マイナンバーカードで健康保険証を代用できるようになったので、その仕組みを調べました。マイナンバーカードにはマイナンバーという個人番号の他に「氏名」「性別」「生年月日」「住所」という個人特定のための「基本4情報」が記載されています。マイナンバーという個人番号を健康保険に使う事は法律上できないので、かわりにカードに特有のシリアル番号を個人番号として使います。このシリアル番号はカードのICチップに格納された「利用者証明用電子証明書」に含まれるもので、カードから読み出す時は4桁の暗証番号が必要です。でもマイナンバーカードを健康保険証として使う場合は、顔認証という方法も使えます。顔認証が可能なICカードリーダーを使い、マイナンバーカードから暗証番号なしで読み出せる顔写真と、ICカードリーダーに付属のカメラで撮影した本人の顔画像を比較します。これが同じかどうかを判定するのはそのICカードリーダーの役割で、この段階では4桁の暗証番号は不要です。ではマイナンバーカードが本人のものと判定した場合、暗証番号なしでサーバー（オンライン資格確認等システム）はどう資格確認するのでしょう。ここで思い出していただきたいのは、マイナンバーカードを健康保険証として使う場合に、最初に一度だけ「登録」という作業が要るという事実です。この登録という作業には、マイナンバーカードの「利用者証明用電子証明書」を読み出すために4桁の暗証番号が必要です。その結果個人番号として使えるシリアル番号が手に入るので、カードに固有の4桁のセキュリティーコードと「基本4情報」に加えてシリアル番号をペアとしてサーバーに登録します。すると4桁のセキュリティーコードに加えて「基本4情報」があれば、シリアル番号がなくてもサーバーで資格確認できます。4桁のセキュリティーコードと「基本4情報」はマイナンバーカードに印刷してあるので、これをカメラで読み取ってサーバーに送れば、本人が登録されているかどうかはわかります。クライアントとしては顔認証だけで健康保険証としての本人確認ができるという仕組みです。なお4桁のセキュリティーコードは顔写真の下に印刷してあり、同氏名、同姓別、同生年月日、同住所の人でも区別できます。今のところ顔認証が使えるのは健康保険だけです。
同日追記
暗証番号のないマイナンバーカードを健康保険証として使う場合は、顔認証のみ使えます。そこでカードを発行した時点で健康保険証としての登録を完了しておく必要があります。おそらく内部のICチップにはシリアル番号と利用者証明用電子証明書が格納されていて、通常の手順では読み出せない仕組みだろうと考えられます。カードの表にある基本4情報とセキュリティーコードは使えるので、今までの顔認証と違いはありません。ただし内部のICチップで動くソフトの変更と、表面にカードを区別できる文言は必要です。
2024年05月15日追記
マイナンバーカードにホログラムがなく偽造が容易というのは欠点です。健康保健証や運転免許証にはないので、なくても良いという判断だったのでしょうか。
