パイロット・C2PA審査中 · 韓国2027.03 · 日本2027.06 · 模範法は韓国法
著作権 C-2026-036487 · 特許出願 10-2026-0100026（未登録）
コースの目次
全10章のうち第4章
第4章署名は「だれが作ったか」を教えてくれます
この章では、練習環境でファイルに証明書を実際に付け、開き直して、きちんと付いたかを確かめます。署名が何を教えてくれて、何は教えてくれないのかも学びます。
この章で学ぶこと
- 秘密の鍵（秘密鍵）と公開の鍵（公開鍵）の役割がわかります。
- 署名されたファイルと、署名のないファイルの、検証結果の違いがわかります。
- 「確認できたこと」と「確認できていないこと」を、分けて書けます。
やさしく理解する
実印と封印テープと同じです
実印は持ち主だけが持っているので、押された跡を見れば、だれが押したのかがわかります。封印テープは、一度はがすと跡が残ります。デジタル署名は、この2つを合わせたものです。ただし、印が本物だからといって、書類の内容まで事実だとは限りません。
署名には、2つの鍵がペアで使われます。秘密鍵は、署名する人だけが持っています。公開鍵は、だれでも見られます。
署名するときは、ファイルのハッシュ（第2章）を、秘密鍵でロックします。これが署名です。確かめるときは、公開鍵で署名を開き、ファイルのハッシュを計算し直して、両者が同じかどうかを見ます。
同じなら、「この鍵の持ち主が署名し、そのあとファイルは変わっていない」という意味です。違うなら、整合性の失敗です。つまり、署名したあとでファイルが変わったか、署名が壊れているという意味です。
署名が教えてくれるのは、「だれが署名したか」だけです。写真の中の場面が実際にあったかどうかは、教えてくれません。これを、「署名 ≠ ピクセルの真実」と短く言います。
秘密鍵をなくすと、だれでもその名前で署名できてしまいます。そのため、実際の署名用の鍵は、インターネットから離れた場所や、専用のセキュリティ機器（HSM）に保管します。実習する人は、秘密鍵に近づきません。
図で見る
- ハッシュを計算するファイルの指紋
- 秘密鍵でロックする署名を作る
- ファイルに付けるマニフェスト＋署名
- 公開鍵で確かめるハッシュが同じか比べる
実際にやってみる
上から順に、1ステップずつ進めます。ステップごとに、「こう見えれば成功」と同じかどうかを確かめます。
- 検証ページの「ファイルを入れて、すぐ確かめる」の欄で、「署名済みサンプル」を押します。ファイルはサーバーへ送られず、このブラウザの中だけで確かめます。こう見えれば成功 「署名は正しく、署名後に変わったところはありません」と出て、「署名者」の欄に署名した組織の名前が見えます。検証ページを開くログイン不要
- 同じ欄で「記録のない写真」を押して、結果を比べます。こう見えれば成功 「このファイルにはC2PAの記録がありません」と出て、記録がないことは偽物という意味ではない、という案内もいっしょに見えます。ログイン不要
- （任意）公開サンプルの写真をダウンロードして、同じ欄にドラッグして置くか、「ファイルを選ぶ」で入れます。こう見えれば成功 「署名は正しく、署名後に変わったところはありません」と出て、「トラストリスト」の欄には、まだ公式リストに載っていない試験用証明書だという案内が見えます。サンプル写真をダウンロードするログイン不要
- 練習用の署名ページの「署名」タブで「今すぐ署名」を押し、署名されたファイルをダウンロードします。こう見えれば成功 署名が終わったという結果と、「ダウンロード」ボタンが見えます。練習用の署名を開くログインが必要
- 結果を見て、「確認できたこと」と「確認できていないこと」を分けて書きます。例：確認できたこと＝署名者、署名後に変更なし。確認できていないこと＝場面が事実かどうか。こう見えれば成功 2つの欄に、それぞれ2つ以上書いてあります。ログイン不要
メンターと一緒に行う部分 · PKI 担当のメンターが、実際の署名用の鍵をなぜ専用のセキュリティ機器（HSM）に置くのか、鍵をなくすと何が起きるのかを説明します。
できたかどうか確かめる
下のすべてに「はい」と答えられたら、この章は修了です。
- 秘密鍵と公開鍵が、それぞれだれの手元にあるか言えますか。
- 「署名は正しく、署名後に変わったところはありません」という結果と、「このファイルにはC2PAの記録がありません」という結果の違いを、説明できますか。
- 確認できたことと、確認できていないことを、分けて書きましたか。
まちがえやすいこと
- よくある誤解署名が有効なら、写真の中の場面も事実です。実際には署名が教えてくれるのは、だれが署名したかと、そのあと変わっていないことだけです。場面が事実かどうかは、別に確かめる必要があります。
- よくある誤解「C2PAの記録がありません」は、だれかが改ざんしたという意味です。実際には署名がない、という意味にすぎません。最初から署名していなかったか、受け渡しの途中で消えた可能性があります。
- よくある誤解公開鍵があれば、他人の名前で署名できます。実際には署名は、秘密鍵でしか作れません。公開鍵では、確かめることしかできません。
確認クイズ
問題 1署名を作るときに使う鍵は、何ですか。答えを見る答えを閉じる
秘密鍵です。確かめるときは、公開鍵を使います。問題 2「署名は正しく、署名後に変わったところはありません」と出ました。この結果でわかることと、わからないことは、何ですか。答えを見る答えを閉じる
だれが署名したかと、署名のあとファイルが変わっていないことは、わかります。内容が事実かどうかは、わかりません。問題 3実際の署名用の鍵を、専用のセキュリティ機器（HSM）に置くのは、なぜですか。答えを見る答えを閉じる
秘密鍵が漏れると、だれでもその名前で署名できてしまうからです。
用語のまとめ
- デジタル署名digital signature
- 秘密鍵で作る印です。だれが署名したかと、変更の有無がわかります。
- 秘密鍵private key
- 署名する人だけが持つ、秘密の鍵です。
- 公開鍵public key
- だれでも見られる鍵です。署名を確かめるときに使います。
- 整合性integrity
- 署名したあと、ファイルが変わっていないという性質です。
- HSMhardware security module
- 秘密鍵を安全に保管する、専用のセキュリティ機器です。
実習記録シート
印刷して手で書くか、同じ項目を文書に書き写します。メンターの確認をもらえば完了です。
第4章 実習記録シート署名は「だれが作ったか」を教えてくれます
- 実習日
- 記入者
- メンター確認
- 「署名済みサンプル」の確認結果（結果の文、署名者、トラストリスト）
- 「記録のない写真」の確認結果
- 練習用の署名、ダウンロード、検証の結果
- 確認できたこと（2つ以上）
- 確認できていないこと（2つ以上）
- メンターから聞いた HSM の説明の要約