生体認証：FinTechにおける資産保全
2016年8月23日
日本電気株式会社

ディジタル空間における資産/サービスの多様化とセキュリティ技術

リスク管理

安全性
利便性
網羅性

セキュリティ技術（本人認証技術（生体認証）・ブロックチェーン…）
http://insights.venturescanner.com/venture-scanner-sector-maps/

3© NEC Corporation 2016

あなたが誰であるかをどう知るのか▌従来型本人認証手段の限界
ID×パスワードの盗難・流通
米国Yahoo!

“米Yahoo!ユーザー2億人のログイン情報、闇市場で流通か”
ITmedia エンタープライズ: 2016年8月3日

2016年8月、約2億人分のログイン情報（IDとパスワード）が流通

本人証明書の限界
9.11アメリカ同時多発テロ
19人のハイジャック犯は正規の運転免許証を、全員で合わせて計63通取得

シリア パスポート「シリアのブランクパスポート・パスポートプリンタがテロ組織の手に落ちている」と米国土安全保障省が2015年に報告
http://headlines.yahoo.co.jp/hl?a=20160803-00000036-zdn_ep-sci

4© NEC Corporation 2016

生体認証の活用
指紋をはじめとする生体認証は古くから実用化されるも、一般ユーザー向けにはまだ十分普及していない生体認証（指紋）の主な歴史•

1800年代から指紋認証の利活用検討が進む。

•1982年、世界で初めて、日本警察庁が指紋認証システム（AFIS）を導入。

•

1984年、米国で初めて、サンフランシスコ警察が指紋認証を導入。

•

2000年代に入りモバイルに指紋認証が搭載されるものの、普及せず。

•

2013年、iPhoneに指紋認証センサー「Touch ID」が搭載され、指紋認証の普及の兆しが見られるようになった。

5© NEC Corporation 2016

NECの生体認証への取組み
NECは40年以上に亘り、生体認証の研究開発及びビジネスを実施

2013:米国政府主催の精度評価テストで首位獲得
1990年代後半
世界各地に展開

1990年代前半
全米各州にAFIS展開

2008 指ハイブリッド
認証技術開発2000年代後半
世界各地に展開2013:米国政府主催の精度評価テストで首位獲得

1984
サンフランシスコ警察
1982 警察庁(日本)1971
指紋認証研究開始指紋、顔、静脈、虹彩など様々なバイオメトリクスを融合した認証

2003 NeoFace海外出荷開始
1999
顔認証システム出荷開始

1996
3D顔認証研究開始

1989
2D顔認証照合研究開始※NECでは、顔認証・指紋認証・指ハイブリッド認証以外にも、DNA・話者・掌紋、虹彩など様々な生体認証技術の研究開発に取り組んでおります6© NEC Corporation 2016

日本 出入国審査システム

バイオメトリクスを利用する水際での審査システム（法務省）
J-BIS (Japan BiometricIdentification System) 指紋認証及び顔認証自動化ゲートバイオメトリック情報取得装置
 指紋認証据置型
7簡易型© NEC Corporation 2016

可搬型

自動化ゲート事例：テイパース様

チケット本人確認システム

コンサートのチケット転売防止と円滑な入場を実現！
ファンクラブ会員ページで事前登録した顔画像とイベント当日に会場設置のタブレット端末で撮影した来場者顔画像の照合にて、本人を確認。
顔写真付き身分証明書を用いた目視での本人確認方法と比較し、確認時間を最大30％短縮し、来場者の円滑な入場を実現。
ももいろクローバーＺのコンサートでの運用実績など、数万人～十万人規模のイベントにも対応※ NECプレスリリース
8© NEC Corporation 2016

http://jpn.nec.com/press/201412/20141205_01.html

インドUID：世界最大の国民IDシステム
ユーザ Unique Identification Authority ofIndia (UIDAI)
目的 二重申請者の検出システム規模:データベース :12億人以上（人類の1/6）
システム負荷 :100万人/日

主な特徴・トピックス
マルチモーダルIDシステム：指紋・虹彩・顔高精度と高スループットを両立
二重申請者検出12億 x 12億= 7.2 x 10^17回照合<-> 一年間は3.2 x 10^10ミリ秒
9© NEC Corporation 2016

生体認証の課題 ～偽造～
日々進化する攻撃 生体認証による取引は必ずしも安全とは限らない“指紋「なりすまし」に注意、iPhoneも解除可能？”
The Wall Street Journal: 2016年2月25日

http://jp.wsj.com/articles/SB10272610103318793334204581561782183509602

生体認証に対する不安感を払拭する為にリスク見える化が必要
10© NEC Corporation 2016

生体認証に関するリスクと対策システムへのハッキングによる攻撃

物理的ななりすましによる攻撃対応

対応

システムのセキュリティ強化

HWセンサーのセキュリティ強化

 特徴点抽出SWのセキュリティ強化

 一度ハッキングされるとセンサーの交換等、

 特徴点照合SWのセキュリティ強化

重いコスト負担 プロプライエタリシステムとする事

 特徴点の秘匿分散保持、及び秘匿計算技術によるアプリケーションレベルでのセキュリティ強化が有効
11© NEC Corporation 2016

 複数の認証手段を組み合せた認証時のセキュリティ強化（多要素認証）が有効

手ぶら認証～多要素認証▌対面での認証場面：手ぶら認証▌非対面での認証場面：多彩な機能をもつスマートフォンを活用した認証
 （例）虹彩認証×キャリアSIM×行動特徴等

スマートフォン機能の一覧（例）

ＮＥＣの立場：リスクを定量評価・管理してビジネスを行うことが重要
12© NEC Corporation 2016

リスクのフレーム化の要素間の関連性（NIST SP800-30）→ 本人認証についてベイズ的アプローチにより研究開発中
https://www.ipa.go.jp/files/000025325.pdfより引用
13© NEC Corporation 2016

リスクモデル例（NIST SP800-30）

→

脅認
威証
事要象素に毎多差に要異ア
素がド認あバ証るー
導 ザ入 リ
メ のリ 能ッ 力
ト やhttps://www.ipa.go.jp/files/000025325.pdfより引用
14© NEC Corporation 2016

リスクマネジメントへ向けての指標定義
日々進化する技術や攻撃に対し、リスクレベルを定量化・日々の観測値によりアップデート、脆弱性発覚時のインパクトを事前シミュレーションすることで、対策を事前検討しておく事が重要
ARPT：Average Revenue per Transaction→ 本人認証に関わる指標として次を定義
・ADPT：Average Damage per Transaction
・α%ULDPT：α% Upper Limit of Damage per Transaction
・AUPT：Average Usability per Transaction
・α%LLDPT：α% Lower Limit of Usability per Transaction:（例）99％片側信頼係数で10営業日に亘る最大損失の評価を可能に
15© NEC Corporation 2016

（近い）来るべき未来へ向けての取り組み▌生体認証「安全性」の向上▌リスクマネージメントの確立が鍵対面とそのかかわり度合・非対面などの場面に応じたリスク評価と適切な手段の選択を可能に

事業継続を担保するため
 脅威、対策の評価基準の明確化
 認証方法の適応的選択

 シミュレーションによる事前検討、AI技術等による異常検知

16© NEC Corporation 2016