適合性プログラムとは？信頼への「お墨付き」
C2PA適合性プログラムは、デジタルコンテンツを生成するツールに対し、「あなたの製品はC2PAのルールとセキュリティ基準を遵守しています」という公式な「お墨付き」を与える、公平で透明性の高いプロセスです。 このプログラムの対象は、主に以下の3者です。- コンテンツ生成製品 (Generator Product: GP)：コンテンツの来歴を記録するカメラや編集ソフトなど。
- 検証製品 (Validator Product)：記録された来歴データ（マニフェスト）を検証するツール。
- 認証局 (Certification Authority: CA)：デジタル署名のための電子証明書を発行する機関。
信頼を支える5つの新しい仕組み
適合性プログラムの発表により、コンテンツの信頼モデルをより厳格かつ公的に運用するための、5つの主要な要素が導入・明確化されました。1. C2PA証明書ポリシー (C2PA Certificate Policy: CP) の公開
デジタルコンテンツの来歴データ（クレーム）の信頼性は、それが誰によって署名されたかにかかっています。これを証明するのが、署名に紐づく電子証明書です。 このC2PA証明書ポリシー（CP）は、証明書を発行する認証局（CA）が遵守すべき詳細なルールブックです。CPは、CAが申請者（ジェネレーター製品を実装する企業など。「サブスクライバー」と呼ばれます）に対して、C2PAクレーム署名用の証明書を発行するための手順を定めています。 このポリシーに従って運営されるCAだけが、後述するC2PAトラストリストへの登録を申請できるため、まさに信頼の根幹（ルート）を成すものと言えます。2. C2PAジェネレーター製品セキュリティ要件 (GP-SR) の公開
コンテンツの来歴を記録するソフトウェアやハードウェアが、悪意のある第三者に乗っ取られ、来歴そのものを簡単に改ざんできてしまっては、信頼性は大きく損なわれます。そこで登場するのが、ジェネレーター製品セキュリティ要件 (GP-SR) です。 これは、コンテンツ生成製品（GP）がクリアすべき具体的なセキュリティ基準を定めた文書です。この要件には、GPにおける評価対象（Target of Evaluation: TOE）が、想定される脅威から保護されていることを証明するためのセキュリティ目標（Security Objectives: O）と具体的な要件（Requirements: R）が含まれています。 GP-SRを満たすことで、その製品が生み出したコンテンツの来歴データが、セキュリティ的に安全な環境で記録されたことが保証されるのです。3. C2PAトラストリスト (TL) と TSAトラストリスト (TSA TL) の公開
C2PAのエコシステムにおいて、検証者（コンテンツの信頼性を評価する人やシステム。「依拠当事者」とも呼ばれます）が「この署名は本物だ」と判断する根拠となるのが、これらのトラストリストです。- C2PAトラストリスト (C2PA Trust List: TL)：適合ジェネレーター製品に対して、C2PA証明書ポリシー（CP）に基づき証明書を発行する、信頼できるルート認証局（トラストアンカー）のリストです。検証者はこのリストを参照し、コンテンツの署名が信頼できる機関によって行われたかを確認します。
- C2PA TSAトラストリスト (C2PA TSA Trust List: TSA TL)：コンテンツが「その日時に存在したこと」を証明する、信頼できるタイムスタンプ局（TSA）のリストです。これにより、コンテンツがいつ作成・編集されたかという時刻情報の信頼性も検証可能になります。
4. 適合製品リスト (Conforming Product List: CPL) の公開
CPLは、適合性プログラムの厳しい審査を通過し、C2PAの基準を満たしていると認められたジェネレーター製品および検証製品の公式な「合格者名簿」です。 このリストに掲載されたジェネレーター製品のインスタンスのみが、C2PAトラストリストに登録されたCAからクレーム署名証明書を取得する資格を得ます。CPLには、その製品が達成できる最高の保証レベル、すなわち「最大アシュアランスレベル（Max Assurance Level）」も記録されます。 製品に「重大な変更 (material change)」があった場合は、CPLの記録を修正、または新規で再申請する必要があります。5. 保証レベル (Assurance Level: AL) の策定
デジタルコンテンツの来歴を検証する側にとって、その情報がどれだけ信頼できるかを示す尺度が「保証レベル（Assurance Level, AL）」です。このレベルが高いほど、「この来歴情報は、本当にその製品が意図した通りに動作して生成されたものだ」という信頼度が高まります。 ALは、C2PAクレーム署名証明書の拡張領域（c2pa-al）を通じて伝えられます。
- 最大アシュアランスレベル (Max Assurance Level): 製品が技術的に達成可能な最高の保証レベル。GP-SRに基づき評価されます。
- AL 1とAL 2: 現在の仕様では、主にレベル1とレベル2の2段階が運用されています。
暫定トラストリストからの移行
前回の記事で、暫定的に運用されるトラストリスト（トラストアンカー）について触れました。適合性プログラムの開始に伴い、いままで利用されてきた暫定トラストリスト (Interim Trust List: ITL)から、正式なC2PAトラストリスト (TL) への移行が計画されています。ITLの役割と移行の必要性
ITLはC2PAの初期採用を支える重要な役割を果たしてきましたが、公式のC2PA TLは、より強固なガバナンスとセキュリティを提供します。C2PAは、ITLを廃止することで、エコシステム全体を最新のC2PA 2.x仕様へ準拠させることを目指しています。 移行のタイムラインは以下の通りです。| 期間 | 内容 | 影響 |
|---|---|---|
| 2025年12月31日まで | ITLの運用を継続 | この期間中、ITLに基づく古い証明書も検証サイトでは「信頼できる」と表示されますが、古い信頼モデルに基づいている旨の免責事項が併記されます。 |
| 2026年1月1日 | ITLを凍結 | 新しい証明書の追加や更新が停止されます。既存のITL証明書はレガシーサポートのために有効ですが、順次有効期限を迎え、最終的には署名に使用できなくなります。ただし、有効期間中に署名されたコンテンツは、古い信頼モデルにおいては常に有効と見なされます。 |
