VDSIC（Visible Digital Seal International Council）は、2016年にパリで設立されたフランスの非営利団体であり、文書・製品に印刷された2次元バーコードを用いて偽造・改ざんを検証するVDS（可視電子封印）の国際的なガバナンスを担当している。VDSの技術規格とセキュリティポリシーを制定し（ISO 22385、ISO 22376に準拠）、最上位の信頼アンカーであるRoot LoTLを運用するとともに、スキーム運営機関の認可・監督を行う。会員は政府機関、認証機関（CA）、信頼サービスプロバイダー（TSP）で構成されている。
つまり、会員ポータルでやり取りされる資料は、ルート信頼リスト、スキーム認可審議、標準草案など、公開前の段階にある機密情報である。ポータルの認証強度が、そのまま信頼体系全体の問題につながる。
メールOTPの限界
従来のポータルは、IDを入力すると登録メールアドレスにOTPコードが送信され、ユーザーが直接入力する方式だった。毎回メールボックスを開く手間、フィッシングによるリアルタイム中継（リレー）攻撃時のコード盗難の可能性、そして生体認証との連携がないため、「メールへのアクセス権限を持つ誰か」までしか検証されないという問題があった。
ITU-T X.1283(09/2024)も、一部のパスワードレス実装が既存の脆弱性を引き継いでいると指摘している。
id3 Technologiesが適用したX.1280
VDSICのフランス技術会員企業であるid3 Technologiesが、ポータルサイトにPasswordless X.1280を連携させた。ITU-T X.1280(03/2024)は、モバイル端末を利用した帯域外（out-of-band）サーバー認証フレームワークであり、その核心は検証順序の逆転にある。ユーザーが先に自身を証明する代わりに、接続したサービスが本物かどうかを先に確認した上で認証情報を提供することで、検証者なりすまし（verifier impersonation）を阻止する。
画面に認証コードが自動的に表示され、ユーザーのスマートフォンにも同じコードが生成される。2つのコードを比較して一致すれば、生体認証によって承認される。入力するコードがないため、入力過程での情報窃取は成立しない。
| 区分 | 従来のOTP | X.1280 |
|---|---|---|
| コードの伝達 | メール送信 | 画面への自動表示 |
| ユーザーの操作 | 手入力 | 照合後の承認 |
| 検証の方向 | 一方向 | 相互認証 |
| 本人確認 | なし | 生体認証 |
「セキュリティレベルの低いOTP認証を、より安全なX.1280ベースに改善することで、セキュリティと利便性を同時に高めることができました。今後は、他のオンラインサービスにも引き続き拡大・適用していく予定です。」
X.1280は特定のベンダー規格ではなく、公開されたITU-Tの国際標準勧告である。文書の真正性を国家単位で保証する組織でさえ、自社のポータルではメールOTPに依存していたという事実は、認証方式の更新がいかに遅れがちであるかを示している。今回の移行により、ユーザーの操作を軽減しつつ、検証の厳格さを高めた。
Christophe Candela — パスワードレス・アライアンス フランス技術代表（Technical Representative）
25年以上にわたり、生体認証、暗号学、および組み込み型本人確認ソフトウェアの分野でキャリアを積んできたエンジニアであるクリストフは、現在、生体認証、セキュリティ文書、信頼サービスを専門とするフランスのテクノロジー企業id3 Technologiesでイノベーション担当副社長（VP Innovation）を務めており、生体認証研究所を統括するとともに、同社の認証およびデジタル信頼ポートフォリオを率いています。彼は、PKIおよび証明書ライフサイクル管理に関する専門知識を基盤に、Match-on-Card認証やISO 22376およびISO 22385に準拠したVisible Digital Seal技術といった標準ベースの信頼インフラを含め、リソースが限られたプラットフォーム向けの生体認証アルゴリズムおよび組み込みソフトウェアに関する実務経験を融合させています。また、デジタルIDおよび文書認証分野における国際標準化および相互運用性の取り組みに貢献しており、VDS国際協議会（VDSIC）やパスワードレス・アライアンス（Passwordless Alliance）で積極的に活動しています。