デジタル庁は9月18日、日本とEU（欧州連合）の間で大学の学位や成績のデジタル証明書をやりとりする実証実験の結果報告書を公表した。留学する学生がスマートフォンに入れた学修歴を相手国の大学へ示し、示された側がその場で本物かどうかを確かめられるかを試したもので、日本発行の証明書をEUの大学が検証する方向、その逆の方向のいずれも成功した。報告書は「デジタル・アイデンティティやデジタル・クレデンシャルの国際的な相互運用が実現可能であることをEUとともに明らかにすることに至った」としている。

紙の成績証明書を郵送する留学手続きを置き換える

いま海外の大学へ留学しようとすると、出身大学に紙の成績証明書や卒業証明書を発行してもらい、封をしたまま留学先へ送るのが一般的だ。留学先の大学は、届いた紙が本当にその大学の出したものかを封や印章、場合によっては照会で確かめる。時間がかかるうえ、偽造された証明書を見抜く負担も大きい。

実証が想定したのは、この手続きをスマートフォンで完結させる姿である。登場人物は三者で、証明書を出す「発行者」は大学、それを持ち歩く「保有者」は学生、示された証明書を確かめる「検証者」は留学先の大学にあたる。学生はスマートフォンのアプリ（Wallet＝ウォレット。証明書を保管して提示する財布のような入れ物）に自分の学修歴を保存し、留学先から求められたときに提示する。

証明書には発行した大学のeシール（組織が発行した電子文書であることと、中身が改ざんされていないことを示す電子的な印章）が付く。実証では総務省が認定するeシールと同等のものを使う前提を置き、国境をまたいでもこの印章の検証が働くことを確かめた。

学生が開示する項目を選べる

実証は2回に分けて行われた。1回目は証明書の「提示と検証」を対象に、日本側のウォレットからEU側の検証システムへ、またEU側のウォレットから日本側の検証システムへ、それぞれ提示して受け取れるかを試した。2回目は「発行」を対象に、日本の大学からEU側のウォレットへ、EUの大学から日本側のウォレットへ証明書を出せるかを確かめた。

EU側の大学が日本側のウォレットへ発行した証明書は、学籍番号や授業の使用言語といった任意設定の項目を含め、合計21項目の属性情報で構成された。このうち常に開示する項目と、学生が選んで開示する項目とがあらかじめ分けて定義されており、留学先が求めた項目だけを開く「選択的開示」ができることを確認した。成績の確認のために生年月日や住所まで渡さずに済む、という設計である。

なりすましを防ぐ仕掛けも組み込まれた。証明書の発行時に学生の公開鍵を証明書へ結び付けておき、提示するときは学生の持つ秘密鍵で署名する。これにより、他人が証明書のコピーを拾っても使えない。提示要求に含まれる一度限りの値を応答に含める処理も入れ、通信を記録して後から再送する攻撃を防いだ。

発行者の名簿を機械が引ける形で共有した

国際的なやりとりで難しいのは、「相手国のどの大学が正規の発行者なのか」を機械が判断する部分である。1回目の実証では検証に必要な証明書を日欧で事前に手渡ししていたが、2回目はTrusted List（信頼できる発行者や証明書を並べた公開名簿）から取得する方式に切り替えた。日欧双方が参照できる名簿を用意することで、eシールの検証に必要な情報を人手を介さずに共有できることを確かめている。

土台になったのは、日欧が同じ国際仕様に従ったことだ。証明書の提示にはOID4VP、発行にはOID4VCIという規格を使い、署名方式もEU側の標準に合わせて統一した。報告書は、この点を「国際的な相互運用性を確保するためには各国・地域のガバナンスや技術的構造を統一しなければならないかという懸念を払拭するもの」と評価している。法制度そのものを揃えなくても、接続部分の仕様を合わせれば実務は回るという整理である。

残る課題は署名方式の整合と名簿の相互参照

一方で、報告書は技術的な課題も挙げた。ウォレットなどの真正性を確かめる際の検証要件をどう揃えるか、具体的には署名アルゴリズムと証明書チェーンの整合、そして複数のTrusted Listの間で相互参照する仕組みの検討である。日欧それぞれが別の名簿を持つ以上、一方の名簿しか見ない実装では相手国の発行者を確かめられない。

今後の進め方について報告書は、日欧双方の現行の法令や規則を「いたずらに改正するのではなく、できる限り維持に努めながら実装に向けて継続的に取り組んでいく必要がある」とした。そのうえで、今回の成果は「技術的発展を注視する段階ではなく実装について政策的に検討するフェーズにあることを示す」と結論づけ、日欧間にとどまらず将来の国際的な相互運用に向けた先例になると期待を示している。

この実証は、2024年4月の日EUデジタルパートナーシップ閣僚級会合で、デジタル・アイデンティティとトラストサービスに関する協力覚書が結ばれたことを受けて実施された。デジタル庁は同日、実証結果報告書とあわせて、検証項目を定めた実証スコープ定義書も公開している。