有効な署名でも、承認者が見た内容は証明できない

要約

• 個人提出のInternet-Draft第01版は、決定論的レンダリングで検出できるのは署名済み操作と申告表示の不一致であり、信頼できない画面が人に何を見せたかではないと明記した。
• 受領証の検証と表示証拠の検証は独立した結果であり、どちらも単独では承認に昇格させてはならない。
• Daniel Kadeは、鍵の登録、人の職務権限、端末の信頼入力、残余リスク、現地の判断を結ぶ「表示判断記録」を提案する。これは編集上の提案で、草案の要件ではない。

争点は暗号の成否より、その先にある

高リスク操作の証拠は層を重ねる。操作のダイジェストに署名した受領証があり、その操作から人間向け表示を作るレンダラーがあり、端末が何を表示したかを主張する署名付きアテステーションがある。第00版は、この組み合わせが人に示された内容を証明できるかのような強い言い方を含んでいた。

第01版と公式差分は、その主張を狭めた。検証者が確認できるのは、提出された表示が署名済み操作から正しく再導出できることだ。悪意あるクライアントが期待どおりの表示データを証拠として送りながら、実画面では別の内容を見せる余地は残る。

さらに、「名前のある人」が署名を生成したという説明は「登録済み鍵」が生成したという表現に改められた。鍵の署名事実と、人の同一性、在職状況、委任範囲、判断能力を同一視しないための修正である。

Datatrackerでは、2026年9月12日に更新された有効な個人Internet-Draftとされている。ワーキンググループ文書でもIETFストリーム文書でもなく、担当Area Directorや目標RFCステータスも記録されていない。公開はIETFの支持や標準化を意味しない。

同じ入力から同じ表示を作る効用

提案のレンダラーは、正規化された操作だけを入力とする純粋関数でなければならない。時計、実行環境、乱数、外部I/Oを参照せず、同一の操作から、どの適合環境でも同じバイト列を出力する。対象フィールドと順序を閉じた形で定め、表示結果にもダイジェストを付ける。RFC 8785がJSON正規化の参照先となる。

この仕組みは、署名された金額と申告画面の金額が異なるような攻撃を発見できる。双方向制御文字、制御コード、見分けにくい文字列、過大な長さも決定論的に無害化し、安全に表示できなければ処理を拒否する。黙って省略するレンダラーは、検出可能な失敗を見えない改変に変えてしまう。

ただし、再導出はスクリーンショットではない。表示アテステーションも、クライアントが操作ダイジェストと表示ダイジェストの関係に署名した主張にすぎない。署名と結合が正しいこと、クライアントや表示経路が信頼に値することは別問題だ。

そこで新設された6.1節は、受領証と表示証拠を独立した信頼入力で評価するよう求める。受領証の署名が正しいからといって表示受容にしてはならず、表示の結合が正しいからといって承認済みにしてもならない。

保護された表示にも運用条件がある

草案はAndroid Protected Confirmationに触れるが、それ自体のプロファイルは定義していない。AndroidのConfirmationPrompt資料では、依拠者がアテステーション付き公開鍵、期待するルート、使い捨てnonce、確認された正確なプロンプト文字列を検証する流れが説明されている。専用ハードウェアが必要で、常に利用できるわけではないとも記される。

したがって、監査項目は「ハードウェア保護あり」だけでは足りない。どの信頼ルートを採用したか、鍵の属性は何か、nonceは新鮮か、重要フィールドのうち何が表示されたか、利用不能時にどの経路へ退避したかを残す必要がある。通常画面への無言のフォールバックは、証拠水準を変える政策判断である。

公開実装や負のテストベクトルについても同様だ。特定コードが不一致や危険入力を拒否することは確認できても、普及、独立監査、端末の健全性、組織上の権限までは示さない。第01版にIANAへの要求はなく、識別子登録は将来課題である。

証拠を判断へ変えた主体を残す

Daniel Kadeが提案する表示判断記録は、結果を引き受ける依拠組織が管理する。操作ダイジェストと受領証結果、レンダラープロファイル・版・言語・重要項目、表示ダイジェストとアテステーション結果、クライアントID・証明連鎖・信頼ルート・表示経路区分、鍵と人を結ぶ登録根拠、職務・委任上限・有効期限、残余リスク、独立した承認方針と結論、審査者、日時、拒否または代替経路、再評価条件を一つの判断単位として保存する。

これは世界共通の承認証ではない。不可逆な送金なら保護表示と別経路確認を必須にできる。巻き戻せる保守作業なら決定論的表示と二者確認で足りる場合もある。共通化するのは検証可能な最小証拠で、結果の閾値は各組織が明示して負う。

Heng LuのMinimum Initial Specificationは、将来の判断まで中央化せず、協調に必要な最小面を先に固める考え方を示す。The Policy Mirrorは各主体が実際に発した主張の範囲を保つ。Why BTW Media Existsに照らせば、今回確認できるのは個人草案の重要な自己限定であり、採用や実効性ではない。

情報源

1. Datatracker文書ページ
2. 文書履歴
3. Datatracker API
4. 第01版
5. 第00版
6. 公式差分
7. Authorization Receipts文書
8. Authorization Receipts第13版
9. RFC 8785
10. Android ConfirmationPrompt
11. Android Protected Confirmation
12. Android Key Attestation
13. The Policy Mirror
14. Minimum Initial Specification
15. Why BTW Media Exists