番号をアルゴリズムで変換する場合のリスク

Nat Sakimura/崎村夏彦 @_nat

分野の定義はすべきと委員資料にもあります。参照テーブルが良いのかアルゴリズム変換が良いのかは、ケースに寄るので両論併記です。オーストリアでも、ssPINをユーザ利用識別子に紐付けるには、テーブルを使うはずです。 #kokuminid

佐藤慶浩 Yoshihiro Satoh @4416sato

アルゴリズム変換はどんなとき使うのだろ？危殆しないアルゴリズムでない限り、危殆してもなお過去に遡って元情報を保護できるケースは少なそう。@_nat: ～。参照テーブルが良いのかアルゴリズム変換が良いのかは、ケースに寄るので両論併記です。～。 #kokuminid

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

テーブルを持つことは維持する運用業務が発生するし、テーブル自体に意味内容が発生する場合も。なにも考えずに機械的に処理したい場合にアルゴリズムなんだろうと思っています。情報を持ちたくない場合と言ってもも良いかも。 #kokuminid

佐藤慶浩 Yoshihiro Satoh @4416sato

情報を持ちたくないなら、そもそも変換された番号を得る必要がないのでは？@AKHYSH: なにも考えずに機械的に処理したい場合にアルゴリズムなんだろうと思っています。情報を持ちたくない場合と言っても良いかも。 #kokuminid

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

@4416sato Relying Partyが外部から取得した情報の番号と自分が管理する番号の変換をするには対応表になると思います。sPinとssPinの変換のように情報連携の経路というか、データを保持しない部分で。　#kokuminid

佐藤慶浩 Yoshihiro Satoh @4416sato

@AKHYSH データの話しはしていないです。番号を変換して相手に渡すということをしたら、その変換アルゴリズムが将来危殆したら＝誰でも元に戻せるようになったら、それは変換番号を渡していたことはが事実上元の番号を渡していた＝流出していたのと同じことにならないかという懸念なのですが。

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

@4416sato それはあります。逆変換ルールが暴かれると危険。どの範囲に影響が及ぶかはやり方次第でしょうが。そのあたりとテーブルの漏洩や不整合のリスクなどと比較して、適用箇所が決まるのだと思います。

佐藤慶浩 Yoshihiro Satoh @4416sato

@AKHYSH 危殆の意味がわかりづらかったということでしょうか？テーブルの流出とアルゴリズムの危殆はレベルが異なると思いますよ。原案は両論併記となっていることについて、テーブルがあるのにアルゴリズム変換を併用するケースは何があるのかが、私の最初の質問ツイートです。

佐藤慶浩 Yoshihiro Satoh @4416sato

補足:『危殆』の意味は、変換アルゴリズムにより、誰も逆変換できなかったり、権限者だけが逆変換できるはずのものが、将来、逆変換する方法が新たに発見されて、誰でも又は権限のない人が逆変換できてしまうようになることをいいます。#kokuminID

佐藤慶浩 Yoshihiro Satoh @4416sato

@AKHYSH なぜ変換のアルゴリズム危殆がレベルが違うかと言うと、それで得た変換番号は厳格な保護対策が取られずに利用されることがあり得るからです。危殆したからといって、そのとき急に、以前の番号は逆変換可能になったので保護してくれと言っても手遅れになるのです。

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

@4416sato 情報保有機関が利用番号とリンクコードを対応するのは対応表。リンクコードとIDコードはアルゴリズム。が現状安（確定ではない）です。その意味ではテーブルがあるのにアルゴリズムを使うわけではないです。

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

@4416sato かりにIDコードとリンクコードを対応表にした場合、その漏洩は作りようによっては広範囲なコード対応がばれるので危険であると。他方、アルゴリズムはそれ自体が危殆化した場合に危険である。

佐藤慶浩 Yoshihiro Satoh @4416sato

@AKHYSH リンクコードからIDへのアルゴリズム危殆についえはリスクを許容するということですかね？その時点でリンクコードを一斉に降り直すというのは技術的にはあるかもですが、運用としてリンクコードの降り直しには、その新旧の対応表とかが必要になるかもしれませんね。

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

@4416sato そうですね。インパクトの評価が重要だと思います。アクセスコントロール自体は番号変換と別にあるので、既有のデータに対する名寄せとかになるのか。

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

@4416sato 情報保有機関はリンクコードと利用番号の対応をもつので、リンクコードの履歴は不要と思います。ただ、振りなおしを一斉にといってもタイムラグがあるでしょうから、浸透するまでのあいだ旧リンクコードの利用を許す機関を持つかなど、課題はありますね。

佐藤慶浩 Yoshihiro Satoh @4416sato

@AKHYSH リプライでやりとりしたことtogetterして公開してもよいですか？

ヨシモトアキヒラ A.Yoshimoto @AKHYSH

@4416sato よいです。ぜんぜん。