瞬簡PDF サイン 3 有償ライセンス版

※保守期間内のサポート付き有償版です。返品はできません。

サポートが付属しない無償版をお使いになる場合は、こちらからご利用ください。

PDFデジタル署名に特化したアプリケーションソフト

PDFファイルへのデジタル署名の付与、署名の検証を行うアプリケーションソフトウェアです。

本製品のみでPDFファイルへのデジタル署名の付与/検証を簡単に行うことができます。

電子証明書の運用方式

デジタル署名は署名者が秘密鍵を使ってPDFファイルの署名データを作成し、署名したデータと電子証明書などをPDFファイルに埋め込みます。PDFファイルの検証時に、埋め込まれた署名データを使って改ざんの有無をチェックしたり、電子証明書の有効性を確認する仕組みです。

電子証明書には、秘密鍵とペアになる公開鍵、署名者の身元を保証する認証データなどが保存されています。

電子証明書は、認証局(CA:Certification Authority)が発行したものを使うのが一般的です。しかし、証明書作成ツールを使って自分で作成した自己署名証明書(オレオレ証明書)もデジタル署名に使えます。このオレオレ証明書と認証局の証明書との違いは、信頼できる証明書発行機関である認証局が証明書発行時に保有者の認証を行なっているか否かです。ただし、電子証明書という言葉で、秘密鍵と電子証明書のセットを意味するとき(PKCS#12やICカード証明書など)もあるので混同しないように注意が必要です。

⇒対応している認証局とタイムスタンプ局

秘密鍵は漏洩しないように管理しなければならず、漏洩すると電子証明書が失効してしまいます。こうしたことからデジタル署名の実務では、秘密鍵と電子証明書をどのように管理・運用するかが重要なポイントです。本製品は次の運用方式に対応しています。

Windows証明書ストア方式

電子証明書をWindows証明書ストアに保存するとともに、ペアの秘密鍵へのリンクをWindowsが内部的に管理する方式です。Windows証明書ストアに登録されている電子証明書を選択して署名を実行すると、対応する秘密鍵で署名が行われます。秘密鍵が存在する場所は、Windows内部の機密領域、ICカード証明書もしくはリモート署名用サーバー内の機密ハードウェア内などになります。

Windows証明書ストアの電子証明書から機密鍵へのリンクが適切に設定されているとき、本製品では「署名タイムスタンプ」メニュー「証明書を選択」ダイアログの「インストール済から選択する(証明書ストア)」で証明書を選択して署名できます。

ICカード証明書方式

秘密鍵と電子証明書をもつICカード証明書を使用します。本製品で、ICカード証明書を利用するにはWindows PCに接続されたICカードリーダーが使える状態であること、およびICカード内の秘密鍵にアクセスするドライバー(署名用ドライバーと呼びます)の設定が必要です。署名用ドライバーは、通常、ICカード証明書を発行する認証局が用意したものを、利用者がWindowsにインストールします。

マイナンバーカードはICカード証明書の一種です。本製品でマイナンバーカードを使用するには、ICカードリーダーを使えるようにした上で、公的個人認証サービスの「JPKI利用者ソフト」をインストールして署名用ドライバーを設定します。本製品でマイナンバーカードを使って署名するには、「署名タイムスタンプ」メニューの「証明書を選択」ダイアログで「ICカードで指定する」にチェックして「マイナンバーカード」を選択します。

注意事項

ICカード証明書の署名ドライバーには、「JPKI利用者ソフト」のようにWindows証明書ストアにICカード証明書内の秘密鍵へのリンクを設定する機能をもたないものがあります。本製品で、このタイプの署名ドライバーを使用するときは、「ICカードで指定する」にチェックして「ICカードの種類」を選択する必要があります。

これ以外の原因で、 ICカード証明書をご利用できない場合は、弊社までお問い合わせください。

リモート署名方式

秘密鍵がリモート署名サービスを提供するWebサービスのサーバー内の機密保護機能をもつ専用ハードウェアに保管されています。リモート署名方式ではネットワークを介してこの秘密鍵を使用します。

本製品では2026年7月21日より法務省が開始した「商業登記リモート署名」を利用できます。商業登記リモート署名を使用するには、商業登記電子認証ポータル から「商業登記リモート署名ドライバソフト」を入手してインストールします。さらに「商業登記リモート署名ドライバソフト 管理ツール」でWindows証明書ストアに商業登記リモート署名用の電子証明書を登録します。このとき、署名ドライバーへのリンクがWindows内に設定されるので、本製品では「商業登記リモート署名証明書」をWindows証明書ストアで選択して署名できます。但し、Windows証明書ストアに多数の証明書が登録されていると見分けにくいので、本製品では、署名選択画面で「商業登記リモート署名」を直接選択もできます。

PKCS#12方式

秘密鍵とそれとペアになる電子証明書は、一般的には秘密鍵と一体にしたPFX、または、PKCS#12形式のファイルとして受け渡されます。通常、Windowsでは、PFX/PKCS#12ファイルはWindows証明書ストアにインポートして使います。このとき秘密鍵はWindowsの機密領域に取り込まれるので、一旦、Windows 証明書ストアにインポートすると、ログインしたユーザーのアカウントから証明書を選択するだけでパスワードなしに使うことができます。

なお、本製品では、直接PKCS#12ファイルを指定して署名もできます。

署名付与

既存のPDFファイルにデジタル署名を付与して、署名値をその内部に含む新しいPDFファイルを作成します。 本製品ではISO 32000(PDFの仕様書)で規定されているPAdES仕様に適合するデジタル署名をPDFファイルに付与できます。

署名フィールドの作成

PDFデジタル署名は、PDFファイルの内部構造上、署名フィールドという署名情報を管理するための枠に保存されます。本製品は枠としての署名フィールドを作成できます。署名フィールドを作成しただけでは、デジタル署名は付与されません。

本製品で作成した署名フィールドには本製品およびAdobe Acrobat / Adobe Reader(以下、Adobe製品という)等のISO 32000準拠ツールを用いて署名できます。

PDFデジタル署名の種類

本製品は、PDFデジタル署名のうち普通署名とMDP署名(証明)ができます。

普通署名はPDFファイルへの付与回数に制限がなく、また署名後に変更可能な内容を設定する機能はありません。普通署名したPDFファイルの(署名時存在範囲の)内容に何らかの編集を行うとPDFファイルの改ざんがあったとみなされます。但し、2つ目以降の署名は、PDFの増分更新という機能を使って署名前のPDFファイルに追加される(署名時に存在した内容は変更されない)ので、それ以前のPDFファイルの改ざんにはなりません。

MDP署名は、署名後に文書全体に対して変更可能な内容について次のいずれかの制限ができます。

• 変更を許可しない
• フォームフィールドの入力と署名フィールドに署名
• 注釈の作成、フォームフィールドの入力と署名フィールドに署名

PDFファイルにMDP署名を付与する場合には、最初に付与しなければなりません。また、MDP署名はPDFファイルに1個だけ付与できます。なお、本製品は署名(署名フィールド)毎に変更可能な内容を設定するフィールドMDP署名を設定・付与する機能には対応していません。

注意事項

MDP署名またはフィールドMDP署名によって署名が禁止(ロック署名)されたPDFファイルに対して、新たにデジタル署名を付与することはできません。

署名の形式

PDFでは署名の構造をISO 32000で規定する署名辞書※で管理します。本製品ではISO 32000-2(またはISO 32000-1およびPAdES(ETSI TS 102 778))で規定する、次の3つの形式を使えます。

1. 基本署名:PAdES-Basic(PKCS#7)
2. 長期署名:PAdES-Enhanced(CAdES)
3. ドキュメントタイムスタンプ

PAdES-Basicは、ISO 32000-1で規定されているPDFデジタル署名の機能の一部を使用できます。これは古いPDFソフトでも利用できるように用意されているものです。PDFファイルの中に署名データと署名者の証明書が保存されるだけなので、PDFファイルの受領者が署名を検証したとき、検証エラーになる可能性があるなど信頼度が低いものです。

PAdES-EnhancedはPAdESでISO 32000-1の拡張として規定された形式で、署名情報の保存項目がより強化されており、PAdES-Basicよりも署名の信頼度が高くなっています。

「ドキュメントタイムスタンプ」は、署名の構造はPAdES-Basic/PAdES-Enhancedと同じであり、普通署名の一種として扱えます。ただし、使用する証明書や保存する項目が異なります。

さらに、本製品には署名の長期検証(LTV)の枠組みに対応するデジタル署名を構成する機能があります。

※辞書とはPDFの基本的なデータ構造です。

署名の外観

デジタル署名はデジタルデータなので署名を付与しても目に見えません。PDFでは署名の外観を付与する機能が規定されており、本製品でも署名の外観を付与できます。署名の外観はオプションであり、デジタル署名の有効性とは関係ありません。外観をもたない署名を「不可視署名」と呼びます。

デジタル署名の方法

PDFデジタル署名では、通常、PDFファイル全体に対して直接署名するのではなく、PDFファイルから計算したハッシュ値に署名します。ハッシュ値を計算するアルゴリズムとしてSHA-2(SHA-256/384/512)を使用します。SHA-1は非推奨になっているため、本製品の署名付与で選択できません。

署名の計算のアルゴリズムはRSA方式(鍵長は2048、または4096 ビット)の公開鍵暗号アルゴリズムと楕円曲線暗号(ECDSA)をサポートしています。日本では、今後、RSAに代わってECDSAに移行する計画が策定されています。但し、本製品のPAdES-BasicではECDSA方式の署名付与機能はありません。

互換運用

本製品は、PDFデジタル署名機能についてAdobe 製品等ISO 32000に準拠する製品との相互運用ができます。たとえば、Adobe製品等で作成した署名フィールドに本製品で署名したり、逆に、本製品で作成した署名フィールドにAdobe製品等で署名したりできます。また、本製品によるPDFデジタル署名をAdobe製品等の署名検証機能で検証できます。

署名時の検証

検証内容

PDFファイルに付与されている署名が有効かどうかを検証できます。署名の検証では次の2項目をチェックし、両方に問題ないとき「署名が有効です」と判定します。

1. PDFファイルの内容が署名された時点から改ざんされてないかどうか
2. 署名に用いられた証明書の有効性のチェック

改ざんの有無の検証はPDFファイルの署名対象範囲が署名後に変更されていないかどうかをチェックします。本製品で署名付与に使えるハッシュ値計算アルゴリズムのほかSHA-1に対応しています。また、PAdES-BasicのECDSA署名も検証できます。

証明書の有効性チェックは署名に使用した証明書の有効性のほか、その証明書を発行した認証局の証明書までのパス、ルート証明書の存在などを確認します。オレオレ証明書で署名されている場合、普通は、証明書の有効性チェックがエラーになります。

証明書の有効性チェックでは、通常、ネットワーク接続が必要になります。また、証明書の有効性チェック方法は認証局によって多様なので、「検証」メニューの「検証設定」で変更できます。

検証結果パネル

付与されている署名を検証した検証結果は、次のような検証結果パネルに表示されます。

PDFファイルを読み込み時に自動的に検証されます。[検証設定]を変更した場合など、再度検証することもできます。

長期署名検証

長期署名検証(LTV)とは

PDFファイルに付与されたデジタル署名が正しいか否かは、デジタル署名に利用された電子証明書が信頼された認証局によって発行されたものであること、 またその有効期間や失効情報によって確認できます。 しかし、デジタル署名に利用された電子証明書には有効期間が存在します。 そのため、この有効期限を過ぎてしまうとその信頼性を保証することができなくなってしまいます。

LTV(Long Term Validation:署名の長期検証)とは、PDFファイルのデジタル署名が「最初に検証されて有効だと確認された時点」の検証情報を保存しておくことで、後から(証明書の失効や期限切れ後であっても)その署名を検証・再現できるようにする仕組みです。

LTVは、主に以下の2種類の辞書を組み合わせて実現されます。

1. ドキュメントセキュリティストア(DSS)辞書
   
   • 署名やタイムスタンプの検証に必要な証明書(Certs)、CRL(失効リスト)、OCSP応答などの情報を一括して保持・格納するコンテナです。
   • 個別の署名と検証データを紐付けるための VRI(検証関連情報)辞書 も含まれます。
   • 複数の署名で共通する証明書等をまとめて1回だけ保存できるため、ファイルサイズを抑えるメリットもあります。
2. ドキュメントタイムスタンプ(DTS)辞書
   
   • タイムスタンプ局から取得したタイムスタンプトークンを格納し、「その時刻にPDFファイル(およびDSS)が確かに存在していたこと」を数学的に証明できるようにします。

署名に使用するマイナンバーなど個人の電子証明書の有効期限は5年、商業登記電子証明書の有効期限は3か月～27か月の間で3か月単位で自由に選択できます。更新制度はなく、期間経過後は失効します。商業登記電子証明書を手続き書類の署名に用いるならこれでも良いのですが、長期保存用の書類に署名したときはLTV対応化が必要です。PDFデジタル署名をLTV対応化すると有効期間を過ぎたあとでも、署名の検証で署名を有効にでき、また、ネットワークに接続せずに検証ができます(但し、最後に付与されたドキュメントタイムスタンプの検証はネットワーク接続が必要です)。

LTV対応化の手順

初回は署名の検証情報からDSS辞書を作成してPDFファイルに埋め込み、次いで証明書の有効期間内に「ドキュメントタイムスタンプ」を付与します。この両者を実行するとPDFデジタル署名がLTV対応となります。なお、DSSをPDFファイルに埋め込んだり、ドキュメントタイムスタンプを付与したりするときは、PDFの増分更新機能を利用してPDFファイルの最後にデータを追加していくので、署名済みPDFの署名範囲の改ざんにはなりません。

さらに、最後に付与したタイムスタンプの有効期限内に、そのタイムスタンプの検証情報から作成したDSS辞書をPDFファイルに追加します。そして、新しいドキュメントタイムスタンプを付与するという処理を繰り返すと、デジタル署名の有効性を数十年といった長期に渡って維持し続けることができます。

LTV対応化の方法

本製品では、「検証」メニューまたは検証結果パネルの「検証情報の追加」でDSS辞書を作成してPDFファイルに埋め込むことができます。但し、検証情報の追加に成功するのは、署名の検証で有効性を確認できたときに限ります。

ドキュメントタイムスタンプは、「署名タイムスタンプ」メニューの「ドキュメントタイムスタンプの付与」で実行できます。

注意事項

実務上は、多数のPDFファイルのそれぞれにDSS辞書の追加と、その後の「ドキュメントタイムスタンプ」の付与をばらばらに行うのは管理上の負荷が大きくなります。通常は、PDFファイル受信時に自動的に処理したり、所定のタイミングで一括処理するなど、業務ワークフローを構築して行います。デジタル署名のLTV対応化には、「長期署名PAdESライブラリ」をご検討ください。

⇒ 長期署名PAdESライブラリ

タイムスタンプの役割

タイムスタンプは、タイムスタンプに刻印されている時刻以前にその電子文書が存在していたこと(存在証明)と、 その時刻以降、当該文書が改ざんされていないこと(非改ざん証明)を証明するもので、時刻認証局(TSA:Time-Stamping Authority)によって発行されます。

本製品はPDFファイルの署名値または署名対象範囲のハッシュ値を計算して時刻認証局に送信し、時刻認証局が作成したタイムスタンプトークンを受信してPDFファイルに埋め込みます。PDFファイルそのものを時刻認証局に送付することはありません。

この他、次の特徴があります。

1. タイムスタンプの付与にはインターネット接続が必須です。
2. タイムスタンプトークン作成時に時刻認証局の秘密鍵によって署名されます。
3. タイムスタンプトークンには、署名者の証明書ではなく、時刻認証局の証明書が埋め込まれます。

タイムスタンプの種類

本製品では次の2種類のタイムスタンプを付与できます。

1. 署名タイムスタンプ
2. ドキュメントタイムスタンプ

署名タイムスタンプは、ISO 32000-1から規定されているもので、普通署名付与の直後にタイムスタンプ局と通信してタイムスタンプトークンを取得し、普通署名の署名データと一緒にPDFファイルに追加します。タイムスタンプ局に送信するのは、署名値のハッシュ値であり、署名の存在を証明します。

ドキュメントタイムスタンプは、ISO 32000-2で規定されたもので、ドキュメントタイムスタンプ単独でPDFの普通署名と同様に扱えます。PDFの構造上は普通署名と同じですが、署名データの扱いに普通署名と違いがあります。また、ドキュメントタイムスタンプは署名タイムスタンプとは異なり、PDFファイルのハッシュ値をタイムスタンプ局に送信し、PDFファイル自体の存在を証明します。

ドキュメントタイムスタンプはPDFファイルのデジタル署名をLTV対応にするためにも使われます。

タイムスタンプの検証

本製品でPDFファイルに付与した商用タイムスタンプは、本製品で検証できます。

本製品で付与した商用タイムスタンプは、Adobe製品等のISO 32000(PDFの仕様書)準拠ツールを用いて検証できます。

商用タイムスタンプ対応

日本国内では、日本データ通信協会の「タイムビジネス認定制度」の認定を得て商用サービス(有償)を行っているタイムスタンプ局があります。 この中で、RFC3161方式を使用しているタイムスタンプを取得できます。また、それらのタイムスタンプを検証できます。

タイムスタンプの取得

本製品では次の国内商用タイムスタンプサービスのタイムスタンプをPDFファイルに付与できることを確認済みです。なお、RFC3161準拠のタイムスタンプサービスであれば利用可能ですが、事前にご確認ください。

弊社が保証しているのは、商用タイムスタンプサービスとの相互運用性(タイムスタンプを取得したり、検証することができること)だけです。上記の商用タイムスタンプサービスの利用にあたっては、各タイムスタンプサービスの提供会社と、お客様の間で、直接サービスの利用契約を交わしていただく必要があります。

ファイル添付

PDFファイルに任意のファイルを添付できます。

たとえば、技術文書に関連するデータ(原稿、測定データ、実験画像データなど)を添付しさらにタイムスタンプ付きの電子署名を付与すれば、
PDFファイルだけではなく添付されたファイルについても一括して文書の存在を証明できます。

　　　[ファイル添付]

ファイル添付の機能

添付ファイルに関する以下の操作ができます。

• ファイル選択ダイアログでファイルを選択して、添付ファイルを追加する。
• エクスプローラーからファイルアイコンを[添付ファイル]パネルにドラッグ&ドロップして、添付ファイルを追加する。
• 添付ファイルをアプリケーションで開く。
• 添付ファイルを取り出して保存する。
• 添付ファイルを削除する。