本ホワイトペーパーは全3回で公開いたします。
第一回：日本におけるトラスト基盤の歩みと属性認証 ～ 個人認証から「何者であるか」の証明へ～
第二回（今回）：日本におけるトラスト基盤の歩みと属性認証 ～ 属性認証の技術的潮流 ～
第三回：日本におけるトラスト基盤の歩みと属性認証 ～ 属性認証のあるべき姿と求められるガバナンス ～ 

属性認証を実現する技術は、長年培われた証明書方式と、近年のモバイル・Web環境に適したトークン方式の二軸で進化しています。前者は認証局を起点とした信頼の連鎖に強みを持ち、後者はユーザが必要な属性を柔軟に提示する場面に適しています。
本稿では、それぞれの技術的特性を整理した上で、属性情報を誰が発行し、誰が保持し、誰が検証するのかという基本モデルを確認します。そのうえで、日本の公的個人認証（JPKI）を起点とした実装モデルと、国際的なデジタルウォレットの動向を概観します。

属性証明の二大アプローチ：証明書方式とトークン方式
 

属性情報の真正性をデジタル空間で担保するための技術的手法は、大きく「証明書方式」と「トークン方式」に大別されます。これらは、求められる信頼の深度、法的な位置づけ、あるいはユーザの利用環境といった要件に基づき、適切に選択されるべき異なる特性を持っています。
 

1. 信頼の起点としての証明書方式（X.509／属性証明書）

X.509に代表される証明書方式は、デジタル空間における信頼の基盤を構築する手法です。これは単なる技術規格を超え、長年の運用実績に基づいた法的・制度的な確証性を提供する技術群と言えます。

確固たるトラストチェーンの構築：認証局（CA）を頂点とする階層的な信頼の連鎖（Chain of Trust）は、発行元（Issuer）の責任を明確に定義します。例えば、医師免許や弁護士資格といった、その資格の有無が社会的に重大な法的責任を伴う属性を証明する場合、「誰がその資格を保証したか」という監査証跡の堅牢性は譲れない要素となります。X.509は、発行元の正当性を公的に証明し、長期的な有効性検証を可能にするための仕組みを提供します。

制度的整合性とJPKIの存在：日本において、この方式が重要な意味を持つ理由は、公的個人認証サービス（JPKI）がX.509に基づいているためです。電子署名法に基づく実印相当の効力を担保するためには、秘密鍵の厳格な管理と、標準化された証明書プロファイルによる検証が不可欠です。属性認証においても、トラストアンカーを定義する際には、現在もこの証明書方式が標準的な選択肢となりえます。

2. 柔軟な提示を支えるトークン方式（SD-JWT / mdoc）

一方で、モバイルデバイスでの日常的な利用や、Webサービスとの親和性、そしてプライバシー保護を重視する場面では、トークン方式が有力な選択肢となります。トークン方式では、発行者が署名したデータをユーザが保持し、必要に応じて検証者へ提示します。

SD-JWT（選択的開示の実現）： SD-JWT（Selective Disclosure JSON Web Token）は、Web開発で汎用的に利用されるJWTを拡張した最新の技術です。最大の特徴は、一つのトークン内に含まれる複数の属性（氏名、資格、生年月日など）を個別にハッシュ化し、ユーザが「その場面で見せて良い情報だけ」を選択的に開示できる点にあります。ただし、ユーザは任意の属性や判定結果を自由に作成して提示するわけではなく、発行者があらかじめ署名した属性情報のみ提示できます。
例えば、発行者が「20歳以上である」という属性に予め署名をしていれば、酒類購入時の年齢確認において、生年月日そのものではなく「20歳以上である」という条件を満たすことのみを開示するといった、開示情報の最小化が容易に実現可能です。これは、検証者（サービサー）側にとっても、不要な個人情報を取得・保持するという管理リスクを回避できる大きなメリットとなります。

mdoc（モバイル運転免許証規格）： ISO/IEC 18013-5として標準化されたmdocは、主にモバイル運転免許証（mDL）への採用を念頭に設計された規格です。特徴的なのは、オンラインでの検証だけでなく、BluetoothやNFCを用いた「オフラインでの対面確認」に最適化されている点です。通信環境が不安定な場所であっても、デバイス間通信によって高い真正性を保ったまま属性を提示・検証できるため、物理的な資格証や身分証をデジタル化する際の有力な選択肢となっています。

3. 方式選択の視点：ユースケースによる技術の使い分け

証明書方式とトークン方式は、どちらか一方が優れているというものではなく、目的とする「信頼の形」によって選択されるべきものです。法的・制度的な責任の重い「発行」の手続きや、長期的な証跡保存が求められるB2B取引などにおいては、X.509による堅牢な証明書方式がその真価を発揮します。対照的に、スマートフォンを介した日常的なサービス利用や、エンドユーザのプライバシー保護を最優先するB2Cのシーンにおいては、SD-JWTやmdocといったトークン方式が最適なユーザ体験とセキュリティを提供します。これら二つのアプローチの特性を正しく理解し、対象とするサービスの性質に応じて最適な技術を選択することこそが、信頼と利便性を両立させた属性認証システムの設計における要諦となります。

デジタルウォレットをめぐる国際動向

属性認証技術は、単独のシステム実装にとどまらず、デジタルアイデンティティやデジタルウォレットを含む国際的なエコシステムの中で発展しています。その中心にあるのが、属性情報を保持し、ユーザが必要に応じて提示するためのデジタルウォレットです。デジタルウォレットは、単なる証明書の保管場所ではなく、属性情報を状況に応じて柔軟に提示するための基盤として位置付けられています。
デジタルウォレットの価値は、物理的なカードや固定されたデータ形式に縛られず、ユースケースに応じて提示する情報を最適化できる点にあります。従来のデジタル証明書が抱えていた「全てか無か（身元情報をすべて明かすか、全く使えないか）」という二者択一から脱却し、プライバシーと信頼を高度に両立させる仕組みが、世界規模で設計されています。こうした特性は、年齢確認、資格確認、所属確認など多様な場面での活用を可能にするものです。

4. 欧州の主導権とeIDAS 2.0

現在、この分野で最も強力なリーダーシップを発揮しているのが欧州連合（EU）です。EUでは、域内全域でのデジタルアイデンティティの相互運用を目指す法枠組み「eIDAS 2.0」に基づき、EUDI Wallet（欧州デジタルアイデンティティ・ウォレット）の導入が国家プロジェクトとして推進されています。これは単なるアプリケーションの導入ではなく、公的に通用するデジタル証明の共通基盤を整備する取り組みといえます。
EUDI Walletの特筆すべき点は、その技術仕様を定めたARF（Architecture and Reference Framework）において、SD-JWTやmdoc（ISO/IEC 18013-5）といった最新技術を標準採用している点です。EUという巨大な経済圏がこれらの技術を「公式なインフラ」として定義したことは、世界の技術動向に対して決定的な影響を与えています。各国の制度設計や民間事業者の実装方針にとっても、EUの選択は無視できない参照点になっています。
日本においても、国際的なビジネス展開やクロスボーダーでの資格・属性証明を視野に入れる場合、eIDAS 2.0との相互運用性は避けて通れない課題です。ARFの動向は、日本の制度設計や技術選定における事実上のデファクトスタンダードとして、極めて重い意味を持っています。

5. Big Techの動向

欧州が公的な枠組みで標準化を進める一方で、巨大IT企業（Big Tech）は、OSレベルでの垂直統合による「利便性」を武器に、デジタルウォレットの覇権を握ろうとしています。制度による相互運用性の確立を目指すEUとは異なり、Big Techは日常的に使われるスマートフォンの体験そのものを通じて普及を進めている点が特徴です。
各OSに対応するWalletは、既にISO規格であるmdocをサポートし、モバイル運転免許証（mDL）などの公的証明書の取り込みを一部地域で開始しています。OSにネイティブ実装されたウォレットは、ユーザ体験（UX）の面で圧倒的な優位性を持ち、NFCやBluetoothを用いた非接触での提示もスムーズに行えます。さらに、端末の生体認証機能やセキュアな実行環境と連携できることも、大きな強みです。
しかし、ここで浮上するのが「デジタル主権」の問題です。医師免許や行政上の資格、あるいは公的な身分証明といった「公共性の高い属性情報」の管理主権を、一民間企業のプラットフォームにどこまで依存させて良いのか、という議論が世界各国で活発化しています。プラットフォーマー側に「誰が、いつ、どの属性を提示したか」というログが蓄積されるリスクや、プラットフォーム側のポリシー変更によって公的な証明機能が制限されるリスクは、国家のガバナンスにとって看過できない論点です。加えて、公的証明の流通経路そのものが特定プラットフォームに依存することへの懸念もあります。

6. 信頼のOSを巡る日本の立ち位置

デジタルウォレットを巡る覇権争いは、単なるアプリのシェア争いではなく、デジタル社会における「信頼のOS」を誰が提供するかという争いです。欧州のように官民が連携してオープンな標準規格に基づくエコシステムを構築するのか、あるいはBig Techが提供する高度なUXを前提としたエコシステムに相乗りするのか。日本が誇る強固なJPKI（公的個人認証）基盤を、これらグローバルなウォレットの潮流とどう接続させるかが、今後の戦略的要諦となります。
情報の管理主権を自国や自組織（病院・士業団体等）に維持しつつ、提示のインターフェースとしてはグローバルなウォレット規格も許容する。こうした「データの主権」と「利用の利便性」を両立させた日本独自のトラストフレームワークの確立こそが、デジタル競争力における鍵となるでしょう。属性認証の技術動向を追うことは、そのまま「デジタル社会の統治機構」の未来を設計することに他ならないのです。
 

第三回はこちらから：日本におけるトラスト基盤の歩みと属性認証 ～ 属性認証のあるべき姿と求められるガバナンス ～