Verifiable Credentials（VC）
Verifiable Credentials（VC）とは、発行者の電子署名によって改ざんの有無を確認できるデジタルの証明書です。 社員証や資格証、委任状にあたるものをデータとして持ち運び、受け取った相手がその場で本物かどうかを確かめられます。
別表記：VC／検証可能なデジタル証明／検証可能な認証情報／検証可能な資格情報／検証可能なクレデンシャル／ベリファイアブル・クレデンシャル／Verifiable Credential（単数形）
何のための技術か
いま、相手が本当にその会社の社員かどうかを厳密に確かめようとすると、その会社に電話をかけて在籍を照会することになります。時間がかかり、担当者が不在なら待たされ、土日なら翌営業日です。資格の確認も、証書のコピーを送ってもらうか、認定団体に問い合わせるかになります。
一方、紙の社員証はその場で通用します。会社のロゴや様式から発行元が分かり、特殊な印刷で偽造しにくく、有効期限が印字されているからです。訪問先の受付は、本社に電話をかけずに判断できます。
VCは、この「その場で確かめられる」という性質を、データで実現します。
どういう仕組みで確かめるのか
発行する側は、対になった2つの鍵を持ちます。秘密鍵と公開鍵です。秘密鍵は発行者だけが持ち、公開鍵は誰でも入手できる場所に置いておきます。
証明を作るとき、発行者は内容に対して秘密鍵で署名を付けます。受け取った側は、公開されている公開鍵を使って、その署名が正しいかを計算で確かめます。内容が1文字でも書き換えられていれば検証は通りません。秘密鍵を持たない人は、そもそも署名を作れません。
実印と印鑑証明書の関係に近いと考えると、感覚がつかみやすいかもしれません。実印は本人しか押せず、印鑑証明書は誰でも取り寄せて照合できます。
誰が発行し、誰が確かめるのか
3つの役割が登場します。
証明を作って署名する側を発行者と呼びます。会社の人事部、大学、行政機関、社内の管理部門などがこれにあたります。
証明を受け取って保管し、必要なときに提示する側が保有者です。社員本人の場合もあれば、AIが業務を担う場合はそのAIになることもあります。
提示された証明を確認する側が検証者です。取引先のシステムや社内の承認の仕組みが担います。検証は計算処理なので、人が目で見て判断するわけではありません。担当者が見るのは、システムが確かめた結果です。
VCで確認できること、できないこと
確認できるのは次の5点です。
- 誰が発行したものか
- 発行後に内容が書き換えられていないか
- 有効期限内か
- 発行者が後から失効させていないか
- 提示している相手が正当な保有者か
一方、書かれている内容が事実かどうかは確認できません。 人事部が「この人は課長である」と署名すれば、VCとしては正しく検証を通ります。その記載が事実かどうかは、人事部の責任です。
VCが保証するのは「この発行者が、たしかにこう言った」というところまでです。その発行者を信用してよいかどうかは、確認する側が別に判断することになります。
何に使えるのか
資格や免許の証明、社員の在籍証明、学位や修了の証明、取引先の審査に使う書類、Web上での発信者の所属証明など、これまで紙や口頭で確認していた領域が対象になります。
AIエージェントの権限証明にも使われます。AIが人に代わって業務を実行するとき、そのAIが誰の委任を受け、何をどこまで実行してよいのかを示す必要があります。たとえば次のような内容を、署名付きでAIに持たせます。
|
発行者 |
情報システム部 |
|
委任者 |
営業部長 |
|
対象のAI |
営業支援AI |
|
できること |
営業部の共有フォルダを読む／顧客管理システムを参照する |
|
範囲 |
読み取りのみ。削除・変更・社外への送信は含まない |
|
期限 |
発行から3か月 |
こうしておくと、AIが指示を想定外に解釈しても、読むこと以外はできません。3か月で権限が切れます。
必要な項目だけを見せられる
証明に含まれる情報のうち、その場で必要なものだけを提示し、それ以外は伏せられます。これを選択的開示と呼びます。
年齢制限の確認であれば、生年月日を見せずに「基準を満たしている」ことだけを示せます。所属部門を示したいだけなら、氏名まで開示する必要はありません。見せる側は余計な情報を出さずに済み、確認する側も預からずに済みます。
標準化の状況
仕様はW3C（World Wide Web Consortium）が定めています。HTMLなどのWeb標準を策定している国際的な団体で、特定の企業の独自技術ではありません。
裏を返せば、技術そのものは誰でも使えます。差がつくのは、どの業務に、誰が、どんな証明を発行するのかという設計のほうです。
よくある誤解：ブロックチェーンが必要なのか
必須ではありません。 検証は署名の計算で完結するため、参加者全員で同じ記録を共有する必要がありません。証明の中身を台帳に書き込むこともしません。個人情報を扱う場合はむしろ、台帳に書き込むと後から消せなくなるため、書き込まない設計が選ばれます。
ベンチャーキャピタルの略称と同じ表記になります。 文脈によっては誤読されるため、初出では「VC（Verifiable Credentials）」と併記するのが安全です。
