PGP暗号化でオンライン取引を保護しよう

PGP暗号化で何を「保護」できるのか

PGP暗号化（OpenPGPの文脈で使われることが多い）は、オンライン上でデータをやり取りするときに、主に「秘匿（見られないようにする）」と「完全性（改ざんされていないことを確かめる）」を狙う技術です。加えて、デジタル署名を使うことで、送信者が本当にその相手である可能性を高めて確認できます。

ただし、暗号化すれば取引が必ず安全になるわけではありません。たとえば、鍵がすり替えられていたり、受信端末が侵害されていたりすると、暗号そのものが正しくても被害が起こりえます。このため、PGPを「できること」と「できないこと」の両方で理解するのが重要です。

PGPの基本は公開鍵暗号です。

送信者は受信者の公開鍵でメッセージ（や必要なデータ）を暗号化します。受信者は自分の秘密鍵で復号して内容を読み取ります。これにより、途中で通信内容を覗かれても、暗号化されているため読み取りは難しくなります。

またPGPにはデジタル署名の仕組みがあります。送信者が秘密鍵で署名を作成し、受信者は公開鍵で検証します。署名検証が通れば、内容が途中で改ざんされていない可能性や、署名者がその鍵の持ち主である可能性が高まります。

PGPの有効性を左右する最大の要素は「鍵の正当性（その公開鍵が本物かどうか）」です。公開鍵を適切に入手し、その持ち主が誰なのかを確認できていないと、暗号化していても“間違った相手”に対して暗号化してしまう可能性があります。いわゆるなりすまし（鍵のすり替え）対策が、実務では非常に重要になります。

さらに、オンライン取引で起こりうるリスクは暗号化の外にもあります。例えば、

このように、PGPは「通信・メッセージの守り」に強い一方で、取引全体の安全性を単独で保証するものではありません。したがって、暗号化と署名は、複数の対策のうちの一つとして位置づけるのが現実的です。

取引でPGPを使う前後に、最低限チェックしたいポイントを整理します。

公開鍵の入手元を確認する公開鍵は、どこから得たかが重要です。相手が提示した公開鍵をそのまま使うのではなく、可能なら本人確認が含まれる経路で入手するのが望ましいです。ここは環境や運用で最適解が変わるため、具体手順は利用している仕組みに合わせてください。
鍵フィンガープリント（指紋）を照合する公開鍵には短い“指紋”のような識別情報が付くことがあります。