電子署名とデジタル署名の見分け方

同じ金曜日に届いた2つの依頼

小林さんは小さな設計事務所の総務を担当しています。午後3時に2通のメールが届きます。1通はクライアントからで、4ページの fee_proposal_v3.pdf に「今日中に署名して返送してください」とあります。もう1通は公共入札のポータルからで、bid_declaration.pdf を「代表者の適格電子署名を付けて」火曜日の正午までにアップロードするよう求めています。

同じ「署名」でも、求められているものは別物です。クライアントはファイルを開き、最後のページに署名があるのを見て保管します。ポータルはアップロードされたファイルをソフトで調べ、認定された事業者の証明書を探して、それ以外はどんなにきれいな手書きでも受け付けません。自分がどちらのケースにいるかを見極めることが、作業の大半です。

大きなくくりと、その中の1つの技術

電子署名は1つの系統です。「同意する」のボックスにチェックを入れる、メールの末尾に名前を入力する、署名サービスでクリックして進む、手書き署名の画像をページに置く。共通しているのは意思、つまり人が電子的な方法で記録を承認することです。

デジタル署名は、その中で公開鍵暗号に基づくものです。ソフトが文書の指紋(ハッシュ)を取り、本人だけが管理する秘密鍵でそれに署名します。本人確認をした事業者が発行する証明書には、対になる公開鍵が入っています。これにより、対応するビューアーなら誰でも、本人に尋ねることなく、どの証明書が署名したか、署名された内容が1バイトも変わっていないかを確認できます。

つまり、デジタル署名はすべて電子署名ですが、日常の電子署名の多くは暗号をまったく使っていません。この2つの言葉は混同されがちで、メールの「デジタルで署名してください」は、単に「印刷しないで」という意味であることもよくあります。

並べて比較:ページ上のマークと証明書

法律での位置付け(概要のみ)

以下は一般的な背景情報であり、法的助言ではありません。ある署名が認められるかどうかは、国、文書の種類、当事者間の合意によって決まり、判断するのは依頼してきた相手か弁護士です。

欧州連合。eIDAS規則(規則(EU) No 910/2014)には3つの段階があります。単なる電子署名(シンプルとも呼ばれます)は、人が署名に使うあらゆる電子データです。高度電子署名は、署名者に一意に結び付いて署名者を特定できること、署名者だけが管理する手段で作成されること、その後のデータの変更が分かることが求められます。適格電子署名は、適格電子署名作成装置で作成され、適格証明書に裏付けられた高度電子署名です。全加盟国で手書きの署名と同じ法的効力を持つのはこの最上位の段階だけで、規則は、電子的であるという理由だけで署名の法的効力を否定してはならないと定めています。

米国。連邦のESIGN法と、UETAに基づく各州の法律は、特定の技術を指定することなく、大半の取引で電子署名に法的効力を認めています。どちらも一部の文書を除外しており、よく知られた例が遺言です。また、取引の相手方が特定の方法を求めることもできます。

「PDFに署名」が作るものと作らないもの

PDFに署名は、署名、イニシャル、日付、文字をページの内容に画像として直接描き込みます。動かせる注釈でも、証明書による署名でもありません。本人確認、証明書の添付、信頼できるタイムスタンプの付与、監査証跡の記録は行いません。確認するのは出力です。新しいコピーを開き直し、ページと選択可能なテキストを元と比べ、マークを付けた各ページを描画してマークが表示されていることを確かめます。

ファイルに証明書署名の欄がある場合、ツールは警告を出し、続行する旨にチェックを入れるまで待ちます。署名済みのPDFの新しいコピーを書き出すと、誰かが以前に付けた署名が無効になる場合があるためです。

目に見える電子署名だけで足りる依頼なら、次のように進めます。

1. 「PDFに署名」を開き、ファイルを選びます。パスワードで保護されたPDFは受け付けられません。
2. 「手書き」「文字入力」「アップロード」のいずれかでマークを作ります。
3. 該当するページで「署名を配置」を使い、求められていれば「日付を配置」や「イニシャルを配置」も使います。それぞれのマークを線の上までドラッグし、大きさを調整します。
4. 署名欄についての警告が出たら、チェックを入れる前に送り主に確認してください。
5. 「PDFにマークを追加」を選び、確認が終わるまで待ちます。
6. 署名済みのコピーをダウンロードし、署名前の元ファイルも残しておきます。

配置のコツを含む具体例は、PDFに手書きの署名を入れる方法で紹介しています。

どちらが必要かを見分ける依頼文の手がかり

• 適格、高度、QES、証明書、トラストサービス事業者、PAdES、「検証可能」といった言葉:証明書による署名です。
• アップロードを検証するポータル、銀行、裁判所、公証人、役所の書類:たいていは証明書によるもので、受け付ける事業者の一覧が示されていることも多くあります。
• 「署名して返送」「各ページにイニシャル」、または印刷された署名欄:通常は目に見えるマークが求められています。
• 送り主の電子署名サービスへのリンク:そこで署名すれば、相手の記録がそろいます。

依頼があいまいなら、「証明書による署名が必要ですか、それとも署名済みのコピーで問題ありませんか」と1行で返信してください。アップロードを差し戻されるより、ずっと手間がかかりません。

よくある間違いと、その直し方

• 証明書が必要な場所に手書きのマークを送る。受け取った側の署名パネルには何も表示されません。証明書で署名し直してください。画像を証明書による署名に変えられるツールはありません。
• 証明書で署名したあとに編集する。結合、ページの追加、ファイルの圧縮は新しいファイルを書き出すので、署名が壊れます。変更はすべて先に済ませ、署名は最後にしてください。
• 誰かがすでに証明書で署名したファイルに書き込む。その人の署名が無効と表示されることがあります。相手のシステムで署名してほしいかどうかを尋ねてください。
• 「有効」を「承認済み」と受け取る。有効なデジタル署名が示すのは、誰が署名したかと、何も変更されていないことです。条件が公正であることや、署名者に権限があったことは示しません。

ブラウザーのツールが向かない場合

適格署名が必要なら、適格トラストサービス事業者を利用するか、国が提供していればeIDカードやモバイルIDを使うか、勤務先のIT部門に相談してください。選択肢は証明書による署名の準備で紹介しています。

送り主が電子署名サービスを使っているなら、そのリンクから署名してください。遺言、不動産の権利証書、裁判所への提出書類、公証を受ける文書には独自の形式的な決まりがあり、立会人や紙の原本が必要なこともあるので、先に所管の機関か弁護士に確認してください。Mac、Windows、スマホでの日常的な書類については、署名の基本ガイドに標準機能での方法をまとめています。