IPAセキュリティセンター

電子政府情報セキュリティ技術開発（平成13年度）

IPAでは、情報セキュリティ研究開発の成果をフリ－ソフトウェアなどとしてWeb上で公開し、その成果の普及に努めていきます。
本技術開発は、2003年度までに行政手続きを電子化する電子政府の推進において情報セキュリティ面が制約要因とならないよう、電子政府における情報セキュリティ確保のための基盤技術の開発を行うことを目的として、公募によって採択され実施されたものです。
なお、継続案件に関しては、平成12年度成果もご覧下さい。

●W3C勧告準拠のXML署名基盤技術開発とリファレンス提供 (継続)
実施機関：	開発者：日本電気株式会社
概要：	電子商取引や電子政府など多くのシステムで、電子文書を交換するための標準フォーマットとしてXMLがデファクト標準として定着してきている。これらのXML文書に電子署名を付与する文書の標準フォーマット（XML署名）についても、XMLの標準化団体であるW3Cが、IETFと共同で標準化を行っている。前年度開発したW3C勧告準拠のXML署名基盤ソフトをリファレンスソフトとして公開すると供に、標準化団体にてXML署名API標準化に貢献する。また、XML署名を用いてマルチベンダ環境で実証実験を行うことにより、電子政府プロジェクトにおいてXML署名を用いた署名付与/検証の相互運用性確保を目標とする。	総括報告書 (57KB)
成果物:	■XML-Signature ソフトウェアライブラリダウンロード ■相互運用ガイドライン [156KB]

●電子政府情報セキュリティ技術支援に関する調査と技術開発 (継続)
実施機関：	株式会社三菱総合研究所
概要：	電子政府の情報セキュリティを確保するに当たり、緊急時に各省庁が技術的な対応を行うことが可能な枠組みを構築することが、非常に重要である。そのため、前年度提案した「電子政府情報セキュリティ支援センター」(仮称、前年段階では「電子政府支援センター」)の設置を前提として、この組織において、緊急時に各省庁のニーズに適合した情報を提供することが可能となる情報セキュリティ技術データベースを中心とした支援システムの構築を行うことを目的とする。	総括報告書 (141KB)

●システムのセキュリティ評価技術に関する研究開発 (継続)
実施機関：	社団法人電子情報技術産業協会
概要：	平成12年度は、モデルシステムに基づいてシステムセキュリティ評価技術の開発を行った。このシステムセキュリティ評価技術は、開発作業に影響を与えるものであり、開発に多大な負荷を強要するものであれば、技術自身が意味を持たないものになってしまう。平成13年度は、平成12年度に開発したシステムセキュリティ評価技法を実際の電子政府システムの開発に適用し、開発面から、その実用性、有効性、負荷などについての実証を行う。また、平成12年度に開発したシステム評価支援ツールを、実際の開発作業で利用し，利便性などの面からの改善を行う。平成14年度については、平成13に開発した電子政府システムに対して、セキュリティ評価を実施し、評価技術を検証する。評価は本プロジェクトでの実施と併行して、将来の相互承認合意のために、海外の評価・認証機関にも依頼する。	総括報告書 (50KB)
成果物:	■セキュリティ設計評価支援ツール

●プロセスアセスメント技術を適用したシステムセキュリティ評価技術の開発 (継続)
実施機関：	株式会社情報数理研究所
概要：	ISO/IEC 15408 あるいは ISO/IEC 17799 が注目を浴びつつあるが、このようなセキュリティ規格を満足するシステムを開発／運用するためのプロセスを重視する必要がある。平成12年度において「システムセキュリティ・プロセスアセスメント手法定義書（SSE-CMM-J）」を開発し、セキュリティプロセスモデルおよび組織のプロセス能力に対する評価手法を示した。一方、電子政府向けシステム調達においてはベンダーのセキュリティプロセス能力を評価する局面も想定され、当該評価モデル・手法の実用化に向けた基盤の構築・整備が急がれる。また本提案にはベンダーの自主的プロセス改善活動を支援するWEB公開ツールの開発も含まれており、セキュリティに対する意識を高め、プロセス改善を促進する効果も期待できる。	総括報告書 (185KB)
成果物:	■アセッサ資格要件定義書 [430KB] ■H12年度調査報告書 [1686KB] ■システムセキュリティ・プロセスアセスメント手法定義書 [693KB] ■アセッサ支援ツール(最初に使用許諾契約書をお読み下さい)

●セキュリティポリシー策定・運用支援ナレッジマネジメントシステムの開発 (継続)
実施機関：	株式会社日本総合研究所
概要：	本技術開発の目的は、セキュリティポリシー策定の負担を軽減し、効率的に電子政府基盤のセキュリティを高めることを支援することにある。既存のエキスパートシステムや文書管理システムの技術を基礎とし、セキュリティポリシーの策定・実行支援の知識を加えた統合的なナレッジマネジメントシステムの開発により、広く公共及び民間機関・団体の電子政府基盤の構築に資するシステム技術の開発を目標とするものである。	総括報告書 (366KB)
成果物:	■セキュリティポリシー雛形策定に関する調査報告書(H12) [438KB] ■電子政府向けセキュリティポリシー雛形(H12) [88KB] ■セキュリティ情報受け渡しフォーマット定義書(H12) [241KB]

●Crypto-APIの開発 (継続)
実施機関：	三菱電機株式会社
概要：	電子申請や電子調達などの電子政府システムの多くは、PKI（公開鍵基盤）に基づいて構築されようとしているが、これらのシステムの開発・保守性及び相互運用性を高めるために、電子政府対応の利用者側認証システム構築に用いられるPKIライブラリの標準仕様を確立することが重要である。また、電子政府認証基盤用の暗号を利用可能とするとともに、今後のより良い暗号に容易に切り替えられる仕組み等が必要である。本プロジェクトでは、これらのニーズに応えるようなPKIライブラリの標準的API仕様を開発し広く公開して行くことを目標としている。	総括報告書 (59KB)
成果物:	■Crypto-API 仕様書 [571KB] ■検証実験報告書 [413KB]

●GPKI対応電子メールソフトのためのプラグイン開発
実施機関：	株式会社オレンジソフト
概要：	電子政府の実現に向けて、確保しなければならない要件に情報のセキュリティがあげられる。そのため、情報流通の基盤として、政府認証基盤(GPKI)が構築されようとしている。 GPKIに基づいて各種行政手続きが電子化されるわけだが、本提案では、情報伝達のために欠かすことの出来ない手段である電子メールに焦点を当てている。電子メールは、オープンなネットワークで利用されるがゆえに、セキュリティ上のリスクを多く孕んでいる。このリスクを回避することを目的として、暗号技術を電子メールに適用したS/MIMEと呼ばれる標準プロトコルがある。しかし、既存のS/MIMEに対応したソフトウェアはGPKIに対応しておらず、 GPKIを用いた電子化には対応できない。これは電子政府の実現にとって大きな問題になると考えられる。本提案は、S/MIMEプロトコルをGPKIに適応させ、電子メールに秘匿性、完全性を与えることを可能とするアプリケーション・ライブラリを開発することである。	総括報告書 (93KB)

●データ分散保存システム
実施機関：	ジャパンデータコム株式会社
概要：	パ-ソナルコンピュータ程度の設備を使用して、暗号鍵及びデータの安全な管理を提供することによって、重要度の高いデータを保存し、且つ暗号化によるプライバシーの保護に寄与する。本提案では保管すべき大量のデータはリードソロモン符号と暗号化により分散保管し、いくつかのパソコンに保存する。その暗号鍵についてはVSS (Verifiable Secret Sharing)を用いた秘密分散で保管する。それにより地震や火災により複数のパソコンが破壊されても確実にデータが再生できるシステムを構築する。	総括報告書 (73KB)

●タイムスタンプ局と証拠記録局の技術開発
実施機関：	日本電気株式会社
概要：	電子政府認証技術においては、電子文書の交流においては「誰と」「何を」「いつ」行ったかを証明することができなければならないが、このうち、「誰と」「何を」は、既に電子署名において公開鍵認証基盤（PKI）を利用し「認証」で実用化されるところである。しかし、「いつ」といった事項を証明するためには、時刻と証拠記録を残すそれぞれの信頼ある第三者機関を要する。本提案では、既に電子政府で構築された認証局・検証局とともに、新たに時刻を保証するタイムスタンプ局（TSA）と、記録保存局とを相互連携することで「データ検証・認証サーバ（Data Validation and Certification Server）」を構築する。	総括報告書 (87KB)

●不正プログラムおよび不正ドキュメントの調査と検索ソフトウェアの開発
実施機関：	コニックス株式会社
概要：	不正アクセスを目的としたツールやトロイの木馬などの不正プログラム、そしてネットワークの不正行為や犯罪を幇助する不正ドキュメントについて、調査、ファイルのサンプリング、分析を実施する。また不正ファイル検索ソフトのプロトタイプを開発して実証実験を行うことで安全な電子政府の運用に貢献する。	総括報告書 (46KB)

●広域セキュリティ管理のためのセンサアレイシステムの技術開発
実施機関：	株式会社エヌ・ティ・ティ・データ
概要：	ファイアウォール、不正アクセス検知装置等の出入口防御を超える技術の必要性が叫ばれている。特に攻撃者追跡/踏み台検知/内部犯検知等の時間の経過で状態や場所が推移していくような不正行為対策で鍵となるのは、情報収集の広域化、稠密化、情報の体系化、及び相互運用のための標準化である。本提案では、多センサを配備するセンサアレイ技術によって情報収集の広域化と稠密化を実現し、不正アクセス情報の統合と組織化によって情報量の拡大と質の多様化を図る。同時に得られた情報を一元化し、申請者らのネットワーク構成情報利用技術を軸に体系化することで複雑さの増大を抑制する。またその応用として不審者・攻撃者の挙動を集中監視・追跡できる技術を開発する。	総括報告書 (222KB)

●電子申請業務におけるX.509属性証明書を用いた資格確認技術の開発
実施機関：	日立ソフトウェアエンジニアリング株式会社
概要：	従来の申請業務では、当事者本人が申請するとは限らず、各種国家資格を持った代理人が申請業務を行っている場合が多い。また、官公庁や自治体の調達においては、指定業者による入札や情報システムにおけるCMM (Capability Maturity Model、ソフトウェア能力成熟度モデル) に基づいた入札など、指定業者やCMMレベルなどの資格がある。このような場合、国家資格、指定業者、CMMレベルなどの資格の確認することが不可欠である。電子政府が実現しネットワーク経由で非対面で手軽に申請が可能になると、非資格者の代理申請や第三者によるなりすまし申請が発生する可能性が出てくるからである。本テーマでは、これまでのPKIの公開鍵証明書を用いた本人確認や真正性確保では見逃されていた、資格・権限確認を電子的に安全、確実に行う方式を定め、もって円滑で効率的な電子政府の実現に寄与する。	総括報告書 (73KB)

●XML暗号標準のリファレンス実装（XMLセキュリティ関連標準のリファレンス実装）
実施機関：	財団法人情報処理相互運用技術協会
概要：	電子商取引システムなどのインターネットによる情報交換システムにおいては、電子署名の付与や暗号化などのセキュリティ確保が必要となる。ところで、標準化団体であるW3Cは、XML文書のセキュリティ仕様の標準化を検討しており、XML署名については間もなく勧告となる予定である。 XML暗号については、2001年6月26日にワーキングドラフトの第1版が公開されたばかりであり、勧告となるのは2002年5月以降と推定される。本開発は、電子政府システムや民間の電子商取引システム等における情報セキュリティ確保の一環として、電子文書の暗号化技術を実証し標準化を目指す。そのために、電子政府システムや民間の電子商取引システム等で標準的に使用可能な、XML暗号ライブラリ（API仕様書、リファレンスソフトウェア、取扱説明書等）を開発し、平成12年度に開発が行われたXML署名ライブラリとの連動検証を実施する。その結果を踏まえ、XML暗号ライブラリのデファクト標準化を図るとともに、民間の範となる方式を示すことで広く民間を含むXML暗号文書の相互運用性を確保し、電子政府および電子商取引の安全性確保と普及を促進することを目的とする。	総括報告書 (63KB)

問い合わせ／IPA セキュリティセンター
E-mail： isec-info@ipa.go.jp