テクノロジー

記録の仕組みを、機構を知りたい方に。

ここを読む必要はありません。記録が何をするかは、サイトの他の部分が平易な言葉で述べています。このページは機構の名前を挙げ、セキュリティのページは統制を述べます。

稼働中のシステムで実際に見る 統制の名前
$ openssl ts -verify -in deal_8821.tsr -data evidence_pack.zip
Verification: OK

実際のパックに対して実行したタイムスタンプの検証です。誰かに受け入れてもらうためのスクリーンショットではなく、検証する人が自ら実行するものです。

証跡が先
e4b1f2…⟶9c07ad…⟶53fe21… ✓ 独立した第三者によるタイムスタンプ✓ 署名済み

記録は、検証する人自身の機器で確認されます。

証跡パックは、検証する人自身の機器で、無償の標準的なツールを用いて確認されます。完全性、帰属、時刻は、監査人や裁判所が記録に求める三つの事柄であり、この確認が示すのはそのうちの狭い範囲です。文書が変更されていないこと、主張どおりの出所から来ていること、そして記載された時点に存在していたこと。タイムスタンプが独立した機関に由来するからです。その記録が特定の法的基準を満たすかどうかは引き続き弁護士の問いですが、完全性と日付は誰の言葉にも依存せず、この確認のどの部分にも Exedra Gate の許可は要りません。

  • 順序どおりに連鎖。後から何かが変更、挿入、並べ替えされれば、記録自身がそれを示します。
  • 独立した第三者によるタイムスタンプ。当社のものではない時計がいつを定めます。形式は RFC 3161 で、標準的なツールがすでに検証できるものです。設計上フェイルクローズドです。タイムスタンプが必要な場合、有効なタイムスタンプがなければ証跡パックは作られません。証明できない記録を作ることを、システムが拒むからです。
  • 発生元での署名。誰が作成したか、そして内容が損なわれていないかを、案件が閉じた何年も後に、オフラインで確認できます。
一つの記録が、行為から検証する人まで

行為はその場で記録され、Exedra Gate がフィンガープリントを付けます。各エントリは一つ前のエントリのフィンガープリントを持つため、変更、挿入、並べ替えがあればチェーンは一致しなくなります。パックの中身はマニフェストに列挙され、発生元で署名されて、誰が作成したかと、内容が損なわれていないことを示します。署名されたパックには次に、Exedra Gate ではない機関が RFC 3161 形式でタイムスタンプを付与し、これがいつ存在したかを定めます。パックは確定し、フェイルクローズドで動きます。タイムスタンプが必要な場面では、有効なタイムスタンプがなければ証跡パックはまったく作られません。何年も後に、検証する人は誰でも、七つの独立した検証を無償の標準的なツールでオフラインで実行します。ハッシュチェーンは改ざんを検知します。防ぐわけではありません。

三つのフィンガープリントは、この節の冒頭に示したものと同じです。これは一つの記録であって、二つ目の例ではないからです。最後の行が示すことは狭く、確認できます。文書が変更されておらず、その時点に存在していたということです。ハッシュチェーンは改ざん検知可能であり、改ざんを防ぐとは述べません。
検証ツールの名前

exedragate-verify

「オフラインで検証できる」と繰り返すページは、その検証を行うものを読者に示す義務があります。名前があります。exedragate-verify は、書き出されたパックに対して七つの独立した検証を実行する、単体のコマンドライン検証ツールです。端から端まで再計算したハッシュチェーン、発生元の署名、独立した第三者によるタイムスタンプ、パックの内部整合性、それ自身の生成イベント、すべての行為の帰属、そしてパックのマニフェストと突き合わせた PDF です。ネットワークには一切接続せず、タイムスタンプ機関のトラストアンカーはツールの中に同梱されています。ご要望に応じて提供しており、顧客にも、顧客を確認する側にも同じように提供します。タイムスタンプは標準の OpenSSL でも検証できるため、当社のツールに依存するものは何もありません。

正確な仕組みの名前 → セキュリティ

◲ Visual · coming soon 証跡パックの検証 evidence-verify
チェーンが実際に行っていること

各エントリは一つ前のエントリのフィンガープリントを持つため、変更、挿入、並べ替えがあればチェーンは一致しなくなります。一つ目のエントリでは行為が記録され、フィンガープリントは e4b1f2 です。二つ目のエントリは一つ前のフィンガープリントと自身の 9c07ad を持ちます。三つ目のエントリは一つ前のフィンガープリントと自身の 53fe21 を持ちます。次にパックには独立した機関がタイムスタンプを付与し、発生元で署名されるため、検証する人はオフラインで、変更されていないこと、そしてその時点に存在していたことを確認できます。ハッシュチェーンは改ざんを検知します。防ぐわけではありません。

途中で何かを変更、挿入、並べ替えれば、フィンガープリントは一致しなくなり、記録がそれを示します。それは検知であって、防止ではありません。ハッシュチェーンは改ざん検知可能であり、改ざんを防ぐとは述べません。

記憶の先へ。

セキュリティの名前

形容詞ではなく、仕組みの名前を。

テナントの分離 テナント単位のすべてのテーブルに Postgres の行レベルセキュリティを適用しています。分離はアプリケーションではなく、データベースで強制されます。
強固な認証 サインインにはパスワードだけでなく携帯電話が必要です。現在は認証アプリを用い、携帯端末での署名には端末に結び付いたパスキーをすでに提供しています。SMS やメールによる一回限りのコードは使いません。規制当局が段階的に廃止しつつある経路だからです。
フェイルクローズドの証跡 タイムスタンプが必要な場合、有効なタイムスタンプがなければ証跡パックは作られません。証明できない記録を作ることを、システムが拒みます。
データ保護 GDPR、スイスの改正データ保護法、およびその他の地域制度に基づく義務に対応できるよう設計されており、スクリーニングで名前が挙がった個人の訂正請求権も含みます。
オフラインでの検証可能性 証跡パックは、Exedra Gate のサーバーとは無関係に、標準的なツールで検証できます。
証跡に含まれるものと、含まれないもの 文書、署名、文書へのアクセスは、署名とタイムスタンプの付いた記録の一部です。当事者間のメッセージは含まれず、当社はそれを証跡とは呼びません。
データの所在 本日時点では地域内のマネージドクラウドです。法域内への設置およびソブリンクラウドでの導入は、範囲を定め、導入業務として提供します。

それらの仕組みの背後にある、公表された文書。

各項目は、上に挙げた仕組みが実装している文書と、それを発行した団体の名前を示します。フレームワークの名前を挙げることは、本プラットフォームがその公表された要件に沿って設計されたという意味です。Exedra Gate がいずれかの当局から免許を受け、監督を受け、あるいは推奨されているという意味ではありません。

  • EU / CH GDPRおよびスイスの改正データ保護法 テナントの分離をデータベース自体で強制し、保存期間を定め、記録を訂正するための手順を文書化しています。 規則 (EU) 2016/679、データ保護に関する連邦法 SR 235.1
  • EU eIDASの高度電子署名の要件 (第26条) 署名者と文書の双方に一意に結び付けられた署名であり、いずれかに後から変更が加えられた場合はそれを検知できます。高度電子署名 (advanced electronic signature) であり、適格電子署名ではありません。 規則 (EU) No 910/2014 第26条
  • IETF RFC 3161によるタイムスタンプ 記録に付される時刻は当社ではなく独立した機関に由来します。文書がいつ存在したかについて、証拠として許容される記録です。 Time-Stamp Protocol (TSP), RFC 3161
  • IRTF / NIST Ed25519とSHA-256 公開されたアルゴリズムであるため、当社を信頼しない第三者でも一般的なツールで証跡パックを検証できます。 Edwards-Curve Digital Signature Algorithm (EdDSA), RFC 8032; Secure Hash Standard (SHS), FIPS 180-4
  • W3C WCAG 2.1 AA axeを用いてページごとに監査しています。公共部門や機関投資家の調達審査が求めるのは、この形式の監査です。 Web Content Accessibility Guidelines 2.1, レベル AA

フレームワークの名前を挙げるとはどういうことか →

◲ Visual · coming soon 監査証跡を、検証する人が見るとおりに tech-audit-trail
用語の定義。
上で用いた用語は、セキュリティのページでそれぞれ一文ずつ定義しており、コンプライアンス責任者が確認する統制や、検証する人が独立して実行する検証コマンドも併せて示しています。