Issuer（発行者）

Issuer（発行者）とは、デジタルの証明を作り、電子署名を付ける側のことです。 会社の人事部、大学、行政機関、資格の認定団体などがこれにあたります。

別表記：Issuer／発行者／発行主体／イシュアー

前提：どういう仕組みの中の役割か

VC（Verifiable Credentials）と呼ばれる仕組みでは、3つの役割が登場します。証明を発行する側、それを受け取って持ち歩き必要なときに提示する側、そして提示された証明を確認する側です。紙の社員証で言えば、会社が発行し、社員が持ち、訪問先の受付が確認する。この関係の起点にあたるのが発行者です。

発行者は何を保証しているのか

証明を作ることだけが役割ではありません。書かれている内容が事実であることを保証する責任を負います。

この仕組みで確かめられるのは「この発行者が、たしかにこう言った」というところまでです。署名が正しく検証できることと、記載内容が正しいことは別の話で、後者は発行者に預けられています。

誰を発行者にするかが最初の設計判断

企業がAIに業務の権限を持たせる場合であれば、情報システム部門が発行するのか、業務を委任する部門長が発行するのか、という判断が必要になります。

実際には、情報システム部門が「そのAIが触れてよいシステムの上限」を定め、その枠の中で部門長が個別に委任する、という二段構えが取りやすい形です。承認の流れが、そのまま権限の形になります。

鍵の管理という責任

技術的には、発行者は対になった2つの鍵を持ちます。秘密鍵は自分だけが持ち、公開鍵は誰でも取得できる場所に置きます。

秘密鍵が漏れると、他者がその発行者になりすまして証明を作れてしまいます。保管の方法、入れ替えの手順、漏えいが疑われる場合の対応を、あらかじめ決めておく必要があります。

公開鍵の側も発行者の責任です。取得できる状態を保ち、鍵を入れ替えたときには更新する。ここが止まると、証明そのものは正しくても検証できなくなります。

実務で難しいのは、漏えいが起きたあとの扱いです。鍵を新しくするのは当然として、その鍵で発行済みの証明をどうするかという判断が残ります。いつから漏れていたのかが分からなければ、どこまで疑うべきかも決まりません。すべて失効させて出し直すのか、ある時点以降だけを対象にするのか。ここを決めていないと、事故のときに動けません。

入れ替えについても、期間を決めること自体より、必要になったときに確実に入れ替えられる状態にしておくほうが重要です。あわせて、過去に発行した証明を引き続き検証できるよう、いつからいつまでどの鍵が有効だったかを扱えるようにしておく必要があります。

発行して終わりではない

異動や退職、契約の終了に合わせて証明を無効にする作業も、発行者の仕事です。この運用が回らないと、古い権限がいつまでも残ります。

有効期限を短く設定しておけば、放置された証明が自然に消えるため、運用の負担を下げられます。

一覧に戻る