MWC 2017に見る生体認証技術

これまでKaspersky Daily（当ブログ）では、指紋センサーをはじめ、安全性に不安が残る生体認証技術についてたびたび取り上げてきました。もちろん、当社に限った話ではないのですが（英語記事）。

その甲斐も少しはあったかもしれません。先日バルセロナで開催されたMobile World Congress（MWC）2017では、多数のスマートセンサー開発企業が、想像以上に安全なデバイスを展示していました。

指紋センサーの進化

IDEX（LGなどの企業向けに指紋センサーを出荷しているノルウェーの会社）によると、パートナーであるスマートフォン開発企業の大半が、安全な環境でしか指紋センサーデータへアクセスできないようにしています。

MWCで指紋センサーのメーカー数社と話をしたところ、どの企業も完全に保護された仕組みを使ってデータを処理していました。どうやるかというと、最初に指紋センサーからの「生」データを暗号化し、続いて特徴のある隆線を見つけて、同じように暗号化してから、安全な保管場所に送信します。すべての処理はTrusted Execution Environment（TEE）、つまり外部プロセスがアクセスできない隔離空間で行われます。

とはいえ、この保護メカニズムを使用するかどうかをデバイスメーカー任せにしているセンサーメーカーも何社かありました。いずれにしろ、データがセンサーからプロセッサに到達するまで確実に暗号化されるのはいいことです。これまで、指紋読み取りテクノロジーの主な脆弱性はここにあったので。

CrucialTecというセンサーメーカーは、生体認証技術をさらにパワーアップし、指紋スキャナーに心拍センサーを追加しました。これは保護対策の1つで、3Dプリンターで作成された指のコピーや石こう製の指だけでなく、本人から切り落とされた本物の指ですら使い物になりません。普通のプリンターでコピーした指の隆線でも、結果は同じです。

このシステムは隆線をチェックして類似度を確認しますが、適切な心拍を検出するまでスマートフォンのロックを解除しません。これは指紋認証のセキュリティの点で大きな進歩です。ただ、有能な犯罪者なら、この保護対策をかいくぐる方法を見つけようとするに違いありません。たとえば、コピーした指の隆線を別人の本物の指に巻き、スキャナーに押しつけるとか。それでも、以前よりは難しくなるでしょう。

ある中国の会社は、ちょっと変わった実装例を発表していました。スマートフォンのディスプレイのガラス面に直接、指紋スキャナーを内蔵したのです。ただし、少々気になる点がありました。まず、1つしかないサンプルデバイスは中国にあり、展示されていませんでした。また、利用者はスマートフォンを起動するのにディスプレイをタップする必要があるのですが、センサーがどこにあるのかはっきり見えません。開発側も、利用者がセンサーの場所をちゃんと把握できるかどうか不明なようでした。昨年、似たようなアイデアをIDEXが発表していましたが（英語記事）、コンセプトの範囲を超えるには至っていないようです。

ところで、開発者によると、指紋センサーはデバイスを選ばず、ドアのロックや自動車のキーにも内蔵可能です。銀行カードに組み込むことができ、弾力性があって極薄のセンサーを紹介している企業もありました。

このテクノロジーの実装方法はさまざまです。たとえば、IDEXは追加電源が必要ない方法を紹介していますし、CrucialTecはバッテリーと単純なディスプレイをカードに内蔵し、認証に成功したかどうかが表示されるようにしていました。指紋センサーは使いやすい上に偽造は難しいので、暗証番号に替わるものとして将来有望です。暗証番号だと、入力するとき簡単にのぞき見されてしまいます。

もう少し生体認証の話を

2年前、Qualcommは安全性に優れた高速超音波指紋スキャナー、SenseIDを発表しました。同社は今年、虹彩をスキャンする新たな認証方法を発表しました。虹彩は人によって異なるので、かなり信頼性の高い認証方法です。

Qualcommのシステムはまだ新しく、現時点ではプロトタイプにしか組み込まれていませんが、驚くほど素早く正確に動作していました。このテクノロジーがスマートフォン市場に登場したのがどうしてこんなに遅かったのか、ですか？理由は簡単です。これまでのカメラは処理が遅すぎ、画像プロセッサは処理能力が足りなかったからです。

また、Qualcommの虹彩認識システムは、偽物の虹彩と本物の目を区別できます。Qualcommのブースにはびっくりするほどリアルな3Dコピーの顔がありましたが、Qualcommのソフトウェアはコピーと本物を間違えませんでした。私の理解する限りでは、わずかな目の動きを常に見逃さないようにしているようです。

注目に値するのは、大きくて色の濃いサングラスをかけていても虹彩が認識されることです。残念ながら、どうやってこの機能を実現しているのか、Qualcommは説明してくれませんでした。いずれにしろ、虹彩認識は顔認識などよりもはるかに安全です。

とはいえ、虹彩認識システムも、他の生体認証テクノロジーと同じ問題を抱えています。犯罪者が生体認証データを盗み、利用する方法を発見したら（生体認証機能付きのATMが普及したら、犯罪者は意地でも挑戦するはずです）、八方ふさがりの状況になります。暗証番号やパスワードは一瞬で変更できますが、持って生まれた顔や虹彩、指紋を変えることはできません。

MWC 2017で見つけた面白いコンセプト

今年のバルセロナでは、情報セキュリティ関連の興味深い革新的なテクノロジーが数多く展示されていました。たとえばQualcommは、デバイス上で機械学習するテクノロジーを発表しました。これは、Snapdragonモバイルプロセッサが、ニューラルネットワークをトレーニング可能なほど強力になったことを意味します。Qualcommは昨年、この方向に踏み出す第一歩として、画像から対象物を認識するソリューションを発表しました。このテクノロジーは今や、さまざまな一般向けフレームワークに対応した汎用エンジンに進化し、開発者に提供されています。

これは一歩先を行くテクノロジーです。デバイス側で機械学習するようになると、クラウドにデータを送る必要がなくなりますし、これまでプライバシーなど望めなかった分野にプライバシーの概念を取り入れることができるようになります。一般的に、機械学習はクラウドテクノロジーを必要としますが、言い換えればこれは個人データを差し出すことでもあるからです。ただし、このテクノロジーは今のところ単なるエンジンであり、一般の人がすぐに使えるソリューションではありません。

いや、すでにデバイス上の機械学習を採用しているテクノロジーが1つありました。（お察しのとおり）開発元はQualcomm、App Protectというテクノロジーです。これを使うことで、悪意あるアプリをハードウェアレベルとソフトウェアレベルで検知するヒューリスティックアルゴリズムを、実装できるようになります。Qualcommでは、利用者の所在地や連絡先情報を密かに集めるアプリや、利用者に知らせずSMSの送信や傍受を行うようなアプリを、悪意あるものとみなしています。App Protectはこのようなアプリを検知し、重要データへのアクセスをブロックします。ただし、そのまま使えるソリューションなのではなく、セキュリティアプリに組み込む必要があります。余談ですが、カスペルスキー インターネット セキュリティ for Androidはソフトウェアレベルで悪意あるアプリを効率的に検知します。

MWC 2017では、これまでになくセキュリティに重点が置かれていました。ほぼすべてのブースで「安全な」という言葉を見かけました。本当に安全になったとは言えないにしても、以前よりも開発者が保護に力を入れ始めていることがわかります。

生体認証だけについて言えば、このテクノロジーが持つさまざまな欠点はいずれ解決されるかもしれません。しかし、完璧に安全になることはないでしょう。100%の安全など存在しませんから。しかし、こうして見てきたように、生体認証は正しい方向に進んでいます。これは本当に喜ばしいことです。