EUデジタルアイデンティティウォレット（EUDIW）の実施規則案を読み解く

2024年8月12日に、欧州委員会よりEUデジタルアイデンティティウォレット（EUDIW）についての実施規則（implementing regulation）の案として、2024年9月9日をフィードバックの期限とした5つの文書が公開された。

背景として、2024年4月11日に欧州議会で規則（EU）No 2024/1183（2014年に成立したeIDASを改正して欧州デジタルアイデンティティフレームワークを設立する規則。一般にはeIDAS2などと呼ばれており、本記事でもeIDAS2と表記する。）が成立している。今回の文書は、この規則で欧州委員会によって実施法（implementing acts）として確立されることが求められている、EUデジタルアイデンティティウォレットの参照標準や仕様および手順についてである。

今回公開された文書群は、2024年11月21日までに確立される求められる実施法の中でも、eIDAS2で追加された第5a条(23)と第5c条(6)で求められているものの案である。

第5a条(23)で求められているEUDIWについての、今回公開された実装規則案は以下の4つである。

※PID：個人ないし法人、もしくは他の自然人ないし法人を代表する自然人のアイデンティティを確立するためのデータ）、EAA：属性電子アテステーション

第5c条(6)で求められているEUDIWの認証についての、今回公開された実測規則案は以下の一つである。

ちなみに、以前に別記事で解説したEUDIW ARF（Architecture and Reference Framework：アーキテクチャー参照フレームワーク）は実施規則への参照となることが目的とされていたものの、例えばEUDIW ARF 1.4版までは「ウォレットインスタンス」と呼称されていたものが今回の実施規則案では実質的に「ウォレットユニット」になっているなど、表現などでも異なる箇所が散見される。

本記事では、今回公開された実施規則案の内容を以前に取り上げたEUDIW ARF1.3版や、その後公表された1.4版ともを比較し、主な変更点を取り上げつつ、その他の要点を抽出し、欧州委員会としてEUDIWをどのようなものにしたいのかを読み解いていく。

EUデジタルアイデンティティウォレット（EUDIW）の技術実装リファレンス（ARF）を読み解く

なお、本記事の分量の都合上として、ARFからの変更点や実施規則案のすべての内容を網羅できているわけでは無い。

• eIDASでは”authentication”という単語が「自然人または法人のeID（自然人ないし法人、もしくは他の自然人ないし法人を代表する自然人を一意に表明するPIDを利用するプロセス）の確認や、電子形式でデータの出所と完全性の確認を可能にする電子的プロセス」というように幅広い意味とされている。また、”authentication”を「認証」とするとcertificationの訳語でもある「認証」と混同が発生する。そのため、本記事では実施規則案などでの”authentication”を、あえてカタカナ表記の「オーセンティケーション」と表記する。

対応するプロトコルとインターフェース

最初にウォレットソリューションのインターフェースとプロトコルへのルールについての実装規則案の文書から読み進めていく。

2024年8月12日公開のEUDIWの対応プロトコルとインターフェースの内容を基にした概観像

まず、ウォレットユニット（ウォレット提供者が各ウォレットユーザーに提供するウォレットインスタンス、ウォレットセキュア暗号アプリケーション、ウォレットセキュア暗号装置を含めるウォレットソリューションの一意な設定）に格納されるPID／EAAについて、それらの発行要求先は真正かつ有効なウォレットRP（relying party）アクセス証明書を持つPID／EAA提供者（provider）のみとされた。また、ウォレットユニットは、PID／EAAの発行要求を行う前に、PID／EAA提供者のウォレットRPアクセス証明書のオーセンティケーションと確認（validation）を行うものともされている。

ウォレットRPアクセス証明書は、その名の通りデジタルでのやり取りにて公共または民間のサービスを提供するにあたってウォレットユニットに依拠するRP（relying party）のオーセンティケーションと確認を行うeシールまたは電子署名のための証明書と定義されている。他方で、本文中ではPID／EAA提供者もウォレットRPアクセス証明書を持つと記述されており、上述の通りウォレットユニットがPID／EAA提供者について確認するために用いられている。ウォレットRPアクセス証明書は、その使われ方からして、EUDIW ARF 1.4版での「アクセス証明書」に相当するものと推察する。

ウォレットRPに対しての属性の提示では、やり取りするウォレットRPについて上述したウォレットRPアクセス証明書を用いてウォレットユニットが同じくオーセンティケーションと確認を行うとされている。

他に、近接だけでなく遠隔での属性の提示手法として準拠する標準は、モバイル運転免許証（mDL）についての国際標準であるISO/IEC 18013-5:2021のみが挙げられた。他方で、遠隔で属性を提示するための仕様としてARFで記載があったOpenID for Verifiable Presentationsなどの他の提示方法は今回の実装規則案では記載されていない。

また、データを不法や不審に受け取ろうとするウォレットRPの通報については、eIDAS2の第5a条やARF 1.4版の6.6項および本文書の前文(7)では通報先は国家の「データ保護当局」（data protection authority）とされているが、本文書の第7条では規則（EU）2016/679（GDPR）の第51条で定められている各加盟国の「監督権威」（supervisory authorities）と表記が少し異なっている。この表記の違いの理由については説明がなされていない。

完全性とコア機能

次に、ウォレットの完全性（integrity）とコア機能（core functionalities）についての実装規則案とされている文書を見ていく。

2024年8月12日公開のEUDIWの完全性とコア機能の内容を基にした概観像

まず、ウォレット提供者の必須事項として、各ウォレットユニットにウォレットユニットアテステーションを持たせるようにとされた。ウォレットユニットアテステーションはウォレットユニットの構成要素を説明し、当該要素のオーセンティケーションおよび確認を可能とし、ウォレットセキュア暗号装置と暗号学的紐づきを持つとされている。また、ウォレットセキュア暗号アプリケーションが保護する秘密鍵に対応する公開鍵も含むともされている。ウォレットユニットアテステーションは、ARF1.4版まででのウォレットインスタンスアテステーション（WIA）やウォレットトラストエビデンス（WTE）に相当するものと考えられる。

また、ウォレットソリューションが対応するPID／EAAの形式としては、ISO/IEC 18013-5:2021と、W3Cが策定するVerifiable Credentials Data Model 1.1のみが挙げられた。

他には、ARF1.4版ではバックアップとリストアとして要件が定められていたが、今回の実装規則案ではバックアップとリカバリと記載されている。その目的はウォレットユーザーが同じeIDスキームに対応している同じウォレットソリューションの異なるウォレットユニットに無償で移行できるようにするためとされた。

関連して、異なるウォレットソリューションにウォレットユーザーが移行できるようにする理由が、データポータビリティに対応するためとして定められた。ただし、同じウォレットソリューション間での移行とは違い、異なるウォレットソリューションへの移行時の具体的なデータ形式や項目については記述されていない。

最後に、仮名（pseudonyms）の生成は、ウォレットRPに不必要な情報を提供せずにウォレットユーザーが自らをオーセンティケートさせるためと明記された。また、ウォレットソリューションが対応する必要のあるウォレットRP固有の仮名を生成する仕様として、いわゆるパスキー認証の一つであるFIDO2で用いられるプロトコルのWebAuthnが挙げられたことが今までのARFとは大きく異なっている。既に多くのWebサービス側で導入が進んでいるパスキー認証のプロトコルの一つであるWebAuthnをEUDIWの仮名の仕組みとして採用することが正式に決まれば、EUDIWが全EU加盟国で提供された際にEUDIWの利用者が様々なWebサービスで仮名の仕組みをスムーズに使えるようになることが期待される。

パスキーとは？｜多くの企業が導入を進めるユーザ認証を最適化する仕組み

PID／EAA

個人ないし法人、もしくは他の自然人ないし法人を代表する自然人のアイデンティティを確立するためのデータであるPIDと、属性電子アテステーションであるEAAのウォレットインスタンスへの発行の実装規則案も見ていく。

PIDの発行に関してはARFからは大きく変わらず、以下のとおりとされた。

• PID提供者はウォレットユーザーに対して、ウォレットソリューションが提供されているeIDスキームに従ってPIDを発行すること。
• ウォレットユニットに発行されたPIDには、PID自体のオーセンティケーションと検証に必要な情報も含めること。
• PIDの発行形式としてはISO/IEC 18013-5:2021で規定されている形式で属性項目はCBORでエンコードされたものと、VC Data Model 1.1で規定されている形式で属性項目は”ison”（注：原文ママ　JSONの記述誤りと推測）でエンコードされたものであること。
• 加盟国は各ウォレットユーザーに発行されたPIDの項目群が一意であることを確保すること。
• 加盟国はPIDの発行に対応しているウォレットソリューションの一覧を公開すること。
• 加盟国は委員会実施規則（EU）2015/1502（eIDASでのeIDの保証レベルの最低技術仕様と手順）で登録に関連する要件に従ってウォレットユーザーを登録（enroll）すること。
• ウォレットユニットにPIDを発行する際に、PID提供者はウォレットRPアクセス証明書を用いて自らの情報を示す。また、PID提供者はウォレット提供者トラステッドリストを用いてウォレットユニットアテステーションのオーセンティケーションと検証を行い、当該ウォレットユニットがPID提供者によって許容されているウォレットソリューションに属していることの確認もすること。

EAAの発行についても、PIDと同様にISO/IEC 18013-5:2021とVC Data Model 1.1に準拠することが求められている。また、PID提供者と同様にEAA提供者はウォレットRPアクセス証明書で自らの情報を示すことも求められている。

また、PID／EAA提供者の、PID／EAAの失効に関する要件としては以下のとおりとされた。

• PID／EAAが失効される条件も必要に応じて含めて、有効状態管理のポリシーを公開すること。
• PID／EAAの失効は、当該PID／EAAの発行者のみができる。失効した際にはPID／EAAの対象のウォレットユーザーに対して、理由とともに通知すること。
• 失効はPID／EAAが保管されているウォレットユニットのウォレットユーザーの要求か、PID／EAAのセキュリティか信頼が侵害された際、ウォレットユーザーが死亡または消滅した際、一つ以上の属性が変わったことが明らかになった際、ウォレットユニットが失効した際、他に提供者が定めた際にされること。
• PID／EAAの失効は撤回できないようにすること。
• PID／EAAの失効がなされた際の有効状態について確認できるように公開し、確認する場所の情報をPID／EAA内に載せること。

さらに、PIDに含まれる属性項目の変遷は以下のとおり。今までのARFを概ね踏襲しつつも必須項目が増えたり、顔容貌画像が任意項目だが追加されたりした。

注釈）〇：必須項目

△：任意項目

×：なし

※1 EUDIW ARF 1.4版では、任意項目とされていても、IDマッチングのために生誕時の苗字、生誕時の名前、性別、国籍、生誕場所各属性、住所各属性のうちいずれか4つを入れることが必須となっていた。

※2 EUDIW ARFでは”gender”という項目名だったのが、実施規則案では”sex”となっている。

トラストフレームワーク

ARFには無かった「トラストフレームワーク」という題名で、トラストフレームワークを確立するためのものと本文中に記載もされている。ただし、EUDIWエコシステムの参加者の基準や条件および審査についてなどは書かれれておらず、EUの各加盟国が欧州委員会に対して何の情報を伝達（通知）するかのみ記述した実施規則案となっている。

実施規則案の目的としては、加盟国がウォレットRPについて登録されている情報を公開するための電子的なレジスター自体およびその場所とレジスターを確立する自然人ないし法人であるレジストラの識別の確認、登録されたウォレットRPの身元、ウォレットユニットの真正性と有効性、ウォレット提供者の識別、PIDの真正性、PID提供者の識別の確認を目的としたトラストフレームワークを確立すると記載されている。

まず、欧州委員会は加盟国に対して安全な電子的通知方法（secure electronic notification system）を提供するとされた。ARFでも加盟国から欧州委員会への通知についての規定はあったが、実装規則案では加盟国はレジストラとレジスター、ウォレット提供者、PID提供者、ウォレットRPアクセス証明書提供者についての名称、設立された加盟国、連絡先、追加情報を得られるウェブサイトのURL、生成した電子署名ないしeシールを検証するために使える証明書といった情報を当該の安全な電子通知システムを用いて送信（通知）するとということが記載された。

そして、欧州委員会は加盟国から通知された必要な情報をまとめたリストを確立、維持、公開するともされた。

ここで興味深いのは、eIDAS2の第22条では欧州委員会ではなく各加盟国が適格トラストサービス提供者に関する情報を含めた「トラステッドリスト」を確立、維持、公開すると記述されているが、実装規則案では加盟国ではなく欧州委員会が、トラステッドリストではなく加盟国から通知された上述の必要な情報をまとめたリストを確立、維持、公開することになっている点だ。さらにはこのトラストフレームワークについての実施規則案では「トラステッドリスト」という用語が一度も使われていない。

認証（certification）

最後の認証についての実施規則案は他の4つとは構成も少し異なり、第1条が対象事項と範囲（subject matter and scope）ではなく、用語定義である。

第1章以降は、ウォレットソリューションとそのウォレットソリューションが提供されるeIDスキームのための国家認証スキーム（national certification schemes）、（国家認定）スキームオーナーへの要件、ウォレット提供者への要件、認証機関（certification bodies）、適合性評価活動、認定ライフサイクル、情報記録と保護についてといった構成となっている。

まず、この認証で用いられる国家認証スキームは欧州サイバーセキュリティ認証スキームが未制定ないしサイバーセキュリティの要件を部分的にしか対応していない状況下で、機能とサイバーセキュリティの両方の要件に対応するためと記載されている。そのため、欧州サイバーセキュリティ認証スキームが実装された暁には、同じ範囲の国家認証スキーマは移行期間経過後に認定証の発行を取りやめるとも書かれている。

そして、この認証の範囲としては、ウォレットやウォレットセキュア暗号アプリケーション、およびウォレットソリューションのソフトウェアコンポーネントに含まれるウォレットインスタンスが対象で、それらが動作するデバイスやプラットフォームは認証の対象外と記載されている。

国家認証スキームは加盟国が確立し、スキームの作成や維持の責任を負うオーナーも加盟国が定めるとされた。オーナーは適合性評価機関またはそのグループ、政府機関、業界団体、ないし他の機関が担えると記載されている。

確立された国家認証スキームに適合していることの証明書を発行する主体である認証機関は、適合性評価の国際標準であるISO/IEC 17065:2012に沿って認定されることになっている。ただし、誰が認証機関を認定するのかは実装規則案では明記されていない。

また、ウォレットソリューションとeIDスキームへの適合性認定証の発行、停止、取消の際には監督機関（supervisory body）に通知するとも記載された。他方で、通知を受け取る監督機関が何を行うのかは記述がない。

国家認証スキーム自体には評価活動、ウォレットソリューションとeIDスキームの実装の監査、脆弱性診断などの評価をCAB（conformity accreditation body：適合性評価機関）が行う際に用いる方法と手順が含まれるとことが記述されている。

ここで気になる点としては、ARF1.4版でEUDIWの認証を行うとされていたCABと今回の実装規則案で出てくる認証機関が同一の主体なのかが不明瞭であるのと、同じくARF1.4版でCABを認定するとされていたNAB（national accreditation body：国家監督機関）の役割については本実装規則案で記載がされていないことが挙げられる。

まとめ

対応されるプロトコルとインターフェース、完全性とコア機能、PID／EAA、トラストフレームワーク、EUDIW自体の認証についての実装規則案から、EUDIWがどのようなプロトコルとデータ形式でPID／EAA提供者やRPとやり取りするか、PID／EAA自体はどのようなものになるか、各加盟国が欧州委員会に対してどのような情報を伝達するのか、そしてEUDIWのソフトウェアコンポーネントの認証に係る役割を読み解くことができた。

eIDAS2に基づき、EUDIWに関するいくつかの実施法は2024年11月21日までに正式に決定される必要があり、今回読み解いた実施規則についてもフィードバックを踏まえて更新がなされた最終版が公開される。そして、公式な実施規則が発効されてから24か月（2年）以内に、各加盟国が少なくとも一つのデジタルアイデンティティウォレット（EUDIW）を提供することになっている。

EUDIWを含めたデジタルアイデンティティウォレットの取り組みは日本のみならず世界的にも関心が高まっており、今後のeIDASやEUDIWに関する規則などの動きも注目に値すると考えられる。当社としてもこれらの動きは注視して情報収集と分析を継続していく。

[1] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14339-European-Digital-Identity-Wallets-protocols-and-interfaces-to-be-supported_en

[2] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14341-European-Digital-Identity-Wallets-integrity-and-core-functionalities_en

[3] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14340-European-Digital-Identity-Wallets-person-identification-data-and-electronic-attestations-of-attributes_en

[4] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14338-European-Digital-Identity-Wallets-trust-framework_en

[5] https://ec.europa.eu/info/law/better-regulation/have-your-say/initiatives/14337-European-Digital-Identity-Wallets-certification_en