パスワードレス認証バンキング: 生体認証と生体検知を徹底研究

Samuel Bakken, 2020年1月28日

私はパスワードが嫌いです。下手に複数の文字や記号、数字の組み合わせをいじくることなくオンラインやモバイルのサービスにアクセスしたいものです。パスワードは予測可能で、盗まれたり、解読されたりするため、現在使用できる他の認証オプションより不便で高いリスクがあります。その理由から、より強固で安全性の高い認証要素として生体認証の進歩に目を見張っています。

2019年10月のガートナーレポート『Technology Insight for Biometric Authentication(生体認証に関するテクノロジーインサイト)』では、生体認証は一般的に「パスワードレス認証を実現し、そのためUX/CX(ユーザーエクスペリエンス/カスタマーエクスペリエンス)を向上させ、信用と信頼度を高める可能性がある」と断言しています。私には勝者になった気分で、しかも顧客競争の激しい金融サービス組織には大きな改善になるようです。

ガートナーレポートはモバイルバンキングを生体認証の「キラーアプリ」と呼んでいます(つまり、モバイルバンキング使用事例では必須となる日が近い)。金融機関にとって、もっと信用と説明責任を高め、カスタマーエクスペリエンスを向上させるために、今が生体認証をモバイルバンキングの使用事例に適用させる時だと信じています。これは金融機関の事業利益を向上させるための鍵となるコンポーネントです。

コマースとバンキング向けの生体認証に消費者は備えているか?

例えば、アメリカにて1000名の消費者を対象に行われた最近のVisa社のアンケートでは、はい、と回答されています。回答者の多くはパスワードによる認証より生体認証を好んでいました。

  • 回答者は、パスワードより生体認証の法が簡単(70%)で速い(61%)と回答
  • 52%が、将来的に現在利用している銀行が生体認証を取り入れない場合、銀行を変更するだろうと主張
  • 回答者の間で生体認証のメリットとしてよく挙がるメリット
    • 複数のパスワード/PINを覚えなくても良い(50%)
    • パスワード/PINよりセキュリティが高い(46%)
    • 認証方法を忘れる/なくすことがない(33%)

カスタマーエクスペリエンスの品質の測定においては、トランザクション離脱率が重要な尺度になります。Visa社の調査の回答者の50%が、パスワードを覚えられなくてオンライン購入をあきらめたと報告しています。 

「生体認証のCXへの利点は、過去数年でモバイルバンキングアプリケーションの改善を促進しています。」とガートナーレポートで述べられています。生体認証ソリューションが検証され、金融機関はデバイス固有の生体認証方法とサードパーティの生体認証方法の違いを留意する必要があります。SDKをモバイルアプリに実装して構成される(OneSpanの提供するものなど)サードパーティの生体認証方法のメリットは、銀行がどちらかと言えば顧客寄りでサービス提供できる点です。モバイルユーザー全員がデバイス固有のハードウェアやソフトウェアの生体認証を備えたデバイスを所持しているわけではありません。しかし、ほぼ全種類のモバイルデバイスにカメラが内蔵されており、生体認証用にユーザーの顔をキャプチャするために使用できます。

生体認証は他の認証方法より信頼できるか?

私はできると主張します。生体認証は実際、他の認証方法より安全性が確保されています。信頼できる生体認証システムとしての鍵は、実在の人物の生体特徴のなりすましを検出、または防止する能力です。指紋、「顔紋」、あるいは何らかの生体形式を選んでも、パスワードやトークンの別形態ではありません。

別の分析がなければ、パスワードを提供している人物が誰であるかわかる方法は実際にありません。パスワードが入力されて、それがバックエンド処理のパスワードと一致しているということだけはわかります。逆に、有効な生体検知となりすまし防止の軽減を搭載した信頼できる生体認証システムは、検証用に生体サンプルを提供する物/人を確証する別の信用度の指標を設けています。指紋、顔、または [ここにご自分で生体認証形式をあてはめてください] は、ライブで生身のユーザーに繋がっているからです。

生体認証の誤解を解く

ガートナーによると、「生体認証は生体特徴の秘密に依存できなければ、することもありません。しかしそうではなく、キャプチャするデバイス(「センサー」)にその特徴を示す生身の人間になりすますことは困難であるということに依存しています。この後者の点は広く知られておらず、時によくある誤解を招き、コンシューマーデバイスの限られたプレゼンテーション攻撃検知(PAD)や、Apple Touch ID、Samsungスワイプセンサー、Android顔認識などへの攻撃が成功したという評判により強調されています。」

「傷でも負わない限りは、指紋や顔は変えられない。」という批評を聴いたことがあるかもしれません。それは本当です。パスワードのように生体の特徴を変えることはできません。しかし、サイバー犯罪は生体データを盗み、生体キャプチャの時点で対応する認証チャレンジをうまく通り抜けるという見解は間違っています。

1. 文字通り、誰かの実際の顔/指紋/その他を盗難できます。1 – ホラームービーは別にして、実際にサイバー犯罪は通常、誰かの体から顔や指紋を切除(つまり盗む)しようとはしません。設計が優れている生体認証システムは、実際にユーザーの顔や指紋を「保存」しません。その代わり、システムに登録された生体サンプルの数学的な記号を保存します(テンプレートと呼ばれます)。数学的表現それだけではキャプチャの時点では役に立ちません(下の画像の1番のハイライト部分を参照)。

ISO/IEC 30107-1:2016(E) より
ISO/IEC 30107-1:2016(E) より
 

2. 生体特徴の実際の提示が要 – ガートナーレポートでは、「堅牢な指紋認証方式では、攻撃者が人の指紋の正確な複写を提示できても問題にならないはずです。人の実際の指(生きている体に付属しているもの)以外は何であっても動作するはずがない。」と議論しています。プレゼンテーション攻撃は、正当なユーザーの保存されている参照に似ている生体特徴(「なりすまし」)の複製(例: 3D印刷モデル、お面、画像、動画など)を提示する相手がいて構成されます。生体検知により、提示された生体特徴が、生きている人間のものか、デジタルか、あるいは製造された表現(あるいは、繰り返しますが、なりすまし)か識別します。プレゼンテーション攻撃検知(PAD)はなりすまし防止と生体検知のメカニズムの併用です。場合によってコンシューマーグレードのPADでは、デバイス固有の生体認証システムがサードパーティの生体認証技術に比べて不足していることがあります。ISO/IEC 30107標準案は、計測可能な生体認証ソリューションのPADの有効性に照らし合わせた方法の詳細を記しています。

当然、生体認証システムのエンドツーエンドのセキュリティは、生体データがキャプチャされるセンサーへのプレゼンテーション攻撃の時に停止しません。リプレイ攻撃は異なるリスクの例ですが、多くの場合、アプリ内保護やアプリのシールディング/RASPといったアプリケーションの整合性を保証する技術とは、このようなリスクを軽減するために役立ちます。しかし、金融機関は、生体認証ソリューションの設計、実装、展開、設定に気を配る必要はありません。

ガートナーによる『Technology Insight for Biometric Authentication(生体認証に関するテクノロジーインサイト)』をダウンロード

ユーザーエクスペリエンスの質を向上し、認証プロセスで消費者の信頼を高めたい金融機関は、将来を見据え、生体認証の実装を考慮しなければなりません。インサイトレポートでは、次のような項目を網羅して、金融機関がニーズに合う最善のソリューションを評価して選択するために備えるべき優れた枠組みを提供していると信じています。

  • 最大の価値を生む生体認証の使用事例(例: モバイルバンキングアイデンティティプルーフィング
  • プライバシー問題と消費者信用
  • 完全な生体認証プラットフォーム(プレゼンテーション攻撃やその他を含む)のセキュリティに関わるセキュリティリスクを軽減
  • デバイス固有方式とサードパーティ方式の選択方法
  • OneSpanなどの代表的なベンダーが対応する生体認証方式の種類と使用事例

生体認証技術の評価のガイドになるガートナーによるTechnology Insight for Biometric Authentication(生体認証に関するテクノロジーインサイト)をダウンロードしてご覧ください。

ガートナーは同社の研究刊行物に記されたいずれのベンダー、製品、またはサービスを推薦する意図はなく、また技術ユーザーに最高評価あるいはその他指定のベンダーのみを選択することを推奨していません。ガートナーの研究刊行物はガートナーの研究組織の意見で構成され、事実の記述として解釈されるべきものではありません。ガートナーは明示的または黙示的を問わず、商品性あるいは特定の目的への適性のいかなる保証も含み、当研究に関するいかなる保証も放棄します。

出典:
ガートナー、Technology Insight for Biometric Authentication(生体認証に関するテクノロジーインサイト)、Ant Allan、2019年10月16日

1. 確かに、銃を突きつけて電話を解除させようとするなど、強要する事件はありますが、パスワードやPINに関しても同じベクトルは存在しています。あるいは、寝ている妻の電話を指紋で解除するという例があり、有効な生体検知を含む顔認識技術となりすまし防止技術はこのリスクを軽減します。

 

サムは、OneSpanモバイルアプリのセキュリティポートフォリオを担当するシニアプロダクトマーケティングマネージャーであり、情報セキュリティの分野で10年近くの経験があります。