本人認証に最も適した生体認証

　この本人認証を実現するための条件は、ユニークかつ、本人にしか保有できないクレデンシャルであること。それを実現する唯一の方法は、バイオメトリクス、すなわち生体認証だ。生体認証のクレデンシャルともいえる生体情報は指紋、静脈、虹彩など人によってユニークな体の特徴がベースであるため、紛失や貸し借りなどが起きる心配が基本的にはない。人間を特定し認証するクレデンシャルとして、生体情報以上のものは存在しないというわけだ。ただし、照合速度、ぬれた指や手荒れといった状態変化による読み取り精度の課題などは依然としてあり、決して万能な認証技術ではないことは認識しておきたい。

　こうした理由により、生体認証はここ5年ほどで企業情報システムのアクセスセキュリティとして急速に採用が進んでいる。例えば、USBデバイスなどのスキャナを全社導入し、すべての認証に採用する企業も増えているほか、最新のノートPCでは多くのメーカーが指紋認証機能を標準装備し始めている。

生体認証にもITセキュリティに向き・不向きが

　生体認証にもさまざまな方式があり、また同じ方式でも各メーカーによって要素技術や性能もまちまちなので一概にはいえないが、企業ITシステムのアクセスセキュリティに利用される代表的な方式と大まかな比較を表1に簡単にまとめてみた。

　この表に示される通り、生体認証の場合は、生体情報を登録・認証するための専用機器が必要となるが、それによってデスクトップで認証を行う企業ITシステムのアクセスセキュリティに対する向き・不向きがはっきりする。

　まず、虹彩認証や顔認証はまだ機器が大きすぎることや1台当たりのコストが高いことなどから、全社のデスクトップに採用するにはハードルが高すぎる。また、光源環境に大きく左右されるため、設置位置の柔軟さに欠ける。一方静脈認証は、指紋認証に続いて導入が進みつつあるが、やはり機器の大きさやコストの面で指紋認証に軍配が上がる。

　指紋認証は文字通り指紋をベースとした特徴量（生体の特徴を数値／画像として抽出したもの）を利用して照合を行うが、代表的な幾つかの手法がある。指紋の紋様そのものを特徴量とする「パターンマッチング法」、指紋の文様を構成する渦状の線の切れ目などを点として抽出し、その点の集合を特徴量とする「マニューシャ法」、そして指紋表面の凹凸を波形と見なし、波形解析から特徴量を抽出する「周波数解析法」、さらには複数の手法を複合した「ハイブリッド指紋認証」などが代表的な手法となる。

　総合的に考えると、現段階では指紋認証が最もITアクセスセキュリティに適しているといえる。もちろん、今後各メーカーの研究開発が進み、各方式において、より低コストでサイズの小さな高性能機器が続々と登場するだろう。

認証方式の選定ポイント

　ここまで紹介してきたデバイス認証や生体認証について、自社に最適な認証システムを選定し採用するに当たっては、目標となるポリシーを定めた上で検討に入る。表2のようなクライアントのセキュリティ強度、ユーザビリティ、機器のコストなどフロントエンドの課題はもちろん検討の第一歩となる。

　これに加えて、表3に示すような認証システムとしての管理運用性、さらには社内システムとの統合性などを総合的に考慮する。その結果、初めてトータルコストが算出される。

　例えば、セキュリティレベルを上げ過ぎると、ユーザビリティが下がったり管理コストが上がったり運用が煩雑になったりと、採用する認証方式とポリシーのバランスによってシステムとしての成否が決まる。最近の事例を挙げると、入退室システムに採用しているICカードをそのままITアクセスセキュリティにも利用したいがセキュリティレベルが低すぎる、生体認証を採用したいがプライバシーの観点から生体情報登録を拒絶するユーザーがいるといった、「あちらを立てればこちらが立たず」な悩みが発生している。そして悩んだ結果、一般ユーザーにはICカードでの認証を、経営層や機密情報を扱うユーザーには生体認証を、という具合に複数の認証方式を採用するケースも多い。また、セキュリティ強度を最大のポイントとして重んじる企業では、ICカードと生体認証を組み合わせた多要素認証の採用を検討する機会も増えている。

USBデバイスタイプの指紋センサー（写真はディー・ディー・エスの「UBF-mini」）

非接触ICカードリーダー（写真はソニーの「FeliCaポート/パソリ RC-S320」）

アクセスセキュリティの本質はシステム統合にあり

　こうして、認証方式を検討する傍らで大きな課題となるのが、図1に示される認証を求める側の社内システムであるActive Directoryや、それを利用する基幹システムやアプリケーション群、端的にいえば認可システムとのシステム統合だ。ITシステム全体を大きく分ければ、図のように認証機能を提供する「認証システム群」と認証システムを利用する「認可システム群」で構成され、両システム群の統合が重要な鍵となる。実はアクセスセキュリティの本質はここにある。

図1●認証システムと認可システムの位置付け

　ID／パスワードがそれぞれの認可システムに標準で搭載された管理・認証システムであるのに対し、デバイス認証、生体認証などの新たな認証方式を採用するということは、新たな管理・認証システムを導入するに等しい。前述の例のように、ICカードと生体認証を採用する場合は、それぞれに管理・認証システムが必要となるわけだ。そして、ネットワーク認証、Windowsシステム（WindowsログオンやActive Directoryログオン）、アプリケーションごとのログオンなど、それぞれのACL（Access Control List）で設定されたID／パスワード運用を行ってきたさまざまなレイヤーの社内システム群に対して、認証機能を統合する必要がある。単純に複数の認証方式を導入することは認証システムの乱立を招き、さらに認可システムの種類が多ければ多いほど、その統合環境の構築は困難となってしまう。認証システム導入に当たっては、適正な選択により認証システムの乱立を防ぐことも重要だが、受け手側、すなわち認可システム側の統合も必要なのだ。

　次回は、システム全体の認証／認可統合における側面から、本人認証システムの課題とその解決方法について詳説する予定だ。