908
回編集
差分
ナビゲーションに移動
検索に移動
625行目:
625行目: + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + +
→概略
今日はありがとうございます。
今日はありがとうございます。
</blockquote>
</blockquote>
===近年の個人認証の傾向===
○東京大学(山口特任准教授) 東京大学の山口でございます。
「近年の個人認証の傾向」ということで、私からお話をさせていただきます。 そもそも、個人認証は何だっけと考えてみますと、実は登録した人とインターネットで端末を通じて連絡をしてくる人が同一人物であろうかということを確認する手段を言いま す。
ですので、当たり前の話ですけれども、登録の時点で本人が違っていた場合は、ずっと 継続がされることになりますし、ここが何らかのはずみで利用のときに違う人にすり替わ ってしまったらそれを見出すための努力をすることになります。
個人認証の3要素というのは、古くから3要素と呼ばれている手法がございまして、そ れは知識、所持、身体的特徴という要素がありました。IDとかパスワードと言われている 世界とか、マイナンバーカードに代表されるようなICカード、顔認証とか指紋認証で出て くるような身体的特徴を見出したようなバイオメトリクスの認証手法がございますが、最 近は行動を活用した認証が広く利用されるようになってきました。これは後から御説明し ますが、皆さん既に御経験があることかと思います。
ただ、行動の場合は、人間の行動は全く一貫性を持って同じ行動を取ることはほぼなく て、私たちの言葉では揺らぎと呼んでいますけれども、行動には揺らぎがあるのでその揺 らぎをどう是正するかということで、ある程度、認証のスコアを下げてあげて、その代わ り複数の要素で多要素認証をするのが割と一般的になってきています。
法律的には、識別符号と書かれていると最近勉強しました。まだ私も勉強不足なので、 今日もし議論があったら教えていただきたいぐらいなのですけれども、一般的に2つに認 証は分かれると整理ができるかと思っています。
例えば記憶とか所持の絶対的な情報は左側に当たるようなところにありまして、計算量 とか情報量によって表現されていて、ムーアの法則と呼ばれているCPUの進化とスピード というのが大体計算量によって表現されているものがありますけれども、それによって安 全なビット数を決めて、例えばパスワードは10文字以上入れましょうとか記号を入れまし ょうとかいろいろありますけれども、その長さもムーアの法則に沿って出てきた計算量で 表現されています。
また、ICカード、マイナンバーカードもそうですしクレジットカードとか一番身近で使 われていると思いますけれども、そこに内蔵されている暗号の種類であるとか、チップの 安全性もこういった絶対的な指標よって表現をされています。
ただ、計算量で評価をされる場合は人間のパスワードの漏えいとか、人のミスみたいな ことがセキュリティーのモデルの外として整理をして安定性を評価しています。数学的に 表現できないことを外に出すことで100%安全ですというものをつくっています。
一方、最近はやってきている生体認証とか行動の情報というのは実験的とか、統計的に 他者と区別がついたことによって評価されます。
典型例が生体認証、指紋認証は指紋がほかの人と絶対に一致しませんと皆様思い込んで いると思いますけれども、それは誰かが示してくれたわけではなくて、実験的、経験的に 一致する人がたまたまいなかったから、生体情報は一人一つしか持っていないのですとい うことを示しています。
ですからもしかして、バースデーパラドックスとか言われますけれども、たまたま全く 同じような指紋を持つ人が世の中にいるのかもしれない。けれども、世界中の人の全部の 指紋をつくったデータベースは存在しないので、多分大丈夫でしょうということでやって います。
行動データは、最近IPアドレスとか位置情報とかそういったもので区別する情報でやっ てきていまして、それを多要素でやることが多いですけれども、これも経験的に安全性を 表現しています。
ですので、逆に言うと生体情報も行動データも100%になることはありません。
行動データを活用したと昨今言われていますけれども、例えばこんなメールを皆様お受 け取りになったことはありませんか。このアクティビティに心当たりがありますかとかと いうメールが来たり最近はいろいろなサービスでやるようになってきました。
これはリスクベース認証と、とある会社が名づけていましてそう言われることが増えて きています。端末のOSの種類であるとか、例えば機種変したときのスマホの情報、ブラウ ザのIPなどからも位置情報の情報からふだんのアクセスと違うかで判断しています。最近 は減ってきましたけれども、海外出張に行くとあなたは本物ですかと聞かれることが多い ですよね。そういったことになります。
あと最近は、周辺のWi-Fiの情報とかBluetoothの情報を活用してやるような認証も出て きていますし、研究としても最近はセキュリティーのトップカンファレンスでも行動デー タを活用した認証の研究が盛んに行われるようになってきました。実用化が先だったかな という印象でもあります。
今日は、この中でも私たちがやっている実験の具体的な例をお見せします。 先ほど申しました行動の電波の情報を活用した事例についてお話させていただきます。 では、再生させていただきます。
(動画再生開始)
○東京大学(山口特任准教授) これは、行動認証によって本人が認証されていた場合は、本人が近づくとドアが自動的に開いて物を買えるという一つのデモンストレーションです。 このように周りの電波情報を利用して、本人が本人と確認されたときのみ物を買って、 これは実験的にお見せしていますけれども、実は一つ一つの商品にICチップが乗っていま してそのチップによって決済をして、実際のクレジットカードで決済をするようなデモン ストレーションもしておりまして、これは本当に普通にクレジットカードで決済をしてお金を引き落とすところまでつくり込んでいます。 ここは今、マルと出しているのでドアが開きましたけれども、本人と認められないような行動パターンを取った場合は、今日はデモンストレーション的に簡単な一番短いものを お見せしているのですけれども、バツと上に出てきてパスワードを入力してくださいと出 るようになっていて、そこが多要素認証なのですけれども、パスワードでもログインして 本人が買物できたりすることがあります。
(動画再生終了)
○東京大学(山口特任准教授) リスクのことを考えてしまうと、いろいろ切りがないの で、あんまりくどくど言っても仕方がないという気分になったりするのですけれども、もちろん登録の時点とか生体認証の登録が不完全な場合はリスクが生じることもありますし、 IDとパスワードの問題だけ言いますと、やはりユーザーはたくさんのパスワードは覚えら れないからほかのところでも同じパスワードを使っていてそこが漏えいしてみたいな、パ スワードリスト攻撃と呼ばれている攻撃、偽造の生体情報がつくられたり、単純に言うと カードを落としてしまったときにほかの人がカードをつくったりとかカードのコピーがあ ったり、いろいろな問題が起きてきます。
安全性評価の場合は、リスクをうちに含めるか外とするかによって表現をしているわけ ですけれども、経験的に言うと絶対100%にはならないので、どの辺りで妥協するかという 議論になります。
個人認証の問題は決して新しい問題ではなくて、私が学生のときの20年以上前からIDと パスワードは問題だといろいろな人が言っていますけれども、利用は全く減っていません。 ICカードなどはセキュリティー上安全だと言われていますけれども、利便性の観点から利 用が進んでいない現状もあります。
一方で、例えばクレジットカードの事例を皆様思い出してみてください。クレジットカ ードはお店で決済をするとき、例えばコンビニでやるときはPINを聞かれないですけれど も、大きなレストランに行くとPINを聞かれたりとかサインになったりということを表現 しています。
これは、そこの店舗で買物をされる平均の金額というものが計算されていて、安全性を お金で表現をしていて、便利なほうを取っているのですね。例えば限度額が高いゴールド カードというのはチップが高額なのです。有効期限も3年ぐらいで短くなっていてころこ ろカードが来るようにできています。
一方で、デパートで使うようなデパートカードというのは限度額が10万円だったりする ような安いカードがありますけれども、その場合は、有効期限は実は10年ぐらいになって いるのです。
ここら辺が費用対効果の観点から、どういった辺りで安全性を重視するか。ゴールドカ ードとかプラチナカードとかクレジットカードの高いカードは、一度の買物で車が買えた りするほど高い物が買えたりしますので、その辺りがどの辺りに攻めてくるかというのが クレジットカードはすごくよくできていて、こういった考え方をふだんの事例にどういう ふうに進めていくかというのが難しいところかと思います。
経験的なリスク評価をする時代になったのかとも思っていまして、現実的な手法を取る ことがどんどん増えていくかと思っています。
一方で、行政のIDとパスワードの問題は、無謬性と言われている行政はミスしてはなら ないみたいな昔から言われている流れと、現実的にクレジットカードのようにお金で払ってしまえばいいという解と、どの辺りでプラスにするかマイナスにするかみたいなところ を取っていくのかがとても難しいなと最近は感じています。
私からは以上でございます。
{{:特別:リンク元/成長戦略ワーキング・グループ}}
{{:特別:リンク元/成長戦略ワーキング・グループ}}