# 生体認証 ## 定義 生体認証(biometrics)とは、個体の解剖学的・生理学的特徴(手の形、指紋、虹彩の模様)、深く身についた技能や行動(手書き署名、キー入力のリズム)、あるいはその組み合わせ(声)を測定することで人物を識別する仕組みを指す。伝統的な手法(手書き署名・顔・指紋)は前近代から使われてきたが、21世紀に入り、国家規模の身元確認プログラム(インドのAadhaarなど)、ニューラルネットワークによる顔認識の劇的な精度向上、スマートフォンへの指紋読み取り機の普及という3つの変化により市場が急拡大した(1998年の5000万ドルから2019年には330億ドル規模へ)。生体認証システムは大きく2つの目的で使われる。一つは特定の身元claimの真偽を検証する認証(1対1照合)で、もう一つは大規模なブラックリスト・データベースと照合して人物を識別する識別(1対多照合)であり、両者は要求される精度・コストの水準が根本的に異なる(識別ははるかに難しい)。あらゆる生体認証システムは、閾値の調整により誤受理率(詐欺率、type 1 error)と誤拒否率(侮辱率、type 2 error)がトレードオフの関係にある点で、他の閾値式検知機構(警報装置・レーダー)と構造的に同型である。また、テンプレートが分類しにくい被験者(goats)、特に偽装されやすい被験者(lambs)、他人になりすますのが得意な被験者(wolves)という非均一な母集団特性を持ち、無人運用より、警備員の判断と機械の判断が補完し合う有人運用のほうが頑健になりやすい。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 17 Biometrics]] ch.17 §17.1, §17.2, §17.8) ## 横断的知見 - (現時点では本concept は単一ソース(*Security Engineering* 3e 第17章)のみから育て始めた段階であり、複数ソースの突き合わせによる横断的知見はまだない。第13章・第16章の物理警報・封印検査との構造的類似は [[誤報率と検知率のトレードオフ]] 側にすでに蓄積されているため、本concept はそちらを参照し、今後生体認証を扱う別ソースが加われば本節を育てる。) ## 未解決の問い - 生体認証システムの「テンプレートは個人情報でない」という業界の主張は、Andy Adlerのhill-climbing攻撃(照合スコアのみから元画像を復元する攻撃)によって反証されたと本章は述べるが、この攻撃手法がGDPR等その後のプライバシー法制の解釈にどう影響したかは本章の範囲外であり、他ソースでの裏付けが必要。 - 顔認証・虹彩認証・指紋認証それぞれの誤受理率・誤拒否率の定量的な比較データ(NPL 2001年試験など)は本章に断片的に示されるが、技術更新後(2019年以降)の最新の横断比較は本章の記述以降(2020年出版)にとどまるため、より新しいベンチマーク結果の追跡が必要。 - 生体認証の「強制(compulsion)」耐性(拘束下での指紋・顔の強制利用)について、法的・技術的な対抗策(意思確認を要求する設計など)が他の応用分野でどう議論されているかは本章では扱われていない。 - goats/lambs/wolvesという非均一な母集団特性の枠組みは、生体認証以外の閾値式検知(例: 不正検知モデルの機械学習における外れ値ユーザー)にも一般化できるか。 ## 関連 - 概念: [[誤報率と検知率のトレードオフ]](ROCトレードオフの一般形と、物理警報・封印検査分野での定量的知見) / [[パスキー認証]](所有物・知識ベース認証との対比、デバイス側生体認証によるハードウェア紐付け実装) - 実体: [[Aadhaar]](最大規模の生体認証展開事例) - source: [[@2020__Wiley__Security Engineering 3e - Chapter 17 Biometrics]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 17.