行はSmart-IDの使用を中止しておらず、中止する必要はないと考えている。Smart-IDは2019年9月に徹底的なレビュープロセスにさらされ、この認証手段のセキュリティレベルが判断された。レビュー担当者は欠陥を発見せず、SK IDソリューションとエストニアの情報システム管理者は契約を締結した。エストニアはその後、Smart-IDと他の認証メカニズムを中央公共サービスポータルに導入した。^[34]