新たな研究によると、スマートフォンやその他の電子機器の指紋認証システムは、これまで考えられていたより脆弱である可能性がある。
指紋認証システムには小型センサーが搭載されており、利用者の指紋全体を読み取るわけではない。代わりに指紋の一部をスキャンして保存する。また、多くのスマートフォンでは、認証に複数の指を登録できる。保存された部分指紋のいずれかと利用者の指紋が一致すると、本人と確認される。
新たな研究は、異なる人々の部分指紋に十分な類似点があり、「マスタープリント」を作り出せる可能性を示している。
ニューヨーク大学タンドン校のコンピューター科学・工学教授ナシール・メモン氏によると、マスタープリントの考え方は、1234のような広く使われているパスワードを使ってPIN方式のシステムを突破しようとするハッカーに似ている。「推測した場合、約4％の確率でパスワードが1234であることが分かります。これは、ただ推測しているだけだと考えれば、かなり高い確率です」
そこで研究者たちは、同程度の脆弱性を示すマスタープリントを見つけられるか調べた。その結果、人間の指紋パターンにある特定の特徴が、セキュリティ上の懸念を引き起こすほど広く共通していることが分かった。
研究者たちは、次の研究を発表したIEEE Transactions on Information Forensics & Security研究では、部分指紋8,200点を調べた。市販の指紋照合ソフトウェアを使ったところ、無作為に抽出した部分指紋800点の各サンプル群で、平均92個のマスタープリント候補が見つかった。（研究者たちは、無作為抽出したサンプル群の他の指紋の少なくとも4％と一致する指紋をマスタープリントと定義した。）
一方、指紋全体800点のサンプルから見つかったマスタープリントは1点だけだった。「驚くことではありませんが、全体の指紋より部分指紋のほうが誤って一致する可能性はずっと高く、ほとんどの機器は本人確認に部分指紋だけを使っています」とメモン氏は述べる。
研究チームは、実際の指紋画像から抽出したマスタープリントの特徴を分析し、合成部分マスタープリントを作成するアルゴリズムを開発した。
実験では、合成部分指紋は実際の部分指紋よりも照合できる範囲が広く、生体認証セキュリティシステムを欺きやすいことが示された。デジタルでシミュレーションしたマスタープリントを使い、利用者ごとに保存された部分指紋の数に応じて、認証1回あたり最大5回試行できると仮定した場合、利用者の26～65％との照合に成功したとチームは報告した。スマートフォンが利用者ごとに保存する部分指紋が多いほど、脆弱性は高まる。
この研究はシミュレーション環境で行われたが、博士研究員で共著者のアディティ・ロイ氏は、合成指紋の作成技術の向上や、機器を偽装するためにデジタルのマスタープリントを物理的な物体に転写する技術は、重大なセキュリティ上の懸念となると強調する。
マスタープリントの高い照合能力は、信頼できる指紋認証システムの設計が難しいことを示しており、多要素認証方式の必要性を改めて裏付けている。
「指紋センサーが小型化するにつれ、より多くの指紋特徴を捉えられるよう、センサーの解像度を大幅に高めることが不可欠です」と、共著者でミシガン州立大学のコンピューター科学・工学教授であるアルン・ロス氏は述べる。
「解像度が改善されなければ、利用者の指紋の識別性は必然的に損なわれます。本研究で行った実証分析は、この点を明確に裏付けています」
研究チームの結果は細部特徴に基づく照合に基づいており、各ベンダーがこの方式を採用しているかどうかは分からないとメモン氏は述べる。それでも、機器のロック解除に部分指紋が使われ、指ごとに複数の部分指紋が保存される限り、マスタープリントが見つかる確率は大幅に高まる。
