無料セキュリティ対策に不安がある企業必見！「セキュリティ対策無料相談窓口」

最近は、高度なセキュリティを求める要求から自社内やセキュリティルームへの入退室の際に指紋や声紋、瞳の虹彩などのバイオメトリクス認証(生体認証)を利用するケースが増えています。従来使われてきたパスワードや暗証番号による認証は比較的手軽に導入でき利用できる反面、パスワードや暗証番号がいったん他人に知られてしまうと、他人が自由にサービスを利用できるようになってしまいます。

しかし、生体認証は生物個体が持っている身体的特性を利用して認証を行うものであり、従来からの認証方法のように簡単に漏えいしづらく、また紛失なども発生しないと言われています。現在、生体認証を使っているケースをいくつか以下に例として挙げてみましょう。

現在生体認証が利用されているサービス

1. PCや携帯電話で指紋を読み取ってログオンする
2. 金融機関のATMで指紋や静脈認証を使って本人確認をする
3. セキュリティルームへの入室に指紋や静脈認証を使って本人確認をする
4. 空港での指紋と顔による出入国管理認証システム（J-BIS※）

生体認証システムでは通常、事前にテンプレートと呼ばれる個人の認証対象となる指紋などのデータをデータベースに登録し、実際の認証時にはそのテンプレートとの照合を行って判別するという処理を行います。そのため、システム内には必ず生体認証データが存在します。

先に述べたように生体認証情報はパスワードや暗証番号に比べると個人の身体的特性に基づいたデータのため、漏えいのリスクが非常に少なく安全な認証方法と言えます。しかし、生体認証はまだまだ完全なものではなく、明らかに重大な２つの問題があります。

生体認証が抱える２つの重大なリスク

１　誤認識の危険性

これは大きく2つに分けられます。

「本人」を正しく認識できないケース

まずはシステムが本人であると正しく認識できないケースです。

例に挙げると、セキュリティルームに入るのに指紋認証が必要な鍵が付いているとします。通常であれば本人の指紋で鍵は解除され本人は中に入ることが出来ます。しかし、誤認識が発生した場合、認証システムは他人であると判断しますので、中に入ることが出来ません。

このケースの場合、パスワード認証等を併用することである程度回避できますし、情報が漏えいするわけではないのでさほど問題ではありません。問題はもうひとつのケースです。

間違えて「他人」を「本人」と認識してしまうケース

システムが赤の他人を本人であると認識してしまう場合は非常に危険です。

例を挙げると同じくセキュリティルームに入るのにAさんでしかドアの鍵を開けられないのに、システムはBさんを誤ってAさんであると認識してBさんに対してドアを開けてしまうといった場合です。この場合、権限を持たない人物が本来触れてはいけないはずの情報にアクセス出来てしまう可能性があります。この場合、Bさんから不正に情報が漏えいしてしまうリスクが発生します。

２　漏えい時のリスク

生体認証データはパスワード等と異なり偽造は困難です。しかし、ゼラチンで偽造した指紋で生体認証をクリアしてしまったケースや、紙に印刷した虹彩で認証をクリアしたケースも報告されています。さらに最近は3Dプリンタも実用化され、今後さらに生体認証情報が不正に偽造されるケースは十分考えられます。

生体認証データが漏えいした場合、以下の理由から非常に重大な問題となります。

• 生体認証データは個人の身体的特性なので、漏えいしても変更できない。
• いったん漏えいすると同様の特性を使う認証システムはすべてアクセス出来てしまう。

おわりに

生体認証データはいったん漏えいし、それを利用してシステムやデータにアクセスできるようになると、認証方法の変更等を行わない限りずっとアクセス出来るようになってしまうということです。これは、認証システムとしては無力になることを意味するため、非常に問題です。

生体認証はメリットも多くあり、上手に使えば非常に有効な認証システムですが、デメリットもあります。それを理解して、複数の認証システムを組み合わせて使うなどメリットを生かしつつ、デメリットが出ないような使い方をするのが良いでしょう。

参考
※https://ja.wikipedia.org/wiki/J-BIS