日本外務省がCSCA証明書(公開鍵)の公開に応じない件に関するまとめ｜Guest

OSSTech濱野氏によるブログエントリが話題になっている。曰く、パスポート真正性確認アプリ開発のため、日本の外務省にCSCA証明書(公開鍵)の情報公開請求を行ったところ不開示の決定を受けたという。 外務省の不開示決定旅券冊子の情報暗号化に関する情報であり，公にすることにより，旅券偽造のリスクが上がる等，犯罪の予防及び公共の安全と秩序の維持に支障を及ぼすおそれ並びに日本国旅券の安全性が損なわれ，法人の円滑な海外渡航に支障を来すことにつながる可能性がある等，旅券事務の適正な遂行に支障を及ぼすおそれがある。 また、当該情報は，国際的に外交手段でのみ交換する慣行があり一般への公開をしない共通認識があるため，公にすることにより，他国，国際機関等との信頼関係が損なわれるおそれがあるため，不開示としました。不開示の理由は「セキュリティ」「国際慣行」の二つに分解することができる。この決定について濱野氏は

[public_key]

"A. 例えば「0」だったリスクが「1」になる可能性があるのでは" そもそも公開鍵のコンセプトが理解されてない感があるんだよな

[TakamoriTarou]

外務省が言っていることは正しいし、その判断の権限も責任も外務省でしょうよ。IWeb屋は自分の狭い常識を振り回して絶対正義のように扱うが、それで責任をとるわけでないのに、相手を罵倒する。醜悪の一言。恥を知れ

[kujoo]

担当者は、公開してはいけないものではないが公開する決まりがないから現状していない、と言っている。一般に広く公開するかどうかと、請求によって開示するかどうかは、手続き上まったく異なるが同じ対応でいいのか

[rokkakuika]

ようやく話しが見えてきた。仕組みとして公開鍵暗号方式を使っているだけで、それをインターネット上で広く公開するという想定は初めからなかったのだろう。これ以上は書けないけど。

[stp7]

やはり開示請求しても公開しないというのは意味不明だな

[shoh8]

誰にでも公開は日本外務省としてはダメというのは分かった。開示手続きでもダメっていうのはやっぱりよくわかんない。開示するがこれを公開することを禁ずるとか付記してもだめなのかな

[eru01]

情報公開請求に対して安全性がどうこうとか慣例ｗがどうこう言って拒絶した癖に、公開NGの規定無いとか面白いっすねｗ / “Q. CSCA証明書を公開してはいけないのか A. そういった規定はない”

[teraokaakihiro]

公開しないのは分かるけど、セキュリティを理由にしている割には運用が雑だ

[hamyteth]

「公開する決まりがない」「公開する想定でない」を不開示の理由にしていいなら、それを理由にどんな開示請求も不開示にできてまうやん。

[sin20xx]

内政不干渉であるという回答には疑問を感じる。そもそも自国の配布物を二次的に配布する側が自国のルール以上の裁量で行動を行う事を容認するという事は、二次配布を行う国に対してその行為を容認しているという事。

[shoi]

鍵配送を解決したpkiの凄さを官僚に説明しても無意味であり、元SEの政治家が必要って事が分かった。日本っぽくて残念だけど。

[blueroom555]

「Q. 他国のマスターリストで日本のCSCA証明書が公開されるのは構わないのか」 「A. 内政不干渉である」←外務省が放った渾身のギャグ

[mas-higa]

外務省が分かってないことは分かった。

[tetsutalow]

「Q. CSCA証明書を公開すると旅券偽造のリスクが上がるのか」「A. 例えば「0」だったリスクが「1」になる可能性があるのでは」本当，解ってないんだろうな．

[hazardprofile]

開示請求突っぱねられんでしょう

[nilab]

「CSCA証明書を「Webで公開するかどうか」と「情報公開請求で開示するかどうか」は全く違う話であることに留意されたい」

[la25]

なんか、技術に明るくないってよりかは、公開請求がきてもどうにかこうにか不開示にしたいって感じで嫌だな

[hamamuratakuo]

日本のIT政策は、エストニアの電子政府よりも遅れている？（不便）

[Dai44]

①他の国では民間でもパスポートの真贋を確認できるけど日本ではできない ②ドイツ等の他国が公開する日本の公開鍵は本物の日本の公開鍵であるかどうかを日本国が保証しない の2点はリスクだと思うんだけど

[asahiko]

“例えば「0」だったリスクが「1」になる可能性があるのでは” やっぱり公開鍵認証の仕組みわかってないんだと思うよ

[confi]

IT音痴なのかリスク査定の考え方に問題があるのかよくわからない

[mkusunok]

分かりやすいまとめ

[lainof]

公開鍵がある場合とない場合で偽造にかかる時間に差が無いって証明されてるの？

[sgo2]

理解できて無いのだろうけど、例えば秘密鍵公開しろという要求を理解不充分なまま応じたら大問題な訳で、「分からないから応じない」事自体は間違ってるとは言い切れない。

[sdkd6611]

まあ、内部に専門家がいてこういうの決めれるのが理想ではあるよね。 難しいだろうけど。

[I_L_S]

何故ダメなのか説明して欲しいよね

[ssids]

CAってぐらいで、証明書自体が正しい証明はそれ自身にはない。（例えばブラウザのCAはブラウザベンダが独自規定で保証しているだけ）で、現状は外交ルートで配布されたCA証明書しか公式には保証できない、ってことでは

[astrocyte]

よーわからんが、外務省 旅券課のひと、パッと出た電話でここまで答えられるのすげーと思った。

[ykhmfst2012]

「わかんないめんどくさいせきにんとりたくない」を大仰に言ってるだけだね。さすが日本のお役人様。

[anoncom]

しっかり確認してくれたのでありがたい記事。一般的に見たら別に公開されようがいいものだけど、内部の運用結局ポリシーがダメだからダメなだけなんだ。仕方ないとはいえ、もう少し考えて欲しいね。

[marmot1123]

一般に公開しないのはともかく、開示請求に対しては開示すべきだったというのがFAっぽい。

[paulownia]

情報公開法の行政文書に当たらないので開示しないと言えば納得はできんが仕方ないで済む話なのに、セキュリティとか言い出すからPKIを理解してないのでは？と不信感が募る

[als_uz]

もうわかんない

[tohima]

外務省としては規定はないが、公開するメリットが外務省としては全くないので公開しないってことなんだろうな。

[kjin]

“Q. 他国のマスターリストで日本のCSCA証明書が公開されるのは構わないのか A. 内政不干渉である”

[worris]

distributed.netとは何だったのか。

[aozansyo]

やはり不開示理由が謎。セキュリティ問題は誤認だし公開していけない規定もない。情報開示への考えが甘いのでは。

[fritzbeep]

読んでもやはり、外務省の言っていることは正しいと断定はできないなぁ…

[blueeyedpenguin]

一体何の0が1に変わるのやら