「クレデンシャル」って何を意味する？　スマホやマイナンバーカード、mDocに関するキーワード。

クレデンシャルとは何か。
打ち合わせで出てくる「クレデンシャル」について

セキュリティの打ち合わせや技術資料の中で、当たり前のように登場する「クレデンシャル（Credential）」という言葉。「なんとなくIDやパスワードのことかな？」と理解していても、スマートフォン内のマイナンバーカードやmDoc（モバイル運転免許証）など、実際のシステムの話になると、急に実態が掴みづらくなります。

まず結論から言ってしまうと、クレデンシャルとは「私は〇〇である」ということを第三者に証明するための、デジタル化された「身分証の塊」です。
これについて「とりあえず」解説したいと思います。

クレデンシャルを「デジタル版の印籠」とイメージしてみる

一番分かりやすくイメージするには、時代劇の「印籠」でしょうか。

• 印籠そのもの： クレデンシャル（証拠データ）

• 印籠に刻まれた紋： 発行元（役所や会社）の証明

• これを見せる行為： 認証

物理的な世界では「運転免許証」や「社員証」というカードそのものがクレデンシャルですが、デジタルの世界では、そのカードに書かれている情報をギュッと凝縮して、偽造できないように「電子署名」という鍵をかけた「データ」のことを指します。

よって、ただの「個人情報」だけでなく、上記３つの塊なので、「データと発行元と偽造できない信頼されていること」という「信頼に足る個人情報」の塊という感じです。

打ち合わせで出てくる「クレデンシャル」を具体的にすると

会議で「このシステムのクレデンシャルはどう管理しますか？」と聞かれたら、そのクレデンシャルとは印籠とイメージし、
且つ、その中身は具体的に以下の３つの要素が入っています。

1. 属性情報（中身）

「氏名」「生年月日」「社員番号」「有効期限」といった、証明したい情報そのものです。

2. 発行者の証明（保証）

そのデータが「本物」であることを証明するデジタルのハンコ（電子署名）です。役所や会社が「このデータは私が発行した本物です」と保証しています。

3. 所持の証明（鍵）

「そのデータを持っているのが本当に本人か」を確認するための仕組みです。スマートフォンの場合、生体認証（顔や指紋）をパスすることで初めて、このクレデンシャルが使える状態になります。
　※ここはちょっと背景のシステムの要素が入ってくるので何となくでOK

スマホ内に保存された「マイナンバーカード」や「mDoc」は安全なのか

物理的なカードをコピーするのは難しいというイメージがありますが、スマホに入っているデータは簡単にコピーできそうな感じがします。
しかしながら、スマホの中の「クレデンシャル」も安全だと言えるのには理由があります。
すでに日本でもマイナンバーカードがスマートホンに入れられるようになっています。これも「クレデンシャル」という要素が使われているのです。

• セキュアエレメント（金庫）の存在
   スマホ内には「セキュアエレメント」という、外からは絶対に中身を覗けない特殊なチップがあります。クレデンシャルはこの金庫の中に隠されており、OSや普通のアプリからは触ることができません。

• 鍵のすり替えができない
   クレデンシャルは、発行元が個別のスマホにデータを落とし込む時に、特殊な操作を行うことで各スマホ固有の秘密の鍵とセットになっています。なので、データだけをスマホから抜き出して、別のスマホにコピーしても、スマホが異なるため固有の鍵が合わず使うことができません。

まとめ：「クレデンシャル」と言われたら

とりあえず「クレデンシャル」という言葉が出てきたら、まずはこう解釈してみてください。

• 「本人の固有情報と、本人であることを証明するハンコ付きのデータ」の塊のことである

• スマホの場合、チップ内の「金庫」に守られているため、物理カード以上に安全である

この基本さえ押さえておけば、mDocやマイナンバーカードのスマホ搭載といった最新トピックも、「あぁ、あの印籠（３つのデータの塊）をスマホの金庫に入れる話だな」と、本質を外さずに理解できるはずです。

よくある話としては、
　「クレデンシャル」という「印籠」をどうやって扱いますか？
　　　→サーバーからスマホへ安全にクレデンシャルを移動させますか。
　「クレデンシャル」の内容はどうしますか？
　　　→職員番号はクレデンシャルに含めますか。性別は不要ですか。
そんな感じの話で出てくるかと思います。

身分証はカードからスマートフォンへ、そしてこれからも色々な媒体へ進化して行きます。基本的な要素である「クレデンシャル」は一般用語として使われつつあるので、何となくのイメージを持てれば幸いです。

おすすめ記事