マイナンバー対策に、生体認証ログインを試してみた

PCにおけるマイナンバー対策って?

2015-10-14

皆様ご来訪ありがとうございます。
職人2号です。

昨今「マイナンバー対策」という言葉がニュースや新聞、雑誌などを賑わしています。
行政の効率化や国民の利便性向上を目的に国民一人ひとりに割り当てられるユニークナンバーがマイナンバーとなり、個人の税金・保険・年金情報など多くの重要な個人情報が紐付き、含まれることからこれが流出し、不正利用の対象となるのは大変なリスクになります。
情報の流出を防ぐためのセキュリティ対策が必要となり、これを「マイナンバー対策」と称している状況となります。
すでにご存知の方も多いかと思いますが、それなばら私どもの本業であるPCにおけるマイナンバー対策=情報漏えい対策はいったい何になるのか?

情報漏えい対策もアプローチの違いから様々な手法が考案されていますが、その中でも生体認証ログインによる対策はかなり注目を集めています。
生体認証とは指紋や静脈、網膜など人により異なる特徴を事前に登録してそれを鍵にする仕組みです。
スパイ映画などで特別な部屋に入ったりするときなどによく見る、あれです。

そんな注目株の生体認証ですが、実際にちゃんと認識するのか?という不安の声をよく聞きます。
そこで今回、パソコン工房お勧めの生体認証2機種について、実際にちゃんと認識するのかを実験してみる事にしました。

実験機材のご紹介

今回生体認証ログインのテストを行うにあたり、下記2製品をメーカー様のご好意でお借りすることが出来ました。

ラトックシステム株式会社 SREX-FSU2

SREX-FSU2

USB接続の指紋認証システムとなります。
添付されているドライバディスクに指紋認証ソフトウェア「OmniPass」も含まれており、登録した指紋に合わせたログインユーザーを設定したりすることが可能となっています。
1台のPCを複数の担当者で使用することも想定したログインシステムを比較的手軽に構築することが可能となっています。

富士通 PalmSecure-SL FAT13SLN01

FAT13SLN01

手のひら静脈認証システムを搭載したUSB接続のマウスとなります。
こちらは指紋認証と異なり、スキャンデバイスに対して非接触にて認証を行うことが可能となっています。
富士通が提供しているPCログオン用ソフトウェア「PalmSecure LOGONDIRECTOR」と組み合わせて使用することで静脈の登録、ログオンアカウントの設定から利用中の業務システムへの静脈認証アクセスの仕組みを組み込むことも可能となっています。

実際に試してみた!『認証10人切りベンチ!』

では実際にテストに入ります。 今回は10名の被験者に環境構築したPCへ指紋や静脈を登録してもらい、それらで実際にWindowsのログオンが行えるかをテストします。
ズバリ、『認証10人切りベンチ!』

テスト内容

今回はこの2デバイスをWindows7(Professional版)がインストールされたノートパソコンに接続、セットアップし、ログインキーとして指紋/静脈を登録した上でログイン精度を確認します。

データ登録後、指紋/静脈によるログインテストを3回実施し、ログインの成否についてカウントしていきます。
指紋認証については左右の人差し指と中指、静脈認証については左右の手のひらを登録対象とし、テストを実施します。

なお、指紋/静脈の登録を行う際はどちらのデバイスも共通して、登録したい指/手のひらをまず3回スキャンして情報を取得し、最後にチェックのためもう一度スキャンを行い、整合することを確認して登録完了となります。
キーとなる情報となりますので、スキャンスピードやスキャン位置に対するゆらぎも考慮し、複数回データを取って慎重に認証の元となるデータを生成しています。

それではテスト結果を見ていきましょう。

指紋認証テスト

まずは指紋認証テストの結果からとなります。

被験者
1
被験者
2
被験者
3
被験者
4
被験者
5
被験者
6
被験者
7
被験者
8
被験者
9
被験者
10

人差し指
1回目

人差し指
2回目

人差し指
3回目

中指
1回目
×

中指
2回目
×

中指
3回目
×

非登録指
× × × × × × × × × ×

人差し指
1回目

人差し指
2回目
×

人差し指
3回目

中指
1回目

中指
2回目
×

中指
3回目
× ×

非登録指
× × × × × × × × × ×
成功率 100% 75.0% 100% 91.7% 83.3% 100% 91.7% 100% 100% 100%×

      全被験者合計成功率:113/120=94.2%  ※今回の被験者は全員右利きです
失敗シチュエーションでの成功率:    0/20 =0%

本テストでは左右とも指紋登録を行っていない指をわざとスキャンし、ちゃんと(というのもおかしいのですが・・・)認証が失敗することも確認をしています。

被験者10名が各指3回ずつ実施して指紋認証に失敗したのは7回、成功率は94.2%となりました。
ただし、この失敗の中に、こちらの被験者が意図的に指を傾けてスキャンをしたり、スキャンスピードを早めたりして失敗したものも含まれており実際の成功率についてはもっと高いものと考えます。

また、登録を行っていない指では1度もログインをすることは出来ませんでした。これは悪意を持つ第三者が不正にログインをしようとしても不可能であることを示す結果と言えます。

テスト結果として、元々精度が高いことから差は僅かではありますが、利き腕の人差し指が一番スキャン精度を高く保てるのかなという傾向となります。
「SREX-FSU2」は手早く導入できるデバイスでありながら高い精度を持った製品と言えます。

静脈認証テスト

続いて静脈認証テストの結果となります。

被験者
1
被験者
2
被験者
3
被験者
4
被験者
5
被験者
6
被験者
7
被験者
8
被験者
9
被験者
10

手のひら
1回目

手のひら
2回目

手のひら
3回目
非登録
手のひら
(左手)
× × × × × × × × × ×

手のひら
1回目

手のひら
2回目

手のひら
3回目
非登録
手のひら
(右手)
× × × × × × × × × ×
成功率 100% 100% 100% 100% 100% 100% 100% 100% 100% 100%×

      全被験者合計成功率:60/60=100%
失敗シチュエーションでの成功率:  0/20=0%

ズバリ、認証率100%となりました!
今回もあえて登録していない側の手のひらでログオンを試してもらいましたが、いずれも失敗という結果が出ており、登録データを正確に認識・照合を行っていることがわかります。

実は静脈認証システムにて静脈を登録する際も、認証をする際もスキャンにあたってガイドが出てきます。
手のひらのスキャンを正確に行うために、近すぎたり、遠すぎたり、はたまた角度が悪かったりした場合にはその旨メッセージが表示されるようになっており、出来る限り同一条件で手のひらをスキャンできるように誘導をしています。
登録/認証がスムーズに行かない場合も、このガイドの指示に沿って手を動かすことでスキャンが成功し、何度か繰り返すことでセンサー部との距離感などもつかめてくると思います。
このあたりが認証の精度を非常に高いレベルに保つ秘訣なのかもしれません(スキャンに慣れるまで大変ではあるのですが・・・)。

手軽に素早く強固なセキュリティを確保!

実際にテストをしてみると非常に高い精度で認証が出来ており、ログイン失敗等で業務に就けない可能性、の心配をしていたのですが、杞憂に終わったと言えます。
指紋や静脈といった人により異なる生体情報をログインシステムに取り入れることでログインパスワードの流出やログインキー紛失などといった要因による不正アクセスリスクの軽減となり、パスワード忘れによるシステム管理者への問い合わせ、その処理をするシステム管理者の工数軽減にも繋がることから、業務効率への少なからず好影響が期待できます。

なお、今回テストを実施した際に気になる挙動として、どちらのデバイスでもテスト中に突然デバイス認識を見失う事象が複数回発生しました。
また、Windows Updateにてシステムを最新の状態にすると本デバイスのドライバが更新される場合があり、その際にデバイスの認識が不安定になる事象も確認しています。
本来であればシステムを最新の状態に保つことでPCとして様々な処理が最適化されたり、バグフィックスが行われたりするのですが、システム管理の観点から見ますと、更新プログラムが原因で既存の業務システムが動かなくなる、などのリスクもあり、必ずしも正解とは限りません。
この点についてはシステム管理者にて更新による影響がないことを確認した上で更新を実施するなどのルール付けなどで回避・軽減していく形が必要と思います。
また、必要以上にデバイスを接続しないよう制限をすることも有効と思います。

年明け早々からマイナンバーを利用した税制/社会保障関連の行政手続で使用が始まります。準備がお済みでない方は是非早期の導入をご検討ください。

執筆:パソコン工房 職人2号

マイナンバー制度に備えた個人情報流出対策、セキュリティ製品
マイナンバー制度に備えた個人情報流出対策、セキュリティ製品はこちら