手書きのデジタル署名を受け入れるデバイスでは、どの要素を考慮する必要がありますか？
最近では、多くの場所でデジタル署名パッド/デバイスに署名を付けるように求められます。
私はヨーロッパにいるので、EU指令 1999/93/EC が規制しているようです。デバイスの観点からこれまでにわかったことから、この指令に準拠するには、次のことを行う必要があります。
- 信頼できるCAによって署名された秘密鍵がデバイスに埋め込まれていて、手書きの署名とドキュメントが暗号化されている
- 秘密鍵がデバイスにのみ存在し、抽出できないことを確認します（一部の企業はiPadソリューションも提供しているため、秘密鍵はおそらく必須ではありません）。
- 署名の生体認証をキャプチャできるように、圧力に敏感なキャプチャ表面
しかし、デバイスで受け入れられた署名が紙の対応物と同じくらい有効であることを確認するために、デバイス/ソリューションで他に何を探す必要がありますか（たとえば、法廷で保留することができます）？
この質問は今週の情報セキュリティの質問として取り上げられました。
詳細については、2014年12月19日ブログエントリをお読みください。または今週の質問を送信してください。
保証はないと思います。トピックに関する以前の判例法がない場合、関係者の証言、おそらく専門家の証人からの証言、および裁判を取り巻く残りの状況に基づいて、これが信頼性の評価に帰着することを期待します。
法的手続きは署名を絶対的な鉄の保証として扱っていないことに注意してください。彼らはそれらを証拠の全体の一部と見なします。
これを法廷で立証する方法を考えたい場合は、2つの提案があります。まず、弁護士に相談してください。 （法的助言はこのサイトの強みではありません。）これは私があなたに与えることができる最も重要な助言です：法的専門家に相談してください。
第二に、私はこれについて敵対的な視点から考えることを提案します。あなたが法廷で署名の信頼性を破壊するために雇われた専門家証人だったと想像してください。あなたの攻撃ラインは何ですか？署名が何も証明していないことを裁判官や陪審員に納得させようとするには、どうしますか？次に、これらの議論を説得力のないものにするためにどのようなプロセスまたはメカニズムを導入できるかを考えます。審査員に説明するのが難しい複雑な技術メカニズムは、効果的な反論にはなりそうにないことに注意してください。法廷で説得力のあるものを探す必要があります。これは、技術的な観点から最も効果的なメカニズムとは必ずしも同じではありません。
私の推測では、低価値のトランザクションでは、おそらくany cryptoは必要ありません。アリスが自分の名前に署名する方法と一致するように見える署名をキャプチャした場合、それはおそらく価値の低いトランザクションには十分でしょう。逆に、価値の高いトランザクションの場合、これらのデバイスがどれほど派手な暗号をそれらに投入したかに関係なく、これらのデバイスが法廷で説得力があるかどうかについて私は懐疑的です。私たちは、紙にウェットインクの署名を何十年も知っていて、経験を積んでいます。また、デジタル署名パッドを使用するよりも、それらの故障モードをよく理解しています。たとえば、英国のチップアンドピンを見てください。それらのスキームにはそのような攻撃を阻止するために設計および意図されたかなり合理的な暗号がたくさんあるにもかかわらず、（主にケンブリッジのセキュリティ関係者によって発見された）複数の深刻なセキュリティ欠陥に悩まされています。
EU指令1999/93/EC（およびその次の置き換え）は、すべての加盟国での適格な電子署名と手書きの署名の法的同等性、およびその他のタイプの高度な電子署名の「法的価値」を実施します。ただし、この指令は「手書きのデジタル署名」ではなく、PAdESやCAdESなどで標準化されている実際の電子署名に対応しています。言い換えれば、1999/93/ECはここではあなたを助けません、そして私は技術的な対策だけでこの種の署名が法廷で受け入れられることを保証することを疑います。
編集：
いくつかの企業が、1999/93/EC AdESに準拠していると主張するタブレットベースのソリューションを提供しています。
まず、手書きの署名と法的同等性を提供する高度な電子署名では、資格のある証明書を使用する必要があります（1999/93/ECの記事5.1）。タブレットベースのソリューションは明らかにこのカテゴリに属しません。
資格のない高度な電子署名について、私は 簡潔なヨーロッパIT法 の見解を共有します。
「定義は技術的に中立な方法で策定されているが、それらは暗黙的に証明書ベースの公開鍵暗号法を指し、「デジタル署名」技術としても知られている。」
実際には、AdES定義のさまざまな国別の置き換えにより、証明書ベースの署名のみが、指令が意図する相互運用性を提供します。たとえば、 チェコ共和国の法律227/20 では、AdESが
「作成してデータメッセージに添付すると、署名者は自分の唯一の管理下に維持できる」
（すべてではないにしても）ほとんどのタブレットベースのソリューションは、「取り付けられた」部分で失敗します。実際、適切なデジタル署名とは異なり、タブレット（バイオメトリクスの有無にかかわらず）でキャプチャされた落書きは、どのドキュメントでも再利用できます。