1. ワクパスとは？

　ワクパスは、メディカルチェック推進機構とICheck株式会社が提供するコロナワクチン接種証明のためのアプリです。賛同企業の対象店舗やICheckのオンラインストアで特典を受けることができます。いまのところは、優待クーポンアプリとしての位置づけでしょうかね。

ワクパスのホームページ：https://wakupass.org/

　自治体が緊急事態宣言などの規制下での店舗入店条件などに利用するであろうワクチン・検査パッケージとは位置付けが異なりますが、このアプリが普及すればワクパスの接種証明も公的利用に認めることや店舗側が独自にサービス利用にワクチン接種証明を求めることがあるかもしれません。

　なお、メディカルチェック推進機構は、役員名簿からするとかなり政治力がありそうな社団法人です(付録A)。この社団法人と組むと、いろいろと有利なことがあるかもしれませんね。

2. ワクパスの利用フロー

　利用のフローは、①アプリをダウンロードして、②ワクチン接種記録や本人確認証明書・本人プロフィールを登録して、③接種証明・優待を利用するということです。

f:id:toranosuke_blog:20211015180802j:plain

ワクパスの利用フロー。

　これで利用方法・利用シーンは分かりますが、レビューするにはさすがに情報不足です。

　利用方法のビデオもあるので、こちらからも抜粋します。

f:id:toranosuke_blog:20211015190631j:plain

①必要なもの：予防接種済証
f:id:toranosuke_blog:20211015190641j:plain

②必要なもの：身分証明書 (運転免許証・旅券・マイナンバーカード・在留カード)
f:id:toranosuke_blog:20211015190651j:plain

③ワクチン接種日とワクチンメーカーを入力、接種済証を撮影
f:id:toranosuke_blog:20211015190659j:plain

f:id:toranosuke_blog:20211015190710j:plain

④本人確認書類を撮影
f:id:toranosuke_blog:20211015190718j:plain:w300

f:id:toranosuke_blog:20211015190727j:plain:w300

f:id:toranosuke_blog:20211015190737j:plain:w300

f:id:toranosuke_blog:20211015190747j:plain:w300

　また、ITmediaの記事には、次の記載があります。

　iCheckによると、登録時にアップロードされた個人情報、本人確認書類、接種証明書を基に目視で本人確認するという。本人確認書類は暗号化を施したクラウド上に画像として保管。スマホを機種変更した際の確認や、「CommonPass」などワクチン接種記録アプリとの連携、ブースター接種時の本人確認の他、クーポン提示時にアプリで表示される顔写真データとしても利用する。クラウドサービスはAWSを採用。本人確認書類、接種証明書ともにテキストデータ化はしないという。
https://www.itmedia.co.jp/news/articles/2110/06/news120.html

3. ワクパスではなりすましは簡単

　基本的に紙の券面(予防接種済証と身分証明書)を目視でチェックしているだけなので、破り方は簡単です。紙の券面を偽造すればよいです。

　偽造しやすいのは、予防接種済証でしょうね。ワクチン接種した人から、接種済証を借りてきて、氏名・住所・生年月日を身分証明書と一致するように偽造すればよいでしょう。スキャンして、ちょこっと編集して、プリントアウトで十分ですかね？接種済証の偽造は、身分証明書を偽造するよりは簡単と思いますが、どうせなら、両方とも偽造して架空の人物になるという手もあります(笑)。

　もちろん、両方とも犯罪ですから、やっては駄目ですよ。

　このため、ワクパスは、政府が行うような規制のための証明書としては使い物になりませんし、使ってはなりません。この目的のためには、政府が作る予定のSMART Health CardsベースのスマホQRの接種証明*3, *4を使うべきでしょう。

4. ワクパスのセキュリティを向上させる

　優待クーポンぐらいなら、わざわざ偽造してまで、ワクパスを使う人もいないでしょうから、この程度のやっている感だけの接種証明でもよいのかもしれません。

　とはいえ、次の二つの対策をすれば、なりすましに対する耐性を大幅に向上できるでしょう。

　① ワクチン接種記録システム(VRS)に問い合わせて、接種申請内容の検証を行う。
　② 公的身分証明書の電子データを読み取る。

4.1 VRSデータの利用

　デジタル庁は、民間事業者のためにVRSアクセスのためのAPIを作りますので、VRSデータから接種データを入手して、データの真正性を検証をすればよいでしょう。現時点では、VRSデータを利用できないので、仕方がないですが、近いうちに民間に開放されるでしょうから、そのときには利用すべきでしょう。

　現状のVRSのAPI仕様では、接種券番号と生年月日を使って、VRSデータにアクセスします。生年月日と身分証明書の整合性をチェックすれば、生年月日が同じ人から、ワクチン接種券番号を借りてこないといけないので、なりすましのハードルが高くなります。

　但し、VRSから得られる情報は、最終接種回数と最終接種日だけです。これ以外の情報(1回目、2回目のワクチン接種日とワクチンメーカーなど)を登録したい場合には、その入力をユーザにしてもらう、その内容が正しいことを確認したいなら、接種済券の券面と入力データを(目視、半自動などで)比較して確認することが必要になります(が、そこまでやる必要ありますかね？)。

4.2 身分証明書の電子データの利用

　接種券の生年月日が偽造できないとなれば、身分証明書の生年月日を偽造すればよいということになりますが、これは、次の対策で防げます。

　ワクパスで認めている身分証明書は、運転免許証・パスポート・在留カード・マイナンバーカードです。これらの身分証明書には、既にICチップが入っていて、券面情報を電子的に読み取れます(付録B)。電子署名を使って読取データの真正性を検証することもできます。

　ICカードが偽造困難とすれば、この電子データとして登録されている氏名・生年月日・住所等の真正性が保証されます。

　これで、生年月日が同じ人のワクチン接種券を偽造したなりすましを除いて、なりすましを防止できると思います。

　それでも、ワクチン接種券番号と生年月日の組み合わせを公開や販売する裏サイトなどができたら、破れるでしょう。まあ、ワクパスのためにそこまでやる人はいないと思いますが、政府版のワクチン証明の場合は、どうなるかは良く分からないです(たぶん、ないと思いますが、あることを想定してシステムは構築しないといけないです)。

　但し、ICチップの情報を読み出しは難しくないと思いますが、ユーザーがICカード読み出しのためのパスワードを忘れているという問題はあるでしょう。

　試しに後述のIDリーダーを使ったときに、運転免許証の暗証番号*5を要求されたのですが、設定したことすら忘れていました。全く使わないですからね。

4.3 マイナンバーの法規制

　現状のワクパスでは、カードの表側だけを使えば、裏面のマイナンバーを取得しなくて済むので、マイナンバー法*6, *7に抵触しないと思います。

　しかし、マイナンバーカードのデータを電子的に読み出すと、マイナンバーも読み出せてしまいます。厳しく利用制限されているマイナンバーの規制に違反する可能性がありますので、導入検討の際には、担当官庁に相談する方が良いかもしれません。

4.4 不毛な目視チェックは不要

　身分証明書の電子データとVRSデータを用いれば、事業者側では送られた券面データを目視でチェックするという不毛な作業をする必要はありません。

　さらにいうと、事業者としては、券面データも、VRSデータも保有する必要はなく、すべてアプリ単独でスマホ用接種証明を作れるはずです(VRSへのアクセスAPIにも依存する)。事業者側は、サービスに必要な個人データだけをアプリから送信してもらえばよいことになり、もしかしたら、マイナンバーの規制も回避できるかもしれません。