USB トークンに保存されたデジタル証明書は、個人や組織が利用できる最も強力な形式の PDF 署名を提供します。指で描いた署名画像やスキャンしたファイルから貼り付けた署名画像とは異なり、USB トークンの証明書ベースの署名は、検証された ID を暗号的に文書にバインドし、署名後の改ざんを即座に検出できるようにします。 USB トークンは、ハードウェア セキュリティ モジュールまたは USB 形式のスマート カードとも呼ばれ、耐タンパー性のハードウェアに秘密キーを保持し、コンピュータのオペレーティング システムにキーが公開されることはありません。 PDF ドキュメントに署名するための USB トークンのセットアップと使用には初期設定が必要ですが、一度設定すると、署名プロセスはトークンの挿入と PIN の入力と同じように日常的に行われます。
USB トークン証明書の署名が実際に提供するもの
USB トークンからの署名は、3 つの異なるセキュリティ プロパティを 1 つの操作に組み合わせます。まず、トークンの証明書は、証明書を発行する前にユーザーの身元を確認する認証局によって発行されたものであるため、身元確認が行われます。第 2 に、署名には署名時の文書コンテンツの暗号化ハッシュが含まれており、署名後に文書を変更すると署名が無効になるため、文書の整合性が確保されます。 3 番目に、署名を作成した秘密キーが管理する物理 USB トークンから離れることがないため、否認防止が実現します。
これら 3 つの特性により、USB トークン署名は、高度な電子署名を認識する管轄区域において、法的拘束力のある電子文書の標準となります。多くの政府調達システム、裁判所の電子申請プラットフォーム、および規制対象の業界ポータルでは、ハードウェア ベースのキー ストレージが、コンピューターのハード ドライブに保存されているソフトウェア ベースの証明書では満たせないセキュリティ要件を満たしているため、ハードウェア トークンからの証明書ベースの署名を特に必要としています。 USB トークンのデジタル署名は、特にハードウェア トークンがトークンの所有者のみが署名を適用できるという強力な証拠を提供するため、法的手続きにおいて証拠としての重要性を持ちます。
証明書の取得とUSBトークンの設定
最初のステップでは、信頼できる認証局からデジタル証明書を取得し、それを USB トークンにロードします。 GlobalSign、DigiCert、Sectigo、各国の eID プロバイダーなどの認証局は、文書署名専用の証明書を発行します。申請プロセスには身元確認が含まれます。これは、証明書のクラスと管轄区域に応じて、政府発行の身分証明書をオンラインで提出することから、登録機関に直接出頭することまで多岐にわたります。 ID の検証後、認証局は証明書ファイルと、それを USB トークンにロードするための手順を提供します。
USB トークン自体は、暗号化キーを保管するために設計されたデバイスである必要があります。 YubiKey、SafeNet eToken、および Gemalto トークンは、PDF 署名証明書をサポートする広く使用されているモデルです。製造元が提供するトークン ドライバー ソフトウェアをコンピューターにインストールします。トークンを挿入すると、ドライバーはその証明書をオペレーティング システムの証明書ストアで利用できるようにします。ここで、PDF 署名アプリケーションは利用可能な署名証明書を探します。自分は覚えていても他の人は推測できない強力な PIN でトークンを保護します。構成可能な回数 (通常は 5 ～ 10 回) 間違った PIN が試行されると、トークンは自らをロックしてブルート フォース攻撃を防ぎます。
USB トークンを使用して PDF に署名する
USB トークンをコンピュータの USB ポートに挿入します。 Adobe Acrobat Pro、ブラウザベースの PDF プラットフォーム、政府提供の署名ツールなど、証明書ベースのデジタル署名をサポートする PDF アプリケーションで署名する必要がある PDF を開きます。 PDF に署名ツールに移動し、電子署名画像を追加するのではなく、デジタル署名するオプションを選択します。アプリケーションはシステム証明書ストアを検索し、利用可能な署名証明書を表示します。 USB トークンから証明書を選択します。
アプリケーションは、表示される署名ブロックを表示するページ上の署名四角形を描画または配置するように要求します。配置後、ダイアログで署名操作を承認するためのトークン PIN の入力を求められます。 PIN を入力すると、トークンが内部で暗号化署名を実行し、証明書とドキュメント コンテンツのハッシュを組み合わせます。署名された PDF には、あなたの名前、署名日時、証明書発行者名、および PDF リーダーが検証できる暗号署名を含む埋め込み署名ブロックが含まれています。このプロセス全体を通じて、秘密キーが USB トークンから離れることはありません。
署名の外観と情報の構成
PDF ページ上の署名ブロックの表示外観はカスタマイズ可能です。ほとんどの署名アプリケーションでは、署名ブロックに表示する情報を選択できます。名前のみ、名前と署名日、または名前と会社のロゴや手書きの署名画像などのカスタム グラフィックです。受信者が署名を検証するために必要な情報を含むように外観を構成します。名前のみを示す署名ブロックは、名前、証明書発行者、および署名タイムスタンプを示す署名ブロックよりもコンテキストが少なくなります。
署名後にドキュメントをロックするように署名を構成します。このオプションは通常、署名ダイアログのチェックボックスであり、文書コンテンツ、フォームフィールド、または注釈に対するそれ以上の編集を防ぎます。有効な署名が付いたロックされた文書が受信者に届くと、署名以降に内容が変更されていないことが強力に保証されます。ドキュメントで複数の当事者の署名が必要な場合は、自分の署名後にドキュメントをロックするのではなく、追加の署名を許可するように署名フィールドを構成します。 WukongPDF は、構成可能な署名の外観とドキュメント ロック オプションを備えた、証明書ベースの署名を含むデジタル署名アプリケーションをサポートします。
受信者としての USB トークン署名の検証
USB トークン証明書で署名された PDF を受け取ると、PDF ビューアは文書を開いたときに署名を自動的に検証します。有効な署名には、緑色のチェックマーク、署名者名、および署名後に文書が変更されていないことを示すメッセージが表示されます。署名をクリックすると、詳細な検証パネルが開き、署名者証明書からルート認証局までの証明書チェーン、署名時刻、使用された署名アルゴリズムが表示されます。
署名が無効または未検証と表示される場合は、検証パネルで具体的な理由を確認してください。証明書の有効期限が切れると、内容が変更されていない場合でも警告が表示されます。署名日より前に発行局によって証明書が取り消された場合は、調査が必要な重大な問題があることを示しています。不明として表示される署名は、PDF ビューアが署名者証明書を発行した認証局を信頼していないことを意味します。これは、Adobe またはブラウザーの証明書ストアで事前に信頼されていない各国の eID システムからの証明書によく見られます。
複数のトークンと証明書の管理
複数の役割または組織のドキュメントに署名する場合、それぞれに異なる証明書を持つ複数の USB トークンが存在する可能性があります。各署名セッションに正しいトークンを挿入できるように、各トークンに関連する組織または役割を物理的にラベル付けします。 PDF 署名アプリケーションでは、証明書選択ダイアログに利用可能なすべての証明書が表示されます。 PIN を入力する前に、発行者名と証明書の目的を確認して、正しい証明書を選択していることを確認してください。
各トークン証明書の有効期限を記録してください。文書署名用の証明書は通常、発行から 1 ～ 3 年で期限切れになります。期限切れの証明書に適用された署名は暗号的にはまだ有効である可能性がありますが、受信者には警告が表示され、一部の文書検証システムは期限切れの証明書からの署名を完全に拒否します。有効期限が切れる前に発行証明機関を通じて証明書を更新し、更新された証明書を同じ USB トークンにロードして署名の継続性を維持します。
USB トークン認識問題のトラブルシューティング
PDF 署名に USB トークンを使用する場合の最も一般的な問題は、USB トークンを挿入したときにコンピューターがトークンを認識しないことです。トークン ドライバーが起動していないか、USB ポートが十分な電力を供給していないか、オペレーティング システムの証明書ストアがトークン証明書を含めるために更新されていない可能性があります。トークンを取り外し、数秒待ってからしっかりと再挿入します。デバイスに付属のトークン管理アプリケーションを開き、トークンのステータスが接続済みと表示され、証明書がリストされていることを確認します。
Windows では、[ファイル名を指定して実行] ダイアログから certmgr.msc を実行すると、証明書マネージャーを開くことができます。 [個人] の [証明書] で、トークンを挿入するとトークン証明書が表示され、削除するとトークン証明書が表示されなくなります。証明書が表示されない場合は、トークン ドライバーまたはミドルウェアの再インストールが必要になる場合があります。認識エラーの最も一般的な原因は古いドライバーであるため、トークンの製造元の Web サイトから最新のドライバーをダウンロードします。
証明書の公開キーのバックアップを保持します。秘密キーはトークン上に残るため、セキュリティが危険にさらされることはありません。公開キーのバックアップを使用すると、トークンを紛失した場合でも証明書の署名を検証でき、更新に必要な証明書の詳細が提供されます。初期セットアップ時に公開キー ファイルを保存しなかった場合、証明書を発行した認証局が公開キー ファイルを提供できます。
USB 署名トークンを持って旅行する場合は、トークンを預けたり放置したりする可能性があるラップトップ バッグに入れるのではなく、身につけてください。物理トークンはデジタル署名の信頼のルートです。トークンが紛失または盗難された場合は、発行した認証局を通じて直ちに証明書を取り消してください。ほとんどの認証局は、オンライン失効ポータルまたは緊急失効用の電話番号を提供しています。