電子証明書の有効性確認時に「ルート証明書が見つかりません」というメッセージ
こんにちは。CSサポート部 大内です。
数年前と比べ、司法書士の先生方からオンラインの共同申請に関するご相談を受けることが増えたように感じます。その中で、「このメッセージは確かに少し分かりづらいけれど、実はとても重要だな」と感じた事例があったので、今回はその話をテーマに書いてみたいと思います。
オンラインの共同申請では、権利者側代理人と義務者側代理人が、それぞれ電子署名を行います。
今回のケースでは、
・権利者側代理人：商業登記に基づく電子証明書を使用
・義務者側代理人：セコムトラストシステムズが発行する電子証明書を使用
という組み合わせでした。
どちらも実務ではよく使われている電子証明書で、署名そのものは問題なく行われています。ところが、権利者側代理人の先生が、オンライン送信前に、相手方（義務者側代理人）の署名について有効性確認を行ったところ、次のようなエラーが表示されました。
「ルート証明書が見つかりません」
このエラーを見ると、「相手の署名が間違っているのでは？」と不安になるかもしれません。しかし、電子署名の有効性確認で見ているのは、単なる署名の有無だけではありません。
有効性確認では、主に次のようなことを確認しています。
・完全性
電子署名後に、申請データや署名内容が改ざんされていないか。
・有効期間・失効状態の妥当性
電子証明書が、現在時点で有効期限内であるか。失効されていないか？
・信頼性
その電子証明書が、信頼してよい第三者によって発行されたものか。
今回問題になったのは、このうちの「信頼性」の部分でした。
この「信頼性」という考え方は、司法書士の先生方にとって決して難しいものではありません。むしろ、日常業務で行っている「印鑑確認」と非常によく似ていると思います。
例えば、委任状や議事録に押された印鑑について、「市区町村に印鑑登録されているか」や「印鑑証明書と一致しているか」を確認しますよね。印鑑が押されているという事実だけでは足りず、「誰がその印鑑を保証しているのか」が重要になります。電子証明書でも、考え方は同じです。
ITの世界では、第三者による保証が一切ない電子証明書のことを、俗に「オレオレ証明書」と呼ぶことがあります。これは印鑑でたとえると、印鑑登録されておらず印鑑証明書も存在しないにもかかわらず「これは本人の印鑑です」と主張されている状態に近いです。偽造された印鑑や、第三者によってでっちあげられている可能性を排除できない以上、信頼して扱うことはできません。
ここで重要になるのが「ルート証明書」です。
ルート証明書とは、「この認証局が発行した電子証明書なら信用してよい」という前提となる証明書です。一般的なパソコンには、あらかじめ一定数のルート証明書が登録されています。
ただし、すべての認証局のルート証明書が網羅的に登録されているわけではありません。そのため、利用環境によっては、ルート証明書が未登録のままになっていることがあります。
今回のケースでは、セコムが発行した電子証明書自体に問題があったわけではありません。完全性も、有効期間・失効状態の妥当性も満たしていました。
ただし、確認を行った環境では、その電子証明書を最終的に保証するルート証明書が登録されていなかったため、「誰が発行した証明書なのか確認できない」という状態になり、「ルート証明書が見つかりません」というエラーが表示された、というわけです。
では、このエラーが出た場合、どうすればよいのでしょうか。
その電子証明書を発行している認証局が誰であり、信頼できる存在であることを確認したうえで、その認証局のルート証明書を利用環境に登録する、という操作を行うことで電子署名が「どこで発行され、誰によって保証されているのか」を確認できるようになり、電子署名の信頼性が担保されます。
印鑑で言えば、「この市区町村が発行した印鑑証明書だから信用できる」という感覚に近いです。
なお、ルート証明書の登録は、「この認証局を無条件で信頼する」という意味を持ちます。そのため、出所が不明なものを安易に登録するべきではありません。信頼できる認証局であること、司法書士業務での利用実績があることを確認したうえで対応することが重要です。
「ルート証明書が見つかりません」というエラーは、電子証明書の完全性や有効期間・失効状態の問題ではなく、信頼性を確認するための前提情報が不足していることを示している場合がほとんどです。
一見難しそうなエラーメッセージも、こうして一歩踏み込んで背景を追ってみると、普段行われている実務と重なる部分もあって、面白いと思ったので今回紹介させていただきました。
