高木浩光＠自宅の日記

■ 日本のPKIを殺した真犯人は誰か

WebのPKIがもはや再起不能なまでにズダボロになったのには、日本特有の原因 もある。そう思える根拠が2つある。

日本サンマイクロシステムズ犯人説

10月17日の日記「電子政府つくるは素人ばかり」に書いた、つくば市の電子申請・届出 システムの事例では、署名Javaアプレットを閲覧者に実行させるにあたり、 つくば市は、「NTT BizLink,Inc」という得体の知れない認証局により発行さ れた「TSUAPP0002」という出鱈目な証明書*1を用いてアプレットに署名していた。 これについて市役所に問い合わせた際、担当者は、 「信頼できる団体と考えている。 矛盾した表示になっているが、これはマイクロソフトが……。」 とコメントしていた。

全くナンセンスなコメントなのだが、じつは、ここにこの問題の病根が垣間見 える。

たしかに、「信頼できない団体」という表現によって、図1のように表示され ると、あたかも NTT BizLinkという会社が、一般的な意味において、信頼でき ない会社であるかのように言われていると聞こえかねない。

図1: 「信頼できない団体」という表示

そういう言い方をされたと受け取った人が、「信頼できる会社のはずだ」と 思考硬直してしまうのは、無理もないことかもしれない。 その帰結として、「マイクロソフトが」間違っているに違いないという結論探 しに陥るのも、わからないでもない。下手をすれば、「マイクロソフトは外国 の会社だから、日本の会社を信頼できない団体よばわりするのだろう」といっ た、劣等意識的ナショナリズム思考を招くことさえあるかもしれない。

ちなみに、この警告を出しているのは、Sun Microsystems社製の「J2RE （Java 2 Runtime Environment）」であり、マイクロソフトは無関係である。

じつは、この「信頼できない団体」という表現は、 サンマイクロシステムズによる誤訳なのだ。

この警告の原文を確認するため、英語版Windowsで動作させたときの様子を、 図2に示す。

図2: 英語版の警告文*2

このように、原文では、

The security certificate was issued by a company that is not trusted.

となっている。「信頼されていない」と訳すべきところを、 誰かが「信頼できない」という変な訳をあててしまった*3。

この種のPKIによる真正性の確認というものは、ユーザが信頼の基点として登 録している認証局からの認証パスが辿れるか否か（ユーザによって trusted なのか not trusted なのか）という、機械的な区別でしかないにもかかわら ず、「信頼できない団体」という誤訳が普及してしまったことで、主観的な評 価を指すかのような誤解を招いているのではなかろうか。

また、他の部分でも全般的に訳がいいかげんなため、意味がわかりにくくなっ ていることが、この重要な警告の理解を誤らせているように思える。たとえ ば、「issue」と「publish」が区別なく同じ「発行」として訳されているため、 認証局による証明書の発行と、証明書で署名したコンテンツのパブリッシュが 混同して読まれるおそれがあるし、「authentcity」（出所の正しさ、真正性） が「信頼性」と訳されていて、「trusted」の訳の「信頼」とごっちゃになって、 意味がボヤボヤにぼやけてしまっている*4。

マイクロソフトKK犯人説

「信頼できない」と「信頼されていない」の表現にいったいどれほどの違いが あるというのか？ という疑問はあるかもしれない。「信頼されていない」と いう表現なら誤解を招かないかというと、怪しいものだ。

図3は、おなじみの、Internet Explorerで https:// ページにアクセスしたと きに出ることのある警告である。ここでは「信頼する会社」という表現が使わ れている。サンマイクロシステムズの受動態表現より、このように能動態で書 かれている方が、いくぶん誤解を招きにくくなっているかもしれない。

図3: IE日本語版の警告文「信頼する会社」のくだり

ところが、これもじつは誤訳なのだ。

英語版のInternet Explorerでは、この警告は図4のように表示される。

図4: 英語版のIEでの警告文

つまり、英語版IEでは、

The security certificate was issued by a company you have not chosen to trust. View the certificate to determine whether you want to trust the certifying authority.

このセキュリティ証明書は、信頼するところとしてあなたが選択して いない会社から発行されています。あなたはこの認証機関を信頼し たいかどうか、証明書を検視して決定してください。

と書かれているのである。きわめて的確な説明が書かれているのだ。

「信頼する会社から発行されていません」では、「信頼する」の主体が誰なの かが曖昧なままだが、原文では、はっきりと「あなたが」と書かれているし、 「信頼できない」とは大違いで、単に「選択していない」だけなのだというこ ともきっちりと書かれている。

いつからこの誤訳が始まったのかを調べてみた*5ところ、 図4の警告画面は、IE 5.0 から始まっていて、この誤訳はそのときからずっと 続いていたことがわかった。

IE 4ではこの警告は図5のようになっていた。

図5: IE 4での警告文

IE 4の時点では、J2REの警告と同程度に曖昧な書き方になっていたようだ。 それが、IE 5になったときに、図4のように改善されたわけだ。 ここの警告文の意味が誤解されないよう、メッセージを改善する必要性が、 当時のMicrosoftに認識されていたことが窺える。

それなのに、IEの日本語化を担当した翻訳者のいいかげんな仕事のせいで、 肝心の「you have not chosen to」の言葉が削られてしまった。

日本のPKIの崩壊は、ここから亀裂が入り始めたのだろう。見よう見まねで、 警告文の意味をだんだんずらして取り違えられてきた。

「信頼するところとしてあなたが選択していない会社から発行されています」→
→「信頼する会社から発行されていません」→
→「信頼されていない会社によって発行されています」→
→「信頼できない会社によって発行されています」