自称完璧なマイナンバー保護技術『セキュリティフォント』 その1

企業のマイナンバーを完璧に保護するA・Tコミュニケーションズの「セキュリティフォント」 - 経済産業新報 | 経済産業新報

マイナンバーなど重要な番号情報のところだけをセキュリティフォント化(暗号化)する。「デジタルデータを暗号化するのは誰でも出来るが、フォント
自体が特殊な上、インターネット上に流通していない専用フォント(豊泉書体)を使ってマイナンバーを暗号情報に変えるため、改ざんが非常に困難となるわけ
です」(同)。

運用は至って簡単だ。セキュリティフォントを作るエンコーダーと解除するデコーダー、専用のセキュリティフォントの3つのツールを企業向けにカスタ
マイズして導入すれば、すぐに利用できる。導入費用は管理する人数にもよるが1データあたり100円程度の初期投資で導入できるそうだ。

セキュリティフォントの特長は、①システム導入に伴うシステム改修の工数が少ない、②古いシステムや特殊なOSに対し、容易に対応が可能、③運用ルールの仕様変更に容易に対応可能、④データ長が変わらず、かつ暗号化したまま運用できるので、サーバに負荷がかからない、⑤パスワードの盗用による「なりすまし行為」に強い、⑥タイムスタンプやGPS情報も埋め込むことが可能、といった他のセキュリティ技術にはない特異な点がある。

これの記事を見ただけだと専用フォントでエンコードしただけの仕組みに見える

①システム導入に伴うシステム改修の工数が少ない
|。・ω・) 。o (文字列何かに置換するの?)

②古いシステムや特殊なOSに対し、容易に対応が可能
|。・ω・) 。o (MS-DOS とかにも対応…ISH ?)

③運用ルールの仕様変更に容易に対応可能
|。・ω・) 。o (運用ルールに依存しない…ISH ?)


データ長が変わらず、かつ暗号化したまま運用できるので、サーバに負荷がかからない
|。・ω・) 。o (データ長固定、テキストのまま運用…ISH ?)

⑤パスワードの盗用による「なりすまし行為」に強い
|。・ω・) 。o (ISHの生のデータだと読めないって話 ?)

⑥タイムスタン
プやGPS情報も埋め込むことが可能
|。・ω・) 。o (不可情報の埋め込み…ISH ?)

|。・ω・) 。o (これ、なんてISH ?)

# ISH は 1987年位から、草の根ネットで、バイナリデータをテキストにして、付加データを追加して
エンコードして、テキスト通信だけでファイルをやり取りできるようにした、 和製の UUENCODE の
拡張規格


2015-019126号 コンテンツデータ処理装置、コンテンツデータ処理方法、及びプログラム - astamuse
調べたら、詳細があった

概要
セキュリティフォントデータms’と埋込値u’との排他的論理和を算出して、元のアウトラインフォントデータと同一のアウトラインフォントデータm’を生成することにより、元のアウトラインフォントデータが示す文字の形状を復元する。判定値cとアウトラインフォントデータm’のハッシュ値h’とを用いて、判別値cpを算出する。そして、判別値cと判別値cpとが合致するか否かを判別することにより、セキュリティフォントデータms’が偽造・改竄されていないか否かの認証を行う。

ちょっとこれだと分からんので解説

また、上記コンテンツデータ処理装置において、

前記第1判別値及び前記第1コンテンツデータとの排他的論理和が算出される前記所定の埋込値は、該第1判別値をc、該所定の埋込値をu、該第1コンテンツ
データのハッシュ値をh、有限体上の楕円曲線EのベースポイントをG、ベースポイントGの位数をn、所定の乱数値をk(1≦k≦n-1)、V=kG=
(xv,yv)、秘密鍵をd(1≦d≦n-1)とした場合、以下の数1に従って求められ、

前記第2判別値算出手段は、前記第2コンテンツデータとの排他的論理和が算出される前記所定の埋込値u’、前記排他的論理和のハッシュ値をh’、公開鍵をQ=dG、前記第2判別値をcpとした場合、以下の数2に従って、前記第2判別値を算出する、

楕円曲線ディフィー・ヘルマン鍵共有 を使う話っぽい

本実施形態において、制御部12は、まず、記憶部11に記憶されているアウトラインフォントデータmのハッシュ値h=H(m)を求める。

0027

次に、制御部12は、ハッシュ値hを用いて埋込値uを求める。

0028

具体的に、制御部12は、まず、乱数値k(1≦k≦n-1)(nは素数)を生成してV=kG=(xv,yv)を求める。ここで、Gは有限体上の楕円曲線Eのベースポイントであり、G=(x,y)∈Eと表される。また、nはGの位数である。次に、制御部12は、以下の数3に従って、判別値cを求めるとともに、秘密鍵d(1≦d≦n-1)及び判別値cを用いて、埋込値uを求める。

0029

0030

続いて、制御部12は、アウトラインフォントデータmと埋込値uとの排他的論理和を求め、セキュリティフォントデータmsを生成する。このように生成されたセキュリティフォントデータmsは、原理的には、楕円曲線暗号(ECC:Elliptic Curve Cryptography)を用いた電子署名(ECDSA:Elliptic Curve Digital Signature Algorithm)に基づいており、安全性が高いものとなる。

0031

ここで、文字の輪郭線を構成する直線及び/又は曲線の始点xs及びys、並びに終点xe及びyeの座標値の最下位ビット(LSB:Least Significant Bit)に、埋込値uを埋め込んだ場合には、始点xs及びys、並びに終点xe及びyeが僅かしか移動しない。このため、文字の形状は、見た目上気付かれない程度にしか変化しないか、気付かれるようなものであっても十分に認識できる程度にしか変化しない。

0032

一方、文字の輪郭線を構成する直線及び/又は曲線の始点xs及びys、並びに終点xe及びyeの座標値の最上位ビット(MSB:Most Significant Bit)に埋込値uを埋め込んだ場合には、始点xs及びys、並びに終点xe及びyeが大きく移動するため、文字の形状は、認識できない程度にまで変化する。

なお、制御部12は、文字の輪郭線を構成する直線及び/又は曲線の座標値のうち、始点xs及びys、並びに終点xe及びyeの座標値の最下位ビットに、埋
込値uを埋め込んでもよいし、始点xs及びys、並びに終点xe及びyeの座標値の最上位ビットに、埋込値uを埋め込んでもよい。また、制御部12は、文
字の輪郭線を構成する直線及び/又は曲線の座標値のうち、始点xs及びys、並びに終点xe及びyeの座標値の最下位ビット及び最上位ビット以外のビットに、
埋込値uを埋め込んでもよく、始点xs及びys、並びに終点xe及びyeの座標値の全ビットに、埋込値uを埋め込んでもよい。あるいは、文字の輪郭線を構
成する直線及び/又は曲線の座標値のうち、始点xs及びys、並びに終点xe及びyeの座標値の最下位ビット、最上位ビット、並びに制御点xc及びycの
座標値のうちのいずれか二つに、埋込値uを埋め込んでもよい。さらには、文字の輪郭線を構成する直線及び/又は曲線の座標値の全てに埋込値uを埋め込んで
もよい。

要するに、フォント1文字ずつの始点や終点や制御点の特定バイト目のオフセットとして埋め込み値を導入するってことらしい。

埋め込む場所をカスタマイズすることによって、別の管理会社だと同一フォントにならないってことか・ω・

まず、豊泉書体 を使って、特定パラメータをかけ合わせた新たな、アウトラインフォントデータを作成するってのがポイント。
つまり、秘密鍵の代わりに、アウトラインフォントと元のフォントを比較して計算することができるキーワードを使う仕組みになってると。
やってることは楕円曲線ディフィー・ヘルマン鍵共有(ECDH)をめんどくさくしただけっぽい。

上記実施形態では、コンテンツデータの偽造・改竄の検出に楕円曲線暗号を用いた例を説明したが、本発明はこれに限定されるものではなく、RSA(Rivest-Shamir-Adleman)暗号やエルガマル暗号等の公開鍵暗号(非対称鍵暗号)を用いてもよい。また、アウトラインフォントデータmの始点xs及びys、終点xe及びye、及び/又は制御点xc及びycの各座標値に暗号を埋め込み、鍵保有者のみが復号できるアルゴリズムとすれば、AES(Advanced Encryption Standard)暗号や、DES(Data Encryption Standard)暗号(好適には3DES(Triple DES)暗号)等の共通鍵暗号(対称鍵暗号)の適用も可能である。一例として、鍵保有者以外の第三者が復号しても元のアウトラインフォントデータmが示す文字の形状を正しく復元できないシステムや、秘密情報を暗号化してアウトラインフォントデータmに埋め込んで使う秘密通信等が考えられる。

RSAなどに置き換えられるって書いてるけど、ほんとその通り。
要するに鍵暗号をフォント使った仕組みにしただけ。

ちょっと長くなったので、後半へ続く・ω・

おすすめ

2件のフィードバック

  1. yoka より:

    沢山ある企業の中で情報を盗まれた企業はごく一部です。ほとんどの場合、情報管理がしっかりしていれば情報流出は起きていないのではないかと思われます。こういう点を無視して少々悪辣な管理運用をしていてもこの技術で情報流出が防げるような発表はどうかと思いますね。
    この問題は情報に対する企業の価値観の問題では無いでしょうか。

  2. yoka より:

    沢山ある企業の中で情報を盗まれた企業はごく一部です。ほとんどの場合、情報管理がしっかりしていれば情報流出は起きていないのではないかと思われます。こういう点を無視して少々悪辣な管理運用をしていてもこの技術で情報流出が防げるような発表はどうかと思いますね。
    この問題は情報に対する企業の価値観の問題では無いでしょうか。

コメントを残す

メールアドレスが公開されることはありません。 が付いている欄は必須項目です