コメントなしFacebookTwitterデジタル庁からのワクチンパスポートに関するパブリックコメント要請が出ていたのでそれに返答しました。以下はそのコピーです。記録のために収録しておきます。関しては、ICAOの規定が世界で通用するようになることが想定されますので、この採用には賛成です。取得に関しては、OCR読み取りを想定されておられますが、実際にやってみるとパスポートのICカードも比較的簡単に読めます。この場合署名検証もでき、データとしての顔写真も取得可能です。(SHC)ベースということで国際規格に配慮していることが感じ取れ好感が持てました。一方で、いくつか気になった点がありますので以下記載いたします。ICAOから鍵取得ができる海外渡航分と違い、国内向けの記載の内容からは当該SHCの検証に使う鍵をどこから取得するのか、発行者の正当性をどのように確認するのかがわかりませんでした。米国のSHCの場合、この辺りはトラストフレームワークとして別途策定するというようなことであろうかと思います。したがって、日本での実装のための規格である本書でも、そこを明確化する必要があると思われます。Presentationが定義されていません。そのため、VCのメリットとしてよく言われる選択的属性提供が実現できません。結果、二次元バーコードに含まれる情報は常に全て店舗に渡ってしまいます。海外渡航用は全提示でも、そもそも国境検査における使い方が想定されるものなので問題は少ないのに対し、国内利用を想定する場合、提供対象が不特定多数になりますので望ましくありません。加えて、顔写真など肉体と情報を結びつける情報がないため、ワクチン接種証明書を貸し出すことも可能です。顔写真付きの身分証明書の提出を同時に求めることによって実効性を担保する、のどちらかになるように思われます。実際、欧州では国によっていずれかの対応になっているようです。後者は当然より大きな過剰提供問題を産んでいます。これは、それぞれの域内での雑多な事情を鑑みて、最大公約数的な規格にしたため、もっと言うと紙を前提としたためと考えられます。日本においてはマイナンバーカードを必須としていることから、対象人口にはより効果的なソリューションも提供可能かと思います。これは、ICカードから券面記載事項である顔写真を抜き出し、これとワクチン情報を共に署名付きで保存することによって接種情報と肉体情報を結びつけるというものです。店舗などの受け取り手には、状況に合わせてエンコーディングして渡す形になります。(SIOP)方式などが考えられるでしょうし(方式1)、受け手のみがネットワーク接続できる場合には、NFCないしQRコードでアクセス用のワンタイムコードと情報の格納先を引き渡し、そこから情報を取得することも考えられます(方式2)。発行者署名}の提供だけで事足りるはずです。これによって、氏名や生年月日やこれと組み合わせることでスーパークッキーとなり得るロット番号などの提供はしないですみます。(顔写真の提供は、本人がそこにいるのですからプライバシーインパクトは少ないと考えられます。検証に使われるクライアントの認証と、正当なクライアントのリストは必要です。接種券番号と生年月日は確かに簡便ですが、やり方によってはこれは生年月日という人によってはセンシティブな情報を予約サイトに入力させることになるように思われます。そもそもこれだと認証も何もしていないことになりますし、この場合のセキュリティターゲットはどうなっているのでしょうか?場合によっては単に接種券番号だけでも目的は達せられるように思います。これが上記の二次元コード付き証明書を前提にしている場合は、上記の(方式1)のようなものを使うことによってより確実な情報提供が可能になると考えられます。【全体に対して】今回の資料は大変簡潔であり感銘を受けましたが、一方では以下のことが不明であります。店舗等)ステークホルダーの関心事セキュリティ目標(本人以外が提示していたら検出できる、発行者を確認できる、改ざんを検知できる等)プライバシー評価(そのサービスにおいて元々提供されていたもの以上の、ワクチン有効期間内か以外の個人を選別することに使える情報を追加で提供していないかなど)こういったことの記載があれば、より適切なコメントができたと思います。最終版の発行に当たってはこうしたことも合わせてまとめていただければ幸甚です。コメントをキャンセルメールアドレスが公開されることはありません。コメントデータの処理方法の詳細はこちらをご覧ください。reservedトップ%d人のブロガーが「いいね」をつけました。