「覚えている秘密」に頼らず本人を確かめる
パスワードや暗証番号は、本人だけが知っている情報を確かめる方式です。しかし、忘れる、入力を見られる、偽の画面に入力してしまうといった問題があります。これに対して生体認証は、指紋の模様、顔の形、虹彩の模様、手や指の静脈の形など、身体から読み取れる特徴を照合します。文字列を覚えたり、毎回キーボードで入力したりしなくてよいため、スマートフォンのロック解除や施設への入退室などで利用されています。
ただし、生体認証なら無条件に本人だと証明できるわけではありません。けがで指紋を読み取りにくい、照明や顔の向きによって顔を捉えにくい、センサーが汚れているなど、利用環境によって判定しにくくなることがあります。また、身体的特徴には似た部分もあるため、機械は完全一致を調べるのではなく、読み取った特徴が登録済みの特徴にどの程度近いかを判定します。使いやすさと安全性の両方を考えて採用する必要がある技術です。
指紋や顔は「画像のまま比べる」とは限らない
生体認証は、まず利用者の特徴を登録するところから始まります。センサーやカメラで身体の一部を読み取り、照合に必要な特徴を数値化します。この処理を特徴抽出といい、得られたデータはテンプレートなどと呼ばれます。実際に認証するときにも同じ種類の特徴を取り出し、登録されたテンプレートとの近さを計算して、一致とみなせるかを判定します。仕組みによっては、撮影した顔写真や指紋画像そのものではなく、この特徴データを照合に使います。
読み取りのたびに、指を置く位置や光の当たり方は少しずつ変わります。そのため、二つのデータが一字一句同じかを調べるパスワードの照合とは性質が違います。生体認証では、多少の違いを許しながら本人らしさを判断する必要があります。どの特徴を取り出し、どこまでの違いを許すかが、認証の性能を左右します。
一致とみなす境目が二つの判定ミスを生む
照合結果には、本人なのに拒否される「本人拒否」と、別人なのに受け入れられる「他人受入」という二種類の誤りが起こり得ます。一致とみなす基準を厳しくすれば他人を通しにくくなりますが、本人も拒否されやすくなります。反対に基準を緩くすれば本人は通りやすくなる一方、別人を受け入れる危険が高まります。求められる安全性や、失敗したときの影響に応じて、このバランスを決めます。
生体認証に失敗したときの代替手段も重要です。スマートフォンでは暗証番号を使える場合があり、施設では管理者による確認などが考えられます。代替手段の安全性が低ければ、攻撃者は生体認証ではなく、そちらを狙うかもしれません。認証全体の安全性は、最も目立つセンサーだけでなく、登録、再登録、失敗時の手続きまで含めて考えます。多要素認証として、パスワードや所持品による確認と組み合わせる方法もあります。
写真や複製物を見分ける「生体検知」
顔認証のカメラに顔写真を見せる、指紋をかたどった複製物をセンサーに触れさせるなど、本物の利用者ではない生体情報を提示する攻撃があります。これを防ぐため、実際の人がその場にいるかを確かめる生体検知（ライブネス検知）が用いられることがあります。奥行き、動き、反射などを利用する方法がありますが、具体的な方式は装置によって異なります。
生体検知があっても、認証システム全体への攻撃がなくなるわけではありません。登録時に別人の情報を登録させる、保存データを盗む、認証後の端末を操作するといった問題は別に考える必要があります。情報セキュリティの3要素のうち、認証は主に情報を許可された人だけが扱える状態にする「機密性」と深く関係しますが、データを改変されない完全性や、必要なときに使える可用性も欠かせません。
「1対1の認証」と「1対多の識別」は別の仕事
周辺知識として、生体情報を使う処理には「認証」と「識別」という似た言葉があります。利用者が先にアカウントやカードを示し、その人として登録されたデータと照合するのが1対1の認証です。一方、多数の登録データの中から誰に当たるかを探すのが1対多の識別です。どちらも顔や指紋を使えますが、比較する相手の数と目的が違います。スマートフォンの所有者確認と、登録者一覧から人物を探す処理を同じものとして扱うと、必要な精度やプライバシー上の影響を正しく考えられません。
さらに、生体情報はパスワードのように簡単には取り替えられません。保存する特徴データにも適切なアクセス制御や暗号化が必要です。顔や指紋に関するデータは個人と結び付く可能性があるため、何の目的で集め、どこに保存し、いつ削除するのかを明確にすることも大切です。個人情報保護法との関係を含め、便利さだけでなく、情報が漏れた場合の影響や本人への説明まで考えて運用する必要があります。