HNへお知らせください：デンマークのデジタルID MitID がダウンしていました。

デジタルアイデンティティと現代経済におけるマネー

• デジタル経済でこんなことが起きたら恐ろしい。
  「持っているお金」は実は int32 の数値に過ぎず、サービスを1つしか離れていないところで「あなたの持ち金」がそのまま変えられると気づく。もしすべてが正常に動けば変更できる。そうでなければ、手元には見た目だけきれいなプラスチックカードしか残らない。

• 決済システムは影響を受けないことは知っているが、何度か経験したときの現実感はやめておくべきだ。うまく動く頻度は十分で、忘れそうになる… それはバックアップに関するミームのようなもの。コンピュータが起動に時間が掛かるという話を聞いて、人々は徐々にパニックになり、すべての重要ファイルをバックアップして公開したらよかったと嘆く。しかしコンピュータが稼働した瞬間「ふぅ、やっとその手間いらない」とほっとする。

• 先日チェックアウトで財布をバッグに忘れた。考えは次のように巡った：タップ・トゥ・ペイ？（設定済みではない）、暗号資産？（USDが必要、タップ・トゥ・ペイ）。その場所はインターネットが悪くて、車へ走って財布を取りに行く方が速かった。

• 外国で一人で「熱心にデジタル化」していると想像してみる。iPhone を失うと：航空券、ホテル予約すべて、電話番号も思い出せない。ApplePay やその他モバイル決済を使っている。カードは同じ財布ケースに入っているかもしれない。信頼できるデバイスやリカバリーキーがなければ Apple はセキュリティ遅延（24 時間〜数日）を課し、パスワード再設定を許可しない。新しい SIM を取得して生活を再認証するのは痛みになる。

• 暫定的にアクセスできなくなるだけで不便さが増す。仮にデジタル時代以前に唯一のお金とパスポートを失ったら、最寄り大使館まで遠く、言語も分からない。地元の人々に全てを委ね、あなたのお金は戻ってこない。

• デジタルパスポートや ID で回復への道が絡み始める：

  1. 身元確認のため本人確認を行う。
  2. 知人と同行し、実際に面接する必要があるかもしれない。
  3. 政府はデジタル ID のみを発行しているので、電話機が必須。
  4. 新しい電話や SIM を買うには支払える余裕が必要で、支払いには電話とクレジットカードが必要。

  友人に頼って生活を再構築しようとしても、孤独流行中で友達がおらず親も亡くなっている場合はどうする？

• あなたは過剰に考えている。支払いや本人確認の物理カードは消えない。実際、デジタル ID が導入されている場所ほど、発行が義務付けられており、警察から身元確認を求められたときにも必ず持っていなければならない。

• 2019 年に新しい ID を取得したいと思った時は予約し、現地へ行き、受付で見張りが最新のパスポート写真を確認してくれた。
  デジタルファイルが存在しない古い紙ベースの ID を持つ人々もいる。紙の証跡は占領地域に残っており、数か月にわたる話で二次情報源が絡むこともある。時には身元確認できる友人を探さなければならない。

• 発行 CA がオークによって圧倒される前にレプリカを思考し、十分信頼できる紙コピーを確保するように。

• 世界のどこかで「デジタル ID のみ」を発行している政府はある？
  常に旅行用パスポートをバックアップとして持てる可能性があり、海外旅行中には国内 ID がパスポート回復に役立つ。

• 実際の物理 ID カードには NFC チップが埋め込まれ、デジタル ID の第二要素として使われる。これが完全に無いとは考えにくい。

• 既に計画を発表した政府はある？ 私は見逃しているようだ。「決定事項」と言っているが、深層フェイク詐欺のリスクから、遠隔で友人や家族に頼ってその状況から抜け出すのはあまり良い考えではない。

• そういう場合は通常「現地にいる」必要があるので、まだ深層フェイクは脅威にならない。

• あなたのバックパックに全てのアイテムを詰めたまま失くしたことと何が違う？ 逆に、リカバリー YubiKey やワンタイムログインコードを別バッグで持っているケースは十分ある。海外で新しい (e)SIM を取得するのは非常に面倒で、モバイルネットワークによるため、私は可能な限り SMS 認証を避けている。

• 「あなたが持っているお金」は int32…幸いにも実際にはそのように保存されない。むしろ取引ベースで管理される。つまり、その数値は計算された価値であって、任意の値として保持されているわけではない。ただし中央銀行の場合は他行へ貸し出すために単なる任意値を生成できるかもしれない。

• どんな形で私の口座残高が構成されていても、実務上は「正しいサービスがダウンするとお金へのアクセスを失う」シングルポイント・オブ・フェイルです。現金は稼働率がより良く、携帯に不便さはあるものの。

• 通常銀行はローンで新たなマネーを創出し続けている。中央銀行と概念上差別化されないよう思われる。どちらもデビット/クレジットを二重仕訳で記録する。

• 銀行がデジタル通貨をどう保存しているかを知りたいなら、国際送金の処理方法（月単位・期間別にデータを分割するなど）を調べると面白い。私は銀行家だ。ここで探しているものは「インターバンク決済」と呼ばれる。ヨーロッパでは SEPA が該当。

• …しかし「アカウント X の現在/利用可能残高」を返す結果は、やはり整数か小数点を含む数字である。GP は銀行（または他者）がその数字を変更し、現実になると示唆している。しかし私はそれが不可能だと言う―少なくとも、大きな痕跡を残さずに行われたら、簡単に逆転でき、関係者は訴追される。

• 決済システムで働く私たちは精度と信頼性を非常に重視する。テキサスの洪水やこの国の政治家が「現金は不要だ」と言う時、私は int32 だけでは不十分だと言いたい。ヒューポリゼーション時のジンバブエを思い出すと、銀行システムのデータベースは $100 兆紙幣に耐えられず、ATM はオーバーフローで機能しなかった。int128 を使っていたなら。

• さてお金が消えてしまったら…何をすべきか？ 私たちが経験した全てのことを思い出せば、正しいと感じたものが誤りになる時だ。
  Struts 1.0 が J2EE 1.5 上で WebSphere にホストされ、COBOL と対話する。COBOL はすべてを文字列にシリアライズし、フラットファイルに保存している。今、フラットファイルを Sybase DB に移行する計画だ。

• それらには不快な障害シナリオもある。デジタル時代以前に現金とパスポートだけを失った場合はさらに悪い。最寄り大使館から遠く、言語もわからず、地元の人々に全て委ねることになり、お金が戻ってこない。

• 紙幣の目的は「中央裏付け」だった――偽造を困難にし、「実体」の何かで裏付けられる責任を負うもの。完全に集中化すると具体的な欠点が生まれ、インフラが完璧で銀行が信頼できる場合は問題ない。しかし歴史はインフラは決して完璧ではなく、銀行も完全に信用できるわけではないことを示す。自分のリスクをヘッジしよう。

• 私はまだ反対だ。個人的には物理マネーから遠ざかる動きを歓迎する。
  個人がいくらかのお金を失うというトラブルは、プログラムミスで経済全体が壊れたり、都市がインターネット障害で止まったり、あるいは政治家に不敬な行為をしたために家族まで追加的に苦しむケースとは本質的に異なる。

• ドイツに住んだ経験から見ると、CPR の集中管理は実際には便利で、プライバシーへの影響も大きくない。ドイツではすべての権限が個別の ID を持つので、パスワードマネージャーに「政府主キー」というカテゴリを設けることもできる。つまり、各権限に対して最初から情報を提供する必要がある。1926 年に住んでいたならもっとプライバシーが保たれたかもしれないが、今ではコンピュータが普及し、悪意のある政府がこれらのキーを結びつけるだけで済む。

• MitID はルート化 Android デバイスやカスタム ROM 上では動作しない。分解した他者から報告されたところによれば、実際にはハードコードされたカスタム ROM のリストと照合されている。非常に難読化されており、単一障害点が存在する。許可されていないデバイスでサインインすると、IMEI を中央でブラックリストに登録してくれる。

• 物理的な国民 ID チップカードには署名と検証用の電子証明書を持っている。必要時のみ物理的に、またはオンラインで利用するが、本人確認が要求される場面だけで使う。

• ワンタイムパスワード（OTP）の大きな欠点は、フィッシングなどの中間者攻撃から保護できないことだ。新しいシステムは若干異なる。モバイル電話認証を使用すると通知が送られるが、（特注で標準外の）OTP ドングルを使う場合でもユーザーへ認証されるわけではない。

• もし唯一のデジタル ID プロバイダーがダウンしたなら、それはサービス障害ではなく国レベルのインフラ停止だ。単一認証システムの爆風半径は全国に及ぶ。

• 銀行にも独自の ID がある――北欧諸国の一つでは、多くのサービスへログインするための選択肢が豊富。銀行もクロスログインを提供している。

• スウェーデンには BankID と Freja ID の2 つの実用的代替手段がある。Freja はすべての機関でサポートされているわけではないが、存在する。

• 以前は OTP コードを書いた紙を持っていて、サイト側が特定のコードを要求した。ログインサービスがダウンしても紙に書かれた OTP コードは役に立たない――問題はコード取得ではなく認証ウェブサイトだ。

• 前システムも同様に集中化されていた。
  要するに、認証サービスが停止すると、紙、ドングル、どの手段でコードを生成したかに関係なく機能は同じ。ウェブサイトがダウンしている限り、OTP コードは無駄になる。

• ポイントは：デジタルアイデンティティシステムはオフライン優先・レジリエンス優先であるべきだ――スマートカード / YubiKey は良い例。
  PKI はオフラインで動作し、ロックダウンの扱いが必要になるまで実際にオンラインになることはほぼない。多くのスマートカードシステムはロケーションリストを毎時間程度ダウンロード・キャッシュしているが、システムが停止した場合にはダウンロード済みリストへフォールバックできる。

• フィンランドでは複数の独立サービスがあり、よりレジリエントである可能性が高い。デンマークでは以前 NemID（銀行と共同設計）が、現在は MitID（Nets とデンマーク銀行のアライアンス）になっている。
  スウェーデン版は BankID と呼ばれ、状況はほぼ同じ。

• ワンタイムパスワードの大きな欠点は中間者攻撃から保護できないことだ。新しいシステムは少し違う。モバイル電話認証を使用すると通知が送られるが、（特注で標準外の）OTP ドングルを使ってもユーザーへ認証されるわけではない。

• 要するに：物理カード・デジタル ID か OTP ドングルかに関係なく、認証サービスが停止すると機能は同じ。サービスがダウンしている限り、どの媒体でコードを生成したかは問題にならない――問題はサービス自体が検証できないことだ。