スタンダーズコーナー：W3C規格解説　「XML Encryption」

W3C規格解説
XML Encryption
　　　

XML Encryptionとは、XMLデータの暗号化のための規格で、現在は勧告候補です。 （http://www.w3.org/TR/2002/CR-xmlenc-core-20020304/）

XML Encryptionとは

以前にXML Signature というXMLでディジタル署名を記述するための規格について解説しましたが、XML EncryptionとXML Signatureの2つが、XMLデータのセキュリティに関する主要な規格です。

XML Signatureを利用することで、XMLデータが改ざんされたり、別の人になりすましてデータを送ったり、送っておきながら後でそれを否認したりということが防げます。つまり、データの「完全性」、「真正性」、「非否認性」が確保されるのですが、XML Signatureでは、データの「機密性」は守られません。つまり、第三者がデータの内容を盗み見することを防げないのです。そこで、XML Encryptionが利用されるのです。

XML Encryptionのサンプル

XML Encryptionでは、対象となるXMLデータの特定の部分だけを暗号化することができます。たとえば、次のサンプルのようなデータがあったとします。name要素の内容は誰に見られても構いませんが、creditcard要素の内容は、データの受信者だけにだけ分かるようにしたいので、暗号化することにします。

暗号化されたデータは、次のようになります。creditcard要素の部分が、EncryptedData要素に置き換わっています。EncryptedData要素以下のタグの記述の仕方がXML Encryptionで定義されているのです。

EncryptedData要素には、受信者側の鍵情報と、暗号化した値（ここでは、"ABC789PQR"）があるので、受信者は自分しか持っていない秘密鍵で、暗号化した値を復号化して、元のXMLデータ（ここではcreditcard要素）の内容を知ることができるのです。

このサンプルでは、creditcard要素を暗号化しましたが、number要素などの別の要素を暗号化することもできますし、また、暗号化したXMLデータをもう一回暗号化することもできます。

まとめ

XML Encryptionは、XML Signatureと同様に、XMLデータのセキュリティを担う重要な規格ですが、製品の実装はまだあまり進んでいないようです。ただ、これからWebサービスが普及するようになれば、必須の技術として採用が進んでいくことでしょう。最近では、IBM とMicrosoftが提唱するWS-Securityという規格においても、両規格の準拠を表明しています。いずれは、暗号化あるいはディジタル署名をせずに、XMLデータをやり取りすることはなくなるかもしれません。

関連サービス