この記事は、Merpay Tech Openness Month 2021 の17日目の記事です。
こんにちは。メルペイのバックエンドエンジニアの三澤@yusukemisawaです。メルペイKYCチームのTech Leadをやっております。KYCチームはメルペイのeKYC機能の開発やeKYC等により登録されたお客様の個人情報の管理、あるいは必要に応じて社内システム、監査部門やメルカリ内のマイページ等のプロダクト機能へお客様の個人情報を提供しているチームです。
さて、今回は2021年3月にリリースした「マイナンバーカードの公的個人認証サービス（JPKI）を利用した本人確認」の機能や成り立つ仕組みを紹介したいと思います。
はじめに
メルペイにおける本人確認とは
メルペイは決済サービスを提供する資金移動業であるため、メルペイを利用して取引を行うお客様には犯罪収益移転防止法に基づく本人確認を実施しています。この本人確認については施行規則が定められており、メルペイではこの施行規則を満たすインターネットで完結する非対面での本人確認(eKYC)を行っています。
これは法令遵守のため実施しているものですが、お客様の情報を正しく把握し、資金洗浄目的でのメルペイの利用を防ぐといった金融サービスを提供する企業としての社会的な責任を果たすといった目的があります。
公的個人認証とは
J-LIS(地方公共団体情報システム機構)が提供する、インターネットを通じて送信する情報が利用者本人が作成、送信したものであることを証明できる仕組みです。
インターネットを通じた納税、戸籍謄本取得等の行政サービスや金融機関における口座開設等民間のサービス提供を安全にうけることができ、現在マイナンバーカードを所有していれば公的個人認証サービスを利用することができます。
公的個人認証による本人確認とは
公的個人認証は犯罪収益移転防止法施行規則第６条「ワ」に基づくeKYC手段として利用することができ、メルペイでは「マイナンバーカードの公的個人認証サービス（JPKI）を利用した本人確認」としてリリースされています。この機能は本記事執筆時点でメルペイの中では即時（提出後最大10秒程度）で完了する唯一のeKYC手段となっています。
メルペイ既存のeKYC
もともとメルペイでは2019年4月に「アプリでかんたん本人確認」としてeKYC機能をリリースしています。こちらは本人確認書類自体の撮影と、本人確認書類を持った状態で自撮りしてもらう方式となっています。自撮りする際はアプリが出した指示通りに顔を動かす等のその場でお客様本人が撮影したことを確認するための手順が含まれています。
メルペイ既存のeKYCにおける課題
「アプリでかんたん本人確認」はリリース当時インターネットで完結する本人確認として画期的なものでした。一方でeKYCを運用してく中で以下のような課題があることも分かってきました。
- お客様に自撮りをしてもらうため、確認に必要な要素が写っていない等の撮影不備が起きる
- eKYC数の増減に応じた審査人員の調整が必要
- 本人確認書類の偽造に係る課題
- 撮影された本人確認書類は真正性の確認に目視を要するため審査に時間がかかる
- 偽造本人確認書類の利用をいかに技術的に判定し防げるか
撮影不備に関してはアプリのUIやeKYC失敗時のお客様への通知を継続的に改善しており、リリース当時よりは減らすことができています。
一方審査時間や人員調整に関しては人間が介在する以上改善には限界があります。本人確認書類の確認は画像認識で機械処理できないの？と思うのが自然な人情ですが、金融庁が公開している金融機関向けのQ＆Aにおいて
本人確認書類が真正なものであることの確認は、目視によるものに限らず、専ら機械（十分な性能を有しているものに限ります。）を利用して行うことも許容されます。
ただし、新規則第６条第１項第１号ホ及びトについては、現在の技術ではそのような性能を満たさないことから、現在の技術を前提とすれば目視による確認が必要と考えられます。
一方、新規則第６条第１項第１号ホ及びヘについては、本人確認時に撮影された顧客の容貌の画像と、本人確認書類に貼り付けられた写真の画像又はＩＣチップ情報の写真の画像が同一人物のものであることの確認は、目視によるものに限らず、専ら機械（十分な性能を有しているものに限ります。）を利用して行うことも許容されます。
とあり、既存のeKYC方式（上記引用内の新規則第６条第１項第１号ホの方式）における本人確認書類上の写真とお客様の容貌の一致の確認に関しては十分な性能があれば機械処理が認められそうですが、本人確認書類が偽造ではない真正なものかの確認に関しては十分な性能を有している機械はないため認められない、というのが現在の見解のようで、このためメルペイでは現状目視でお客様の本人確認書類を確認しています。
最後の課題はそもそも論ですがメルペイ既存のeKYC方式は提出された本人確認書類が、確かに発行元が提出した人物に発行したものであることを検証する方式ではありません。このためより確実な確認を行うために追加の確認をお客様に求める場合もあります。
メルペイにおける公的個人認証による本人確認
前置きが長くなりましたがこれからタイトル回収をしてきます。以下のメルペイアプリ上の本人確認の画面で「スピード本人確認」とラベリングされているものが公的個人認証による本人確認です。
この「スピード本人確認」では、マイナンバーカードのICチップをNFCで読み取り、ICチップに格納されている住所、氏名等の個人情報と署名用電子証明書をもとに公的個人認証サービスを利用することで、リアルタイムに本人確認が完了します。
以下のメルペイアプリの画面で行っているように署名用電子証明書のパスワードを入力し、マイナンバーカード内の署名用電子証明書を読み取ることができます。署名用電子証明書には住所、氏名、生年月日が登録されており、公的個人認証での検証が成功した場合、読み取った内容がメルペイ内でのお客様情報として登録されます。なお、この読み取りの際メルペイではお客様の個人番号を取得することはありません。
検証は読み取った署名用電子証明書を元に電子署名を作成し、その電子署名を総務省認定の署名検証者に送付し検証を行っています。
公的個人認証による本人確認のメリット・デメリット
公的個人認証による本人確認は以下の利点があるため自動でリアルタイムかつより信頼性のあるeKYCを提供することができます。
- メルペイ既存のeKYC方式で行っていたような本人確認書類の目視確認が不要
- メルペイに提出された電子署名の真正性を電子証明書の発行元に問い合わせて検証を行うため、メルペイ既存のeKYC方式と比べより信頼性がある
しかし以下のような不便な点もあります。
- 署名用電子証明書を利用するために署名用電子証明書パスワードを入力する必要がある
- マイナンバーカードの保有者が少ない
セキュリティ上仕方のないことですが、公的個人認証を利用するためには署名用電子証明書パスワードを入力する必要があります。マイナンバーカードは作成時に署名用電子証明書パスワードと利用者電子証明書パスワードという2つのパスワードを設定しますが、いざ利用する際に忘れている人もそれなりにいるでしょう。これらのパスワードは署名用は5回、利用者は3回間違うとロックされるようになっており、このロックを解除するためには役所に行くしかありません。
また、マイナンバーカードの普及率に関しては低いもののマイナポイント等の政府の後押しもあり年々増えてきており、2021年8月1日時点では36%となっています。
これら不便な点を踏まえた上でも現時点では公的個人認証による本人確認は犯罪収益移転防止法に基づく本人確認を満たす最優のeKYC手段であると言っても良いでしょう。
公的個人認証による本人確認が成立する仕組み
さて、ここからはマイナンバーカードの中はどうなっているのか、アプリでマイナンバーカードを読み取った際どのように電子署名が作成され、作成された電子署名がどのように検証されているか、といった話をしていきます。
マイナンバーカードのICチップ
マイナンバーカードのICチップは以下図に示すような4つのAP（アプリケーション）と拡張用の空き領域を持っています。そのうち、公的個人認証で使用するのは公的個人認証APです。このAPは署名用電子証明書（RSA鍵ペア）、ユーザー認証用電子証明書（RSA鍵ペア）を持っており、それぞれ使用時にパスワード認証が必要です。
このパスワードはマイナンバーカードを作成する際に設定したもので、メルペイでもマイナンバーカードの読み取り時に署名用電子証明パスワードの入力を求めています。このパスワードは入力してもメルペイに送られることはなく、マイナンバーカードのICチップ内で認証が行われます。電子証明書には基本４情報と呼ばれる住所、氏名、性別、生年月日が記録されており、これらのうち性別以外がメルペイにお客様情報として記録されます。
電子署名の作成
電子署名はICチップ内で署名用電子証明書の秘密鍵を用いて署名したいデータ（本文）のハッシュ値を暗号化することで作成されます。この秘密鍵はICチップから取り出すことができず、無理に取り出そうとすると消去される仕組みとなっています。メルペイでは本人確認のために用意した文章（本文）をハッシュ化したうえで、電子署名を作成しています。お客様が署名する文章は本人確認以外を目的とするものではありません。作成された電子署名は本文のハッシュ値、署名用電子証明書（公開鍵）、その他eKYCに必要な情報とともにアプリからメルペイのサーバーにeKYC要求として送られます。
電子署名の検証
メルペイは送られてきた電子署名、署名用電子証明書（公開鍵）、本文のハッシュ値を総務省認定の電子署名検証者に送り、そこで電子署名の真正性の検証を行います。
署名検証者はまず署名用電子証明書が有効なものであるかJ-LISに問い合わせます。ここで電子証明書の有効期限が切れている場合や、お客様自身でマイナンバーカードの一時利用停止の手続きをしている場合はここで無効が返却され、検証結果も無効という結果となります。
有効な場合検証者は署名用電子証明書（公開鍵）で電子署名を復号しハッシュ値を取り出し、それが送られてきた本文のハッシュ値と一致するかを確認し、一致する場合はメルペイに合格という結果を返却します。メルペイはeKYC承認に伴う処理を行うとともに、お客様にeKYC承認という結果を返却します。
以上がメルペイにおいてマイナンバーカードを用いた公的個人認証によるeKYCが成立するおおまかな仕組みです。
さいごに
ここまでお付き合いいただきありがとうございました。メルペイは今後もお客様に安全な取引を提供するとともに、信頼できる個人情報の預け先であり続けます。
参考資料
この記事執筆に当たり以下を参考にしています。
- TRUSTDOCK 犯収法(犯罪収益移転防止法)とは？各専門用語の意味や注意点から、定義されているeKYC手法まで詳しく解説
- TRUSTDOCK 公的個人認証サービスとは？「ICチップ読み取り型eKYC」が主流になるミライに向けたトレンドを解説
- e-gov 犯罪による収益の移転防止に関する法律施行規則
- @hamano マイナンバーカードと電子署名の本
- 総務省 『マイナンバーカードを活用したオンライン取引等の可能性について』
- 総務省 『マイナンバーカードの市区町村別交付枚数等について』
- 一般社団法人OpenIDファウンデーション・ジャパン KYCワーキンググループ 『サービス事業者のための、本人確認手続き（KYC）に関する調査レポート』
2021/10/15 改版
署名用電子証明書や電子署名に関する文章表現、文言を改訂
