2023年2月8日に公開されたOpenSSLの脆弱性に対応して「PDF長期署名ライブラリLE:PAdES:Lib」と「PDF基本署名ライブラリLE:PAdES-Basic:Lib」をバージョンアップして、V1.07.R6a となりました。修正内容は以下となります。

■ 修正項目：
　→OpenSSLの脆弱性対応の為にOpenSSLを1.1.1tに更新した。
　→OpenSSLはLePKIからのみ利用しておりLePAdESの修正は無い。
　→Windows環境では更新に伴い外部DLLファイル（libeay32L.dll/ssleay32L.dll）は不要となった。

脆弱性情報
https://jvn.jp/vu/JVNVU91213144/

※ 脆弱性への弊社コメント：
JVNVU#91213144 OpenSSLに複数の脆弱性
・X.509証明書やPKCS7署名データの検証時の脆弱性が見つかりました。
・不正な署名済みファイルを検証する時に問題を生じる場合があります。

その他詳細は製品ダウンロードページ（LE:PAdES:Lib / LE:PAdES-Basic:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「PDF長期署名ライブラリLE:PAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

「PDF長期署名ライブラリLE:PAdES:Lib」と「PDF基本署名ライブラリLE:PAdES-Basic:Lib」がバージョンアップして、V1.07.R6 となりました。追加された主な新機能や修正等は以下となります。

■ 新機能：
　→ 期限切れ間近に伴い試験用認証局の証明書他の更新
　→ 配信CRLがPEM形式でも読み込み可能となるように修正

■ 修正項目：
　→ PDF内部のHEX文字列の途中で改行がある場合の問題の修正
　→ サロゲートペア文字を使った証明書の署名パネル上の表示文字化け問題の修正
　→ /Pagesの下にページがゼロ場合にエラーにならないよう修正
　→ /EmbeddedFilesがあるのに中に添付ファイルが無い場合の修正
　→ CropBoxがあるページに対して署名印影を指定した場合の位置問題の修正
　→ オブジェクト番号が穴あき状態になっているPDFファイルの場合の修正
　→ LpaCmdの-serverの-opt引数が正常に処理されていなかった問題の修正
　→ MediaBoxの原点がゼロ以外の場合の署名外観位置のズレ問題を修正

その他詳細は製品ダウンロードページ（LE:PAdES:Lib / LE:PAdES-Basic:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「PDF長期署名ライブラリLE:PAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

ラング・エッジ製品にて提供している電子証明書群を更新しました。試験ルート証明書2つと試験署名用証明書2つ・試験タイムスタンプ用証明書の合計5つを更新しました。その他細かな情報はLE試験認証局リポジトリをご覧ください。ラング・エッジ製品には標準で試験認証局のファイルがsampleフォルダの下にて提供されていますが必要に応じてファイル（ZIPファイル）をダウンロードして更新をお願いします。

LangEdge CA Root 001

試験署名証明書用-LEルート証明書001：有効期間20年

LE Test2 100017 [Valid]

有効署名試験用：有効期間7年

LE Test2 100018 [Revoked]

CRL失効署名試験用：失効済み

LangEdge CA Root 002

試験TSA証明書用-LEルート証明書002：有効期間20年

LE TSA 200030

試験TSA証明書：有効期間7年

なおこの更新に伴いラング・エッジの試験用タイムスタンプサービスFreeTSAのTSA証明書も更新されています。TSA証明書のルート証明書も更新されていますのでご注意ください。現在以下URLでタイムスタンプサービスが稼働しています。

RFC 3161 認証無し

https://www.langedge.jp/tsa

RFC 3161 Basic認証（ID:langedge/PSWD:test）

https://www.langedge.jp/batsa

これまでの証明書の公開鍵はRSA2048ビットでしたがCRYPTRECの推奨暗号リストが更新されていることもあり、ルート証明書はRSA4096ビットにEE証明書はRSA3072ビットにしてあります。この変更によるラング・エッジ製品の修正等はありませんが一応ご注意ください。

「PDF長期署名ライブラリLE:PAdES:Lib」と「PDF基本署名ライブラリLE:PAdES-Basic:Lib」がバージョンアップして、V1.07.R5 となりました。追加された主な新機能や修正等は以下となります。

■ 新機能：
　→ 最後の署名後の更新を判定する LePAdES::isUpdate() を追加
　→ 署名外観に所有者別名を利用するオプションを追加
　→ Windows版においてSIGSEGV時の例外をcatchしてthrow機能の追加
　→ clientV2 フォルダの下を、クライアント署名V2.1.R2 に更新
　→ LpaCmdの -client がLinux版でも動作するように修正
　→ LpaCmdの -server で要求XMLを標準入力から指定出来るように修正
　→ LpkTimestampTokenクラスに addValidationData() を追加。

■ 修正項目：
　→ PDF内部のHEX文字列の途中で改行がある場合の問題の修正
　→ DSS辞書が既にある場合のaddLTV()時にDSS辞書が更新されない問題の修正
　→ 署名済みPDFに対し添付ファイル追加が実行された場合にエラーにする修正
　→ PDFのMediaBoxのx1/x2かy1/y2が逆でも正しく位置を指定を可能にする修正
　→ Object Stream 解析時の最大バッファサイズの指定に誤りがあったので修正
　→ 未使用のPDFオブジェクトがあった時に誤動作する場合があったので修正
　→ xrefの情報が誤っている不正PDFの場合に例外となる場合があったので修正
　→ ByteRangeの情報が誤っている不正PDFの場合の問題の修正
　→ 署名情報が誤っている不正PDFの場合に例外となる場合があったので修正
　→ 証明書の所有者別名が正しく取得出来ない場合があったので修正
　→ .NETのAPIにおいてsaveEmbedFileにてユニコードの問題を修正

その他詳細は製品ダウンロードページ（LE:PAdES:Lib / LE:PAdES-Basic:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「PDF長期署名ライブラリLE:PAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

「クライアント署名 LE:Client:Sign」がバージョンアップして、Ver2.1.R2 となりました。追加された主な新機能と修正項目は以下となります。

■ 新機能：
　→ マニュアルの「4.1. 独自通信XMLプロトコル」を更新
　　 主にPAdESの LpaCmd の -client/-server オプション関連の更新
　→ 証明書選択時の情報表示に「拡張キー用途」を追加
　→ 初期化時のフラグとして拡張キー用途をチェックする機能を追加
　→ Windows証明書ストアにCNG形式で登録された秘密鍵に対応

■ 修正項目：
　→ 新規Windows環境で署名コマンドの実行に失敗する場合の修正

その他詳細は製品ダウンロードページ（LE:Client:Sign）でご確認ください。製品ダウンロードページでは認証が必要です。「クライアント署名 LE:Client:Sign」について詳しくは弊社の製品ページをご覧ください。デモ環境も用意していますのでお問合せ頂ければURLをお知らせします。

「XML長期署名ライブラリLE:XAdES:Lib」がバージョンアップして、V2.03.R1 となりました。今回はSigningCertificateV2対応とDetached形式のManifest対応がメインとなります。追加された主な新機能と修正項目は以下となります。

■ 新機能：
　→ XAdES検証時にSigningCertificateV2のチェックするようになった
　→ SigningCertificateV2の利用オプションSIGN_USE_SIGNCERTV2を追加
　→ LxaCmd の署名時にSigningCertificateV2を利用する -sflag scv2 を追加
　→ LxaCmd に ファイル参照操作（Manifest）を行うコマンド引数 -ref を追加
　→ Detached形式で外部ManifestファイルをaddDetachedManifest()で追加可能
　→ LxaCmd にDetached形式で外部Manifestファイルを指定する -detmani を追加
　→ XAdES検証時に外部Detachedマニフェストのチェックするようになった
　→ XAdESレベルダウン操作API setType() を追加
　→ LxaCmd に XAdESレベル操作 を行うコマンド引数 -level を追加

■ 修正項目：
　→ HTTP通信時のUserAgentがIE6の偽装になっていたのでIE11に変更

■ SigningCertificateV2 解説：
　SigningCertificateV2 要素は最新の欧州仕様では新規作成時の利用が必須となっています。しかしながらまだ国内を含め多くの実装では検証時に未対応のものも多くLE:XAdES:LibではデフォルトではSIGN_FLAG::SIGN_USE_SIGNCERTV2フラグはONにしていません。
　もし他社実装のXAdESにて検証をしないのであればSIGN_FLAG::SIGN_USE_SIGNCERTV2フラグを指定して SigningCertificateV2 要素の利用を推奨します。
　SigningCertificateV2 自体は署名証明書を確認する為の情報です。この要素を使わなくても検証は可能ですので実際には SigningCertificateV2 要素を使っても検証時に大きな問題になる可能性は小さいと言えます。

■ Mainifest 解説：
　Manifest 要素はW3CのXmlDsig(XML署名)の仕様に定義されているReference要素の階層構造を実現する為の要素となります。
　LE:XAdES:LibのVer2.01.R1よりManifest要素のEnveloping的な利用方法をサポートしました。Ver2.03.R1からはManifest要素の外部Detached的な利用方法も可能となりました。
　なお現時点ではManifest要素の中のReference要素としてManifest要素を指定することは未サポートとなりますのでご注意ください。つまり階層的なManifest要素の利用は出来ません。並列的に複数のManifest要素を指定することは可能です。
　またVer2.03.R1からManifestファイルの生成も可能となりました。先にManifestファイルを作った上でXAdES署名時にManifest指定することが可能です。

その他詳細は製品ダウンロードページ（LE:XAdES:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「XML長期署名ライブラリLE:XAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

「PDF長期署名ライブラリLE:PAdES:Lib」と「PDF基本署名ライブラリLE:PAdES-Basic:Lib」がバージョンアップして、V1.07.R4 となりました。追加された主な新機能や修正等は以下となります。

■ 新機能：
　→ 添付ファイル処理APIのファイル名引数にユニコード(WCHAR)を使うAPIを追加
　→ CAdESの署名証明書情報に古い形式（V2より前）を使っている場合の検証対応
　→ xref管理テーブルの情報は間違っているがオブジェクト情報が正しい場合の対応
　→ HTTP通信時のUserAgentがIE6の偽装になっていたのでIE11に変更
　→ Windows証明書の「個人」に秘密鍵を持たない証明書がある場合への対応
　→ LePAdES.saveFile()のファイル名引数にユニコード(WCHAR)を使うAPIを追加
　→ 不正な注釈があっても上書きして署名フィールドを生成できるようにした

■ 修正項目：
　→ サイズがゼロの添付ファイルをエラーにしていた修正
　→ 暗号化PDFファイルの文書ID情報が空文字だった場合の修正
　→ 添付ファイルの追加時に一部PDF仕様違反があったので修正
　→ 圧縮率が非常に高いXRefStm（ストリーム形式のXREF）場合の修正
　→ PDFのタイトル情報等に異常な文字列が含まれている場合の修正 [linux]
　→ 印影にPDFファイルを使った場合のエラーになることがあった場合の修正
　→ 暗号化PDFファイルの署名辞書で/Typeキーが省略されている場合の修正
　→ 検証結果XMLの日付に署名タイムスタンプがあればその時刻を表示
　→ 署名理由等をJavaで取得する時にサロゲートペア文字等への対応修正
　→ XMPのサイズがゼロのケースにエラーになっていた問題を修正
　→ 証明書を設定XMLからセットする際に誤りがあったので修正
　→ PKCS#11利用時のパスワードが正常に渡らない場合がある問題の修正

その他詳細は製品ダウンロードページ（LE:PAdES:Lib / LE:PAdES-Basic:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「PDF長期署名ライブラリLE:PAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

「PDF長期署名ライブラリLE:PAdES:Lib」と「PDF基本署名ライブラリLE:PAdES-Basic:Lib」がバージョンアップして、V1.07.R3 となりました。追加された主な新機能や修正等は以下となります。

■ 新機能：
　→ 検証結果のLTV状態を判定する PdaVerifyXml.isLTV() を追加
　→ マニュアルに「３．８．長期検証（LTV）対応の判定」を追加
　→ XMP読み込み実行の設定をする LdPAdES.loadXmp() を追加
　→ マニュアルに「３．９．署名操作時のXMP 更新」を追加
　→ .NETのAPIでバイナリ等が返す時に lastError() でエラー値取得
　→ 署名理由や署名場所にユニコード文字が利用可能となった
　→ PKCS#7の検証時にAdobe仕様の失効情報(CRL/OCSP)の埋め込みに対応

■ 修正項目：
　→ Amazon Linux のiconv引数にNULLが渡されると例外になる問題の修正
　→ Windows版のPKCS#11利用時の問題の修正
　→ Linux版で署名理由や署名場所に環境依存文字が使えない問題の修正
　→ 他ツール等でXMPがXML正規化された後にXMP設定されない問題を修正
　→ XMPに属性として標準情報が入っていたケースに対応
　→ 異常タイムスタンプトークンに例外となる問題の修正
　→ パスワード付きPDFの読み込み時に正しく読めないケースへの対応
　→ setPropNameによるプロパティ設定時にXMLタグ名の対応を厳密
　→ JavaのLpkCades::getSignHash()のJNI引数処理に誤りの修正
　→ 署名理由などのリテラル文字列のエスケープ文字処理に誤りの修正
　→ PDFのページ回転値取得に失敗した場合に例外を生じる問題の修正
　→ xrefの指定に余計な文字列が入っていた場合でも読めるように修正
　→ その他警告レベルの細かな問題を修正

その他詳細は製品ダウンロードページ（LE:PAdES:Lib / LE:PAdES-Basic:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「PDF長期署名ライブラリLE:PAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

私の活動のうち公開されている情報をまとめた [公開情報]のページ を更新して最新の活動内容を反映しました。我ながら色々資料を作ってますねw まあ15年以上分ですから。最近はこのブログでは無く Qiita に技術記事は書くようになりました。日々のたわいない記事はFacebookに書くようになってしまいましたので非公開になってしまいました。Facebookはオンラインも含めお会いしたことがある方のみフレンド登録させて頂いています。フレンドになりたい方は是非お仕事を(^^; あと Twitter でも情報公開しています。これからも情報公開して行きますのでよろしくお願いします。

「PDF長期署名ライブラリLE:PAdES:Lib」と「PDF基本署名ライブラリLE:PAdES-Basic:Lib」がバージョンアップして、V1.07.R2 となりました。追加された主な新機能や修正等は以下となります。

１）HSM（※1）対応の機能やドキュメントの整備
　→ 仮署名2（LePAdeS.makeEnhanced2機能）利用の整備
　→ LpaCmdにて外部で署名値計算を行う仮署名2の機能を追加
　→ Linux版にて仮署名2用にX.509証明書の指定機能を追加
　→ 仮署名2のLpaCmd利用サンプルを追加
　→ CAdESハッシュ値計算時にハッシュアルゴリズム指定を追加
　→ マニュアル「４．８．HSMによる署名の利用（仮署名）」の追加
　※1 HSM：ハードウェア・セキュリティ・モジュール
２）Windows版にICカード設定を指定するLpkCert::setCard2を追加
　→ プロバイダ名/種別/フラグや鍵種別等のパラメータが指定可能
　→ LpaCmdにてJPKI/GPKI等の国内ICカードに対応とパラメータ公開
　→ マニュアル「４．６．CAPI対応IC カードによる署名の利用」参照
３）以下の新機能に対応
　→ Linux版として従来のCentOS以外にAmazon Linuxビルド版の提供
　→ 互換性向上の為に一部のCAdESデータ仕様への対応
　→ Windows版でWindows証明書ストアのCNG形式での登録秘密鍵に対応
　→ マニュアル４章を「４．ＰＫＩ要素と署名方法」として全面更新
　→ PDFのハイブリッドXREF構造への対応

■ 修正項目：
　→ メタデータが暗号化されたPDFの読み込み時に失敗する問題の修正
　→ 署名データ用の確保領域を15KBから17KBに増やした
　→ MDP署名にて/Pキーが無い場合に読み込みに失敗する問題の修正
　→ 署名フィールド名に日本語が使われている場合の問題を修正

その他詳細は製品ダウンロードページ（LE:PAdES:Lib / LE:PAdES-Basic:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「PDF長期署名ライブラリLE:PAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

Qiitaに「Re:ゼロから始める長期署名」を公開しました。ご笑覧ください。長期署名についての書籍も古いものしか無かったり、いまさら長期署名の基礎を解説する記事も無かったり、と言うことであらためて基本から書いてみました。新しい長期署名フォーマットとしてJSONベースのJAdES仕様が公開されましたので簡単にそれにも触れています。
https://qiita.com/lemiyachi/items/87d698e51e4a53c721d6

「クライアント署名 LE:Client:Sign」がバージョンアップして、Ver2.1 となりました。Ver2.1 ではサーバ連携せずにローカル環境側で利用可能な以下機能が追加となりました。

　１）クライアント署名のみでXAdES-BESの生成が可能。
　２）クライアント署名のみで証明書情報(JPKI/商業登記等)の取得/判定が可能。

その他詳細は製品ダウンロードページ（LE:Client:Sign）でご確認ください。製品ダウンロードページでは認証が必要です。「クライアント署名 LE:Client:Sign」について詳しくは弊社の製品ページをご覧ください。デモ環境も用意していますのでお問合せ頂ければURLをお知らせします。

「PDF長期署名ライブラリLE:PAdES:Lib」と「PDF基本署名ライブラリLE:PAdES-Basic:Lib」がバージョンアップして、V1.07.R1 となりました。追加された主な新機能や修正等は以下となります。

新機能：
１）クライアント署名V2.1をサポート
　→ Edge/Chromeでのクライアント署名が可能
　→ XAdES-BESローカル署名に対応（サーバ連携不要）
　→ 証明書情報をローカルで取得可能（JPKI/商業登記証明書他）
　※ ASP/OEMは別途クライアント署名ライセンスが必要
２）以下の新機能に対応
　→ Linux版でもXMP操作が可能となった
　→ Windows版でVisualStduio 2017/2019に対応した
　→ AES-256bitsの暗号化に対応した
　→ Java/.NETで最後のエラー lastError() のAPIを追加した
　→ 証明書クラスでJPKI/商業登記証明書の情報取得APIを追加した
　→ 簡易添付ファイル対応のAPIを追加した（他社互換性は非保証）
　→ Windows版で libxml2.dll と zlib1.dll が不要になった

修正項目：
　→ HTTP/LDAP通信に失敗した場合には1度だけ0.5秒待ってリトライする
　→ 署名データ用の確保領域を15KBに増やした
　→ リンク証明書を使った場合の認証パス構築不具合の修正
　→ 署名時のメモリ利用量を削減した
　→ Windows版でBasic認証付きPROXYの認証情報の設定方法の変更
　→ Linux版でSquidにおいてhttps通信時に失敗をしていた問題の修正
　→ その他互換性向上（読めないPDFへの対応等）

その他詳細は製品ダウンロードページ（LE:PAdES:Lib / LE:PAdES-Basic:Lib）でご確認ください。製品ダウンロードページでは認証が必要です。その他「PDF長期署名ライブラリLE:PAdES:Lib」について詳しくはアンテナハウスのページをご覧ください。評価版もご用意しておりますのでご興味があればアンテナハウスよりお申込みください。

「クライアント署名 LE:Client:Sign」がバージョンアップして、Ver2 となりました。Ver1 ではIE11上で動作するActiveXコンポーネントのみでしたが、Ver2となり新EdgeとChromeに対応した署名コマンドをサポートしました。ActiveXコンポーネントと署名コマンドでは証明書取得と署名値計算のAPIに大きく変更はありませんが、署名コマンドは別プロセスで起動される為に通信のWebSocket接続APIを最初に実行する必要があります。

「クライアント署名 LE:Client:Sign」について詳しくは弊社の製品ページをご覧ください。デモ環境も用意していますのでお問合せ頂ければURLをお知らせします。

新型コロナの影響で業務の電子化の推進が加速しています。電子署名もあちこちから注目を集めるようになって来て色々な電子署名サービスも出てきました。PKIと公開鍵暗号を使ったデジタル署名が主流でしたが他の方法もあります。デジタル署名は電子署名の1種ですが他の電子署名もあると言うことですね。昔から電子署名に関わって来た技術者から見ると正直言って現状は玉石混交です。でも電子署名サービスを判断する基準が今はありません。電子認証の世界ではNIST SP 800-63-3で認証保証レベルが規定され、米国以外（日本）でも使われています。と言うことで同じように署名保証レベルを決められないかと考えて見て案が出来ましたので公開します。これはまだ弊社案（ラング・エッジ案）となります。

その前にNIST SP 800-63-3を簡単に振り返ってみます。なお日本語訳がJIPDECで公開されていますので、詳しくはそちらを見てください。認証保証レベルは3つの項目に分かれています。IAL（Identity Assurance Level）、AAL（Authenticator Assurance Level）、FAL（Federation Assurance Level）です。IALが本人確認、AALが認証手段、FALが連携手段に関するレベルと言えます。これに対して電子署名の場合には、署名本人確認レベル、署名技術手段レベル、署名運用監査レベルの3つの保証レベルに分けることを提案します。

署名本人保証レベル：SIAL Signature Identity Assurance Level	署名者の本人性をどうやって確認したか
署名方法保証レベル：SMAL Signature Method Assurance Level	電子署名をどのような方法で保証するか
署名運用保証レベル：SPAL Signature Policy Assurance Level	署名サービスの運用や監査のレベル

色々なレベルが考えられると思いますがまずはこれだけあればかなり電子署名サービスの特長は掴めると考えています。 [続きを読む]