【あてすてーしょん】

アテステーションとは？

最終更新: 2026年10月4日

💡 状態の証拠を確かめ、信頼の判断につなぐ

デバイスの状態などに関する証拠を検証し、定めた条件を満たすか評価する仕組み。リモートアテステーションでは、別のシステムが証拠を検証し、その結果を利用判断に使う。

📌 このページのポイント

署名された計測値を使う構成の例。検証側の評価と、サービスが結果を利用して行う判断は別の役割で、同じシステムが複数の役割を担うこともある。

ひよこ

アテステーションって、何をするものなの？

ペンギン先生

例えばデバイスが計測値などの証拠を示し、別のシステムがそれを検証して、要求する状態か評価する仕組みだよ。単に「安全です」と宣言するだけではなく、証拠と評価の基準を使うんだ

ひよこ

自分で言うだけじゃ信頼できないんじゃないの？

ペンギン先生

TPMやTEEなどを使い、計測値や鍵を保護して署名する構成があるよ。検証側は署名に加え、参照値や証拠の新しさなども確認する。鍵の保護や計測の信頼性が前提なので、署名があるだけで偽造も攻撃も全て防げるとは言えないんだ

ひよこ

リモートアテステーションでは、誰が検証するの？

ペンギン先生

証拠を示す側、証拠を評価する検証側、結果を利用する側という役割があるよ。サービスは結果をもとに、自分の方針で許可や制限などを決める。検証が失敗したら必ず同じ動作になるわけではないし、評価の対象外の脅威まで安全になるわけではないんだ

ひよこ

スマホのSafetyNetも同じような仕組みだったの？

ペンギン先生

SafetyNet Attestation APIは端末などの状態を確認するためのサービスだったけれど、2025年1月に終了したよ。GoogleはPlay Integrity APIへの移行を案内している。Play Integrityの判定を受けたアプリのサーバーが、適切な対応を選ぶんだ

ひよこ

ソフトウェアのビルドでもアテステーションって聞くよ？

ペンギン先生

SLSAなどでいうソフトウェアアテステーションは、成果物についての認証された情報だよ。どうビルドしたかなどを記録し、誰がその情報を作ったかを署名で確認する。デバイスのリモート検証とは対象が違うし、署名だけで成果物が無害だと保証するものでもないんだ

まとめ：ざっくりこれだけ覚えればOK！

「アテステーション」って出てきたら「状態などの証拠を検証し、信頼できるか判断するための仕組み」と思えばだいたいOK！

📖 おまけ：英語の意味

「Attestation」＝証明・証言

💬 attestationは「証明」「証言」の意味。デバイスやソフトウェアについての証拠を、検証する側へ示すイメージだよ

参考資料