セキュリティの素朴な疑問を解く 第10回

Q&A形式でセキュリティの基礎を学ぼう

指紋や顔型でユーザー認証をする理由とは？

Q. 生体認証ってなにがいいの？

A. 身体的な特徴を使うので、忘れたり紛失したりといった心配がありません。

人の記憶やものによる認証の限界

　ユーザー認証の方法には、記憶による認証と所持による認証の方法がある。記憶による認証の代表はパスワードだが、安全性の高いパスワードは、覚えにくいパスワードとなる傾向がある。そのため、パスワードを忘れてしまったり、メモに書き留めてディスプレイの脇に貼り付けるといった手抜きが発生しやすい。

　また所持による認証は、トークンをはじめ、銀行のキャッシュカードやクレジットカードのように「そのものを所持しているから本人である」という考え方が基本になる。銀行のキャッシュカードは所持による認証を考える上で、もっともよい例である。

　たとえば、夫の銀行口座を妻が管理するといった例を考えよう。この場合、夫の銀行口座の通帳・キャッシュカードは妻の管理下にある。原則は、キャッシュカードは夫しか使わないことになっているが、実際には暗証番号を妻に教えているので、妻がキャッシュカードでお金を下ろすことになる。

　このような状況では、キャッシュカードを所持していて、正しい暗証番号が入力されれば、自動預払機（ATM）は機械的にユーザーを夫と判断してしまう。つまり認証のキーとなるものを所持することで、なりすましの脅威があることがわかる。

　このように人の記憶を使うものは、紛失や忘却によってシステムを利用できなくなるというリスクがある。また、物による認証には本人ではない者を本人と誤認したり、なりすましを防ぐことができないという欠点がある。

　これらの欠点を解決する認証方法として近年注目されているのが、人間の身体的な特徴を利用して本人の確認を行なう「生体認証（バイオメトリクス認証）」である。

身体的な特徴の利用

　バイオメトリクス認証は、パスワードやトークンなどによる認証方式とは異なり、IDやパスワードを忘れてしまう心配はいらない。もちろん、何かを持って歩くこともないので紛失や盗難といった心配もない。

　バイオメトリクス認証において本人を識別する方法は、人のどのような特徴を基にするかによって、「身体的特徴を用いる方法」と「行動的特徴を用いる方法」に分けられる。

　身体的な特徴には、指紋や瞳の中の虹彩、声紋、顔型、指や手のひらの血管（静脈）の形状などがある。一方、行動的特徴には、筆跡やキーボードの打鍵の癖、「まばたき」の癖による黒目領域の変化量を測定する方法などがある。

　バイオメトリクス認証では、このようなユーザーの特徴を事前に採取して登録し、システムにアクセスする際にセンサーで特徴を読み取り、登録されている情報と比較し認証を行なう。

　そのため生体認証というと一般的ではないような印象を受けるが、最近は身近なところでも見かけるようになってきている。その例を3つ紹介しよう。

（次ページ、「生体認証のいろいろ」に続く）