<前の日記(2005年01月15日) 次の日記(2005年01月23日)> 最新 編集

高木浩光@自宅の日記

目次 はじめに 連絡先:blog@takagi-hiromitsu.jp
訪問者数 本日: 459   昨日: 2811

2005年01月20日

日本のPKIを殺した真犯人は誰か

WebのPKIがもはや再起不能なまでにズダボロになったのには、日本特有の原因 もある。そう思える根拠が2つある。

日本サンマイクロシステムズ犯人説

10月17日の日記「電子政府つくるは素人ばかり」に書いた、つくば市の電子申請・届出 システムの事例では、署名Javaアプレットを閲覧者に実行させるにあたり、 つくば市は、「NTT BizLink,Inc」という得体の知れない認証局により発行さ れた「TSUAPP0002」という出鱈目な証明書*1を用いてアプレットに署名していた。 これについて市役所に問い合わせた際、担当者は、 「信頼できる団体と考えている。 矛盾した表示になっているが、これはマイクロソフトが……。」 とコメントしていた。

全くナンセンスなコメントなのだが、じつは、ここにこの問題の病根が垣間見 える。

たしかに、「信頼できない団体」という表現によって、図1のように表示され ると、あたかも NTT BizLinkという会社が、一般的な意味において、信頼でき ない会社であるかのように言われていると聞こえかねない。

図1: 「信頼できない団体」という表示

そういう言い方をされたと受け取った人が、「信頼できる会社のはずだ」と 思考硬直してしまうのは、無理もないことかもしれない。 その帰結として、「マイクロソフトが」間違っているに違いないという結論探 しに陥るのも、わからないでもない。下手をすれば、「マイクロソフトは外国 の会社だから、日本の会社を信頼できない団体よばわりするのだろう」といっ た、劣等意識的ナショナリズム思考を招くことさえあるかもしれない。

ちなみに、この警告を出しているのは、Sun Microsystems社製の「J2RE (Java 2 Runtime Environment)」であり、マイクロソフトは無関係である。

じつは、この「信頼できない団体」という表現は、 サンマイクロシステムズによる誤訳なのだ。

この警告の原文を確認するため、英語版Windowsで動作させたときの様子を、 図2に示す。

図2: 英語版の警告文*2

このように、原文では、

The security certificate was issued by a company that is not trusted.

となっている。「信頼されていない」と訳すべきところを、 誰かが「信頼できない」という変な訳をあててしまった*3

この種のPKIによる真正性の確認というものは、ユーザが信頼の基点として登 録している認証局からの認証パスが辿れるか否か(ユーザによって trusted なのか not trusted なのか)という、機械的な区別でしかないにもかかわら ず、「信頼できない団体」という誤訳が普及してしまったことで、主観的な評 価を指すかのような誤解を招いているのではなかろうか。

また、他の部分でも全般的に訳がいいかげんなため、意味がわかりにくくなっ ていることが、この重要な警告の理解を誤らせているように思える。たとえ ば、「issue」と「publish」が区別なく同じ「発行」として訳されているため、 認証局による証明書の発行と、証明書で署名したコンテンツのパブリッシュが 混同して読まれるおそれがあるし、「authentcity」(出所の正しさ、真正性) が「信頼性」と訳されていて、「trusted」の訳の「信頼」とごっちゃになって、 意味がボヤボヤにぼやけてしまっている*4

マイクロソフトKK犯人説

「信頼できない」と「信頼されていない」の表現にいったいどれほどの違いが あるというのか? という疑問はあるかもしれない。「信頼されていない」と いう表現なら誤解を招かないかというと、怪しいものだ。

図3は、おなじみの、Internet Explorerで https:// ページにアクセスしたと きに出ることのある警告である。ここでは「信頼する会社」という表現が使わ れている。サンマイクロシステムズの受動態表現より、このように能動態で書 かれている方が、いくぶん誤解を招きにくくなっているかもしれない。

図3: IE日本語版の警告文「信頼する会社」のくだり

ところが、これもじつは誤訳なのだ。

英語版のInternet Explorerでは、この警告は図4のように表示される。

図4: 英語版のIEでの警告文

つまり、英語版IEでは、

The security certificate was issued by a company you have not chosen to trust. View the certificate to determine whether you want to trust the certifying authority.

このセキュリティ証明書は、信頼するところとしてあなたが選択して いない会社から発行されています。あなたはこの認証機関を信頼し たいかどうか、証明書を検視して決定してください。

と書かれているのである。きわめて的確な説明が書かれているのだ。

「信頼する会社から発行されていません」では、「信頼する」の主体が誰なの かが曖昧なままだが、原文では、はっきりと「あなたが」と書かれているし、 「信頼できない」とは大違いで、単に「選択していない」だけなのだというこ ともきっちりと書かれている。

いつからこの誤訳が始まったのかを調べてみた*5ところ、 図4の警告画面は、IE 5.0 から始まっていて、この誤訳はそのときからずっと 続いていたことがわかった。

IE 4ではこの警告は図5のようになっていた。


図5: IE 4での警告文

IE 4の時点では、J2REの警告と同程度に曖昧な書き方になっていたようだ。 それが、IE 5になったときに、図4のように改善されたわけだ。 ここの警告文の意味が誤解されないよう、メッセージを改善する必要性が、 当時のMicrosoftに認識されていたことが窺える。

それなのに、IEの日本語化を担当した翻訳者のいいかげんな仕事のせいで、 肝心の「you have not chosen to」の言葉が削られてしまった。

日本のPKIの崩壊は、ここから亀裂が入り始めたのだろう。見よう見まねで、 警告文の意味をだんだんずらして取り違えられてきた。

「信頼するところとしてあなたが選択していない会社から発行されています」→
→「信頼する会社から発行されていません」→
→「信頼されていない会社によって発行されています」→
→「信頼できない会社によって発行されています」

*1 「オレオレ」と名乗ってす らいない。電話口で「TSUAPP002だけど、今すぐ振り込んで」と言っているよ うなもの。

*2 つくば市のサイトは もう改修されているので、再現実験のため別のサイトを例として用いた。 ここでは、公的 個人認証サービスオンライン窓口のサイトで提供されれている署名Java アプレットを例にしている。なお、この警告は本来の使い方では出ないように なっている。 「本来の」とは、「 公的個人認証サービス利用者クライアントソフト」 (市役所で、住民基本台帳カードに公的個人認証機能を入れてもらう手続きを したときに貰えるCD-ROMに含まれている) をインストールしている場合のことで、そのときは、CD-ROMから必要なルート 証明書がインストールされているため、この警告が出ない。ここでは、それを インストールしていない状態でアクセスしたときの様子を例として用いている。 この警告について、「 公的個人認証サービスオンライン窓口利用者マニュアル操作手順編」は、 冒頭部分で、「セキュリティ上の重要な注意点」として、 「悪意のある第三者によって提供された偽のオンライン窓口である可能性があります」 として、「いいえ」ボタンを押すよう、指導している。

*3 J2RE 1.3 では、「このセキュリティ証明書は信頼されていない企業から発行されました。」 と訳されていたが、1.4 からこのおかしな訳に変更されている。これは、 1.5 においてもおかしな訳のままになっている。

*4 また、日本語版固有の問題で はないが、証明書が信頼されていない団体から発行されている場合にも、 「Publisher authenticity verified by ○○」と、あたかも真正性が検証さ れたかのように聞こえる文が書かれているのもまずかった。この点については、 J2RE 1.5 で「Publisher authenticity can not be verified」「発行者の信 頼性を検証できません。」と表示されるよう改善されている。(「発行者」 「信頼性」という訳のいいかげんさは残ったままだが。)


J2RE 1.5 での表示

*5 この調査には、セキュ リティホールmemoメーリングリスト参加者の皆様にご協力いただきました。

本日のTrackBacks(全55件) [TrackBack URL: http://takagi-hiromitsu.jp/diary/tb.rb/20050120]

タイトルが大げさだが、「翻訳が間違っているのだ」という高木浩光さんのご意見。

http://takagi-hiromitsu.jp/diary/20050120.html#p01

まことにごもっとも。ルート証明書は「信頼されている」ものでも「信頼できる」ものでもなくて「自ら信頼する」ものなんです。...

検索

<前の日記(2005年01月15日) 次の日記(2005年01月23日)> 最新 編集

最近のタイトル

2016年04月23日

2016年04月06日

2016年03月27日

2016年03月14日

2016年03月06日

2016年02月24日

2016年02月20日

2016年02月11日

2016年02月05日

2016年01月31日

2015年12月12日

2015年12月06日

2015年11月23日

2015年11月21日

2015年11月07日

2015年10月20日

2015年07月02日

2015年06月14日

2015年03月15日

2015年03月10日

2015年03月08日

2015年01月05日

2014年12月27日

2014年11月12日

2014年09月07日

2014年07月18日

2014年04月23日

2014年04月22日

2000|01|
2003|05|06|07|08|09|10|11|12|
2004|01|02|03|04|05|06|07|08|09|10|11|12|
2005|01|02|03|04|05|06|07|08|09|10|11|12|
2006|01|02|03|04|05|06|07|08|09|10|11|12|
2007|01|02|03|04|05|06|07|08|09|10|11|12|
2008|01|02|03|04|05|06|07|08|09|10|11|12|
2009|01|02|03|05|06|07|08|09|10|11|12|
2010|01|02|03|04|05|06|07|08|09|10|11|12|
2011|01|02|03|05|06|07|08|09|10|11|12|
2012|02|03|04|05|06|07|08|09|
2013|01|02|03|04|05|06|07|
2014|01|04|07|09|11|12|
2015|01|03|06|07|10|11|12|
2016|01|02|03|04|
<前の日記(2005年01月15日) 次の日記(2005年01月23日)> 最新 編集