セキュリティトークンを内蔵したネックレス、イヤホン、眼鏡によって、声だけで端末やサービスにログインする音声認証の脆弱性を解消できる可能性がある。
電子機器に話しかけて操作することは、人気が高まり、今や欠かせない方法になっている。モノのインターネット（IoT）の時代に、音声アシスタントは人々をモバイル端末や自宅、車につないでいる。
音声で電話をかけ、テキストメッセージを送り、メールを確認し、道順を調べ、家電を操作し、さらには銀行口座にアクセスすることもできる。例えばバークレイズ銀行は最近、コールセンターに電話した顧客の本人確認に音声を使う技術を導入した。
「システムが音声の特徴だけを使っているなら、非常に危険です」
しかし音声は「開かれた経路」であり、未熟な物まねをする者にも、高度なハッカーにも簡単に偽装されてしまう。
「音声はセキュリティ機能として使われることが増えていますが、実際には大きな弱点があります」と、ミシガン大学のコンピューターサイエンス教授であり、電気工学・コンピューターサイエンス教授でもあるKang Shinは言う。「システムが音声の特徴だけを使っているなら、非常に危険です。声の持ち主を認証するには、第2の経路が必要だと考えています」
発話による振動
Shinらが開発した解決策はVAuth（「ヴィー・オース」と発音）と呼ばれ、ネックレスやイヤホン、眼鏡に取り付ける小型デバイスの形をとるウェアラブル機器だ。
この機器は、ユーザーの身体に生じる発話による振動を継続的に検出し、その人の声と組み合わせて固有で安全な特徴情報を作り出す。
話すと振動が生じ、それは顔や喉、胸の皮膚で検出できる。このシステムは、ウェアラブル型セキュリティトークンの加速度計と電子機器のマイクから得られる信号が瞬時に一致することを利用している。セキュリティトークンを装着しているときに限り、その端末で音声認証を使える。
チームは、市販の加速度計（動きを測定する部品）とBluetooth送信機（振動信号をユーザーの端末のマイクに送る部品）を使って試作機を製作した。また、Google Now向けの照合アルゴリズムとソフトウェアも開発した。
「VAuthはこのサービスを保護する初めての本格的な試みで、音声アシスタントが他人ではなく、あなたの指示だけを聞くようにします」とShinは言う。「高度な攻撃者でさえ侵害するのが難しい、物理的なセキュリティを実現します。この保証があって初めて、音声アシスタントを個人用の安全なものとして信頼できます。特に銀行取引や家庭の安全に関わる場面では重要です」
これは、利用者一人ひとりの声を事前に学習させる必要がある従来の音声生体認証の仕組みから大きく転換するものだと、プロジェクトにミシガン大学の大学院生として参加し、現在はウィスコンシン大学の助教を務めるKassem Fawazは言う。
「さらに、VAuthは音声生体認証の重要な問題を克服します。指紋と同じように、音声の生体情報を保護し続けるのは容易ではありません。ユーザーの声を数回録音するだけで、攻撃者は一致する『声紋』を生成して本人になりすますことができます」
「ユーザーは声を簡単に変えられないため、セキュリティを取り戻す手段がほとんどありません。一方、何らかの理由でVAuthを紛失した場合は、ペアリングを解除するだけで、攻撃者が端末を使うのを防げます」
検出精度97％
チームが18人のユーザーと30種類の音声コマンドでVAuthを試験したところ、身体の装着位置やユーザーの言語、アクセント、さらには移動の有無にかかわらず、検出精度は97％、誤検知率は0.1％未満だった。また、録音音声の再生攻撃、加工音声による攻撃、なりすまし攻撃など、さまざまな実際的な攻撃も効果的に阻止した。
研究者らは、セキュリティトークンを身に着ける意思があるかを把握するため、952人を対象に調査を行った。
「70％が、私たちの開発した3種類の構成のうち1つをVAuthとして本格的に試してみたいと答え、その半数はこの技術に25ドル余分に払ってもよいと答えました」と、大学院生としてプロジェクトに携わったHuan Fengは言う。
研究者らは、論文を発表する。発表は10月19日、国際モバイルコンピューティング・ネットワーキング会議（MobiCom 2017）で行われる。資金は米国国立科学財団が提供した。研究者らは特許を出願しており、この技術を市場に投入するための事業化パートナーを探している。
