業務用車両の鍵を管理するシステムが導入されましたという案内が出ていて、
使いもしないのに見てたんだけど、鍵の取り出し方が、
- コンピュータに運転免許証を読み込ませて(スキャナ?)、使用する業務用車両を登録する
- 鍵箱に運転免許証をタッチして、鍵とETCカードを受けとる
ここで、あれ? と思ったのが、運転免許証をタッチするだけで鍵箱が開けられること。
運転免許証をお持ちの方ならご存じだと思うが、ICチップに暗証番号を設定している。
この暗証番号は運転免許証に内蔵されたICチップから券面情報と本籍を読み出すのに使う。
暗証番号1を使うと、顔写真以外の券面情報、裏面の追記事項を含めて偽造がないことが確認出来る。
暗証番号2を使うと、顔写真と券面に書かれていない本籍地の情報が読み出せる。
暗証番号を使うのは運転免許特有だが、何らかの認証コードを要するのはマイナンバーカードやパスポートも同じ。
マイナンバーカードもパスポートも、現物を見ればわかる情報を認証に使う。
運転免許証が暗証番号なのは不思議だけど、本籍という券面に書かれていない情報を読み出せるからというのもありそう。
じゃあ、運転免許証をタッチするだけでは何の情報も得られないのでは?
そう思えるのだが、実は発行日と有効期限だけは暗証番号なしで読み出せるらしい。
なぜ、この2つの情報だけ読み出せるのか、明確な理由はわからないが、
運転免許証の効力に関わる、もっとも基本的な情報だからということかね。
これが読み出せれば、運転免許証としてとりあえず確からしいとは判別できる。(記載内容が正しいかは別問題)
少なくとも鍵箱では、この2つの情報の組み合わせで個人を識別してるっぽい。
運転免許証の有効期限は誕生日の月日から決まるので、それと交付日と有効年数が全て合致しなければ大丈夫で、
対象者がさほど多くなければ、あまり問題はないのかもしれない。
運転免許証の交付日・有効期限は世界中で一意ということはないが、
一定組織の中では一意に特定できる情報として活用されているということがわかる。
運転免許証のICチップから、住所・氏名・生年月日など得るには、暗証番号が必要である。
でも、あらかじめ 従業員情報 と 運転免許証の交付日・有効期限を紐付けておけば、
暗証番号なしに運転免許証をタッチするだけで、従業員情報を読み出せるという。
果たして、これをどう見るかである。
実はこれと似たような話がマイナンバーカードにもある。
マイナンバーカードのICチップの情報を読み出すには、基本的にはAPごとに認証が必要となっている。
住民票コードの読み出し(転入・転居手続きに使う)には、あらかじめ決めた暗証番号が必要だし、
マイナンバー以外の券面事項を読み出すには、生年月日+有効期限+セキュリティコードを入力する。
電子証明書を使うには、署名用電子証明書・利用者証明用電子証明書のそれぞれで決めた暗証番号が必要である。
でも、利用者証明用電子証明書のシリアルナンバーだけは、暗証番号なしに読み出すことができるらしい。
おそらく、マイナンバーカードに標準搭載されているAPではこれが唯一である。(市町村などの独自領域はその限りではない)
利用者証明用電子証明書は、例えば、コンビニでの証明書発行時の本人確認にも使う。
この証明書は住所・氏名などの個人情報は含んでいないが、シリアルナンバーから証明書を特定できる。
暗証番号を入力して、電子署名を行うことで、証明書の持ち主の本人確認ができる。
市町村では、証明書のシリアルナンバーと住民登録を紐付けて、証明書を発行できるってわけ。
このように暗証番号を入力して、利用者の特定と本人確認を行うのが基本的な使い方である。
それが、利用者を特定する用途だけならば、暗証番号なしにできるらしいというのだ。
その代表例がマイキープラットフォーム、といってもまだあんまり普及していないが。
まず、利用者証明用電子証明書を使ってマイキーIDを登録する。このときは暗証番号を入力する。
これで登録が完了すると、暗証番号なしに読み出せるシリアルナンバーからマイキーIDを取得することができる。
マイキーIDの利用は誰でもできるわけではないが、行政・民間ともに活用しやすい仕組みらしい。
今のところは、図書館の利用者カードや、ポイントカードとしての活用がされているらしい。
マイキーID自体は住所・氏名などの個人情報登録は伴わないので、マイキーIDから個人情報を取得することはできない。
マイキーIDと利用者情報の紐付けは各サービスごとに行う。
一方で、マイキーIDは単に、証明書のシリアルナンバーをIDに変換しているわけではない。
利用者証明用電子証明書は5年で有効期限切れになって更新が必要になるが、更新後のシリアルナンバーも同じマイキーIDに紐付けされる。
すなわち、同じ人のマイキーIDは変わらないということである。マイキーIDを抹消すれば紐付けはされなくなるが。
マイナンバーカードを暗証番号なしで使いたいと言っている用途がある。
それが健康保険、現在の健康保険証の代替を想定している。
現在の健康保険証は、医療機関窓口での有効性確認が難しいなどの問題を抱えている。
そこでマイナンバーカードの情報から健康保険の情報をオンラインで取得できるようにしたいと。
ちょうどマイナンバーカードは顔写真も付いているので、医療機関での本人確認にも有効だ。
ところが、この用途でいちいち暗証番号の入力を求めていては、暗証番号を忘れただの問題が多発するのは目に見えている。
そこで、利用者証明用電子証明書のシリアルナンバーから、健康保険情報をオンラインで取得できるようにしようと考えているそうだ。
これが何を意味しているかというと、証明書のシリアルナンバーと健康保険情報を紐付けるデータベースができるということ。
対象者はほとんど全ての住民ということになろうと思う。(マイナンバーカードを健康保険証として使うことへの同意は必要だが)
もちろん、医療機関だけが使えるものなんだけど、かなり大規模なデータベースである。
それが、マイナンバーカードから非接触で得られる情報だけで引き出せるというのは、けっこうな大ごとである。
マイナンバーや住民票コードも、住民の個人情報と紐付けできるコードではあるが、
マイナンバーは目視 or 暗証番号入力(券面事項入力補助AP)、住民票コードは市町村窓口での暗証番号入力が必要ですから。
とはいえ、非接触で読み出せることは本当に恐れるべきことなのかということですよ。
非接触といっても、せいぜい10cmの範囲に入らないと通信は成立しない。
それで個人情報そのものが読み出せるのかというと、せいぜいシリアルナンバーだけ。
そのシリアルナンバーと個人の紐付けは原則オンラインでやることになっていたはず。
公的個人認証法では、証明書のシリアルナンバーの利用について定めていて、罰則規定もある。
それゆえ、証明書のシリアルナンバーだけを使うにも認可が必要なんだよね。
そのハードルを下げるためのマイキーIDなんだよね。といってもまだ普及していないが。
何でもかんでも暗証番号など必要では利便性が悪いし、タッチするだけで何でもできてはセキュリティ面で問題がある。
運転免許証の交付日・有効期限情報を個人情報に紐付けるのは全く予定されていない使われ方だと思う。
ゆえに何の規制もなく野放しになっているんだろうな。これだけで一意に特定するのは難しいとはいえ。
一方のマイナンバーカードは、標準APにタッチだけで使える機能を盛り込んでおいたのは、
住民基本台帳カードの多目的利用があまり進まなかったことの反省もあるんだろう。
セキュリティ面の懸念はあったので、野放しにならないように法規制をしているが、それゆえ出足が遅れているのも実情である。
どっちもどっちか。