瞬簡PDF サイン 3[機能紹介：署名検証]

署名時の検証

検証内容

PDFファイルに付与されている署名が有効かどうかを検証できます。署名の検証では次の2項目をチェックし、両方に問題ないとき「署名が有効です」と判定します。

  1. PDFファイルの内容が署名された時点から改ざんされてないかどうか
  2. 署名に用いられた証明書の有効性のチェック

改ざんの有無の検証はPDFファイルの署名対象範囲が署名後に変更されていないかどうかをチェックします。本製品で署名付与に使えるハッシュ値計算アルゴリズムのほかSHA-1に対応しています。また、PAdES-BasicのECDSA署名も検証できます。

証明書の有効性チェックは署名に使用した証明書の有効性のほか、その証明書を発行した認証局の証明書までのパス、ルート証明書の存在などを確認します。オレオレ証明書で署名されている場合、普通は、証明書の有効性チェックがエラーになります。

証明書の有効性チェックでは、通常、ネットワーク接続が必要になります。また、証明書の有効性チェック方法は認証局によって多様なので、「検証」メニューの「検証設定」で変更できます。

検証結果パネル

付与されている署名を検証した検証結果は、次のような検証結果パネルに表示されます。

PDFファイルを読み込み時に自動的に検証されます。［検証設定］を変更した場合など、再度検証することもできます。

検証結果パネル

長期署名検証

長期署名検証（LTV）とは

PDFファイルに付与されたデジタル署名が正しいか否かは、デジタル署名に利用された電子証明書が信頼された認証局によって発行されたものであること、 またその有効期間や失効情報によって確認できます。 しかし、デジタル署名に利用された電子証明書には有効期間が存在します。 そのため、この有効期限を過ぎてしまうとその信頼性を保証することができなくなってしまいます。

長期署名

LTV（Long Term Validation：署名の長期検証）とは、PDFファイルのデジタル署名が「最初に検証されて有効だと確認された時点」の検証情報を保存しておくことで、後から（証明書の失効や期限切れ後であっても）その署名を検証・再現できるようにする仕組みです。

LTVは、主に以下の2種類の辞書を組み合わせて実現されます。

  1. ドキュメントセキュリティストア（DSS）辞書
    • 署名やタイムスタンプの検証に必要な証明書（Certs）、CRL（失効リスト）、OCSP応答などの情報を一括して保持・格納するコンテナです。
    • 個別の署名と検証データを紐付けるための VRI（検証関連情報）辞書 も含まれます。
    • 複数の署名で共通する証明書等をまとめて1回だけ保存できるため、ファイルサイズを抑えるメリットもあります。
  2. ドキュメントタイムスタンプ（DTS）辞書
    • タイムスタンプ局から取得したタイムスタンプトークンを格納し、「その時刻にPDFファイル（およびDSS）が確かに存在していたこと」を数学的に証明できるようにします。

署名に使用するマイナンバーなど個人の電子証明書の有効期限は5年、商業登記電子証明書の有効期限は3か月～27か月の間で3か月単位で自由に選択できます。更新制度はなく、期間経過後は失効します。商業登記電子証明書を手続き書類の署名に用いるならこれでも良いのですが、長期保存用の書類に署名したときはLTV対応化が必要です。PDFデジタル署名をLTV対応化すると有効期間を過ぎたあとでも、署名の検証で署名を有効にでき、また、ネットワークに接続せずに検証ができます（但し、最後に付与されたドキュメントタイムスタンプの検証はネットワーク接続が必要です）。

LTV対応化の手順

初回は署名の検証情報からDSS辞書を作成してPDFファイルに埋め込み、次いで証明書の有効期間内に「ドキュメントタイムスタンプ」を付与します。この両者を実行するとPDFデジタル署名がLTV対応となります。なお、DSSをPDFファイルに埋め込んだり、ドキュメントタイムスタンプを付与したりするときは、PDFの増分更新機能を利用してPDFファイルの最後にデータを追加していくので、署名済みPDFの署名範囲の改ざんにはなりません。

さらに、最後に付与したタイムスタンプの有効期限内に、そのタイムスタンプの検証情報から作成したDSS辞書をPDFファイルに追加します。そして、新しいドキュメントタイムスタンプを付与するという処理を繰り返すと、デジタル署名の有効性を数十年といった長期に渡って維持し続けることができます。

長期署名

LTV対応化の方法

本製品では、「検証」メニューまたは検証結果パネルの「検証情報の追加」でDSS辞書を作成してPDFファイルに埋め込むことができます。但し、検証情報の追加に成功するのは、署名の検証で有効性を確認できたときに限ります。

ドキュメントタイムスタンプは、「署名タイムスタンプ」メニューの「ドキュメントタイムスタンプの付与」で実行できます。

注意事項

実務上は、多数のPDFファイルのそれぞれにDSS辞書の追加と、その後の「ドキュメントタイムスタンプ」の付与をばらばらに行うのは管理上の負荷が大きくなります。通常は、PDFファイル受信時に自動的に処理したり、所定のタイミングで一括処理するなど、業務ワークフローを構築して行います。デジタル署名のLTV対応化には、「長期署名PAdESライブラリ」をご検討ください。

⇒ 長期署名PAdESライブラリ

▲