生体認証とは？

• IAM 用語集
• 生体認証とは？

生体認証とは、身体的または行動的な特徴に基づいて個人を自動的に認識することを指します。指紋、顔の特徴、音声パターン、虹彩や網膜のスキャン、さらにはその人特有の歩き方やタイピングスタイルなどが含まれます。

生体認証システムは、一般的に多要素認証（MFA）設定の一部として、識別と認証の目的で使用されます。生体認証システムは、個人の生体データを保存されたテンプレートやデータベースと比較することで、その人が本人であるかどうかを判断することで機能します。

生体認証技術は、その利便性とセキュリティ機能の強化により、近年ますます人気が高まっています。多くの人は、顔、指紋、または特定のジェスチャーを使用してモバイルデバイスのロックを解除しています。また、セキュアな施設や機器へのアクセスを許可するためにも、生体認証が頻繁に使用されています。しかし、セキュリティの専門家は、生体認証データのプライバシーとセキュリティについて懸念を表明しています。

生体認証の定義

生体認証データを識別や認証に利用するという考え方は、決して新しいものではありません。実際、古代文明でタトゥーや身体に刻まれたマークを使って個人を識別していたことにまでさかのぼることができます。1910 年には、イリノイ州で起きた殺人事件の容疑者を特定するために指紋の証拠が使用されました。しかし、テクノロジーベースのシステムとしての生体認証の現代的な利用は、1960 年代の自動指紋認識システムの開発から始まりました。

生体認証が誕生した最大の動機は、個人の身元を確認するためのシステムやプロセスのセキュリティを向上させることにありました。パスワードや ID カードなどの従来の本人確認方法は、盗まれたり、紛失したり、簡単に忘れてしまったりするため、詐欺やなりすましに遭いやすいものでした。一方、生体認証は、各個人に固有のもので、複製が困難なため、より安全で信頼性の高い本人確認方法となっています。

セキュリティに加え、生体認証システムは物理的なトークンやパスワードが不要なため、利便性と効率性も兼ね備えています。生体認証は、より速く、より合理的であるため、スピードと正確さが重要な空港やセキュリティ施設など、交通量の多い場所に適しています。

今日では、生体認証技術は著しく進歩し、新しい生体認証方式が常に開発・改良されています。しかし、新しい技術と同様に、プライバシーやセキュリティに関する懸念もあります。特に、商用アプリケーションや政府による監視のために生体データを使用することが増えています。

パスワードと生体認証の違い

生体認証とパスワードの主な違いは、本人確認する上でどのように使用されるかにあります。

パスワードは、ユーザーが作成し記憶する文字や単語の秘密の組み合わせであり、自分の身元を証明するものとして提供します。パスワードは、特定のシステム、機器、アカウントにアクセスするために、ユーザー名や他の識別子と組み合わせて使用されることがよくあります。しかし、パスワードは忘れたり、紛失したり、盗まれたりする可能性があります。実際、データ漏洩やランサムウェア攻撃の圧倒的多数は、パスワードの漏洩に起因しています。

しかし、生体認証は盗むことが不可能ではありません。そのため、生体認証は単独で使用されることはほとんどなく、他の認証方法（特にパスワードや暗証番号）と組み合わせて、MFA 設定の一部として使用されます。例えば、スマートフォンでは、指紋などの生体情報を使用してロックを解除する前に、パスワードや PIN の入力が必要になる場合があります。

生体認証はハッキングされる？

残念なことに答えは「はい」です。生体認証は、一般的に従来のパスワードベースの認証よりも安全であると考えられていますが、漏洩を免れるものではありません。生体認証システムは、以下のようないくつかのタイプの攻撃に対して脆弱となっています：

スプーフィングまたはプレゼンテーション攻撃：これは攻撃者が、システムを騙して本物として認識させるほど本物のサンプルと十分に似ている偽の生体サンプル（顔画像や指紋など）を作成するものです。精度が高まり続けている「ディープフェイク」は、生体認証にとって非常に深刻な脅威となっています。

リプレイ攻撃：例えば、生体画像や音声が送信されるのを傍受したり、指紋を採取したり、顔を高解像度で撮影したりすることで、攻撃者が過去に採取した生体サンプルを取り込んで再現することです。

データ漏洩： 生体認証はデータベースに保存されています。データベースというのは漏洩する可能性があります。

物理的な攻撃：カメラを顔に当てたり、指紋スキャナーに触れさせたりするなど、物理的に生体サンプルを提供させることがあります。

これらのリスクを軽減するために、生体認証システムは、生体認証データの暗号化やハッシュ化、写真ではなく生きた人間からのサンプルであることを確認する「生体検知」など、複数のセキュリティ対策で設計する必要があります。加えて、生体認証を単独で認証メソッドとして使用するべきではありません。