【セキュリティ魂】あなたの癖がパスワード？新セキュリティ"キーストローク生体認証"とは

　SCAN DISPATCH は、アメリカのセキュリティ業界及ハッカーコミュニティから届いたニュースを、狭く絞り込み、深く掘り下げて掲載します。

　アメリカで、話題になっている認証システムがある。TIMEマガジンがレポートしたのを始め、あちらこちらのマスコミにとりあげられている、バイオパスワード（BioPassword）がそれだ。

　Info Security Products Guideによる“Info Security Hot Companies”の一つに選ばれた他、全世界100社の技術系企業のCEOによる投票で、その年に最も社会に貢献した情報工学技術系の個人や企業を称える今年で19年目を迎えるIDGの“Computerworld Honors Program”にも選出された。また、3月にはGovernment Computer News (GCN) が、GCNの編集委員が100件以上の応募の中から、バイオパスワードを“Best Security Software”として選び、“GCN Best of FOSE Awards”を与えている。

　バイオパスワード（BioPassword.com)は、サービス利用者の認定にユーザーIDやパスワードと合わせて使用する生体認証システムのひとつだ。

　現在、IDとパスワードの組み合わせをベースとして、それ以上のセキュリティを必要とする場合、虹彩認証や指紋認証など、「ユーザーの身体」を利用する生体認証が使われる場合がある。

　しかし、これらのシステムの導入にはハードウエアのコストがかかり、たとえば銀行のウエブサイトや、会員制のサービスなど、ユーザーが多い場合は不適当だった。また、ハードウエアの紛失や偽造ユーザー問題も無視できないし、生体認証の場合、一度偽造されてしまうと、リセットをして新しい認証情報を発行することが絶対的に不可能(なぜなら本人の虹彩や指紋などを変更リセットできないから)であった。

　バイオパスワードは、ユーザーのIDとパスワードの「基本ログイン認証」と、ユーザーがIDやパスワードを入力する速度、リズム、キータッチの圧力、キーストローク、そしてユーザーが予め設定した質問と答えの「ナレッジベース認証」を組み合わせた、“ソフトウエア”の認証システムだ。

　その利点は、

1）ユーザーが今まで使っているキーボードがそのままま生体認証入力ハードウエアであり、他の生体認証システムのように特殊なハードウエアの導入が必要でないため、低コストであること

2）生体認証であることから、偽造が難しいこと

3）偽造が万が一発生した場合でも、パスワードの変更によりリセットが可能な“ソフトウエア”の生体認証であること

など、今までの認証システムの利点だけをとった優れたシステムだ。

　このシステムの文字通りキーとなるのが、キーストローク生体認証だ。ユーザーは最低12文字のパスワードを15〜20回入力して、キーストローク生体認証情報を登録する。

　キーストローク生体認証の情報は、キーを押し下げている時間（Dwellタイミング）、一つ目のキーを押した時から次のキーを押した時の時間、そして一つ目のキーから指を離した時から次のキーから指を離した時の時間（Flightタイミング）である。これらの情報をシステムが登録し、ユーザーがログインするたびに登録した情報を比べて認証を行うのである。

　問題となるのが、このシステムが他の生体認証システムと比べてどれほど有効であるかだろう。生体認証の有効性を測定するには、3つの数字が重要となる。それは、FAR(False Accept Error Rate)、FRR(False Reject Error Rate)、CER(Cross-over Error Rate , Equal Error Rate)である。

　FARは、「他人を本人として認証してしまう」比率である。FRRは、「本人を他人として認証拒否してしまう」比率だ。そして CER は、FARとFRRが同じになる設定をした場合の数値である。

バイオパスワードは、声紋認証や指紋認証と同等の3％のCERに成功している。このバイオパスワード、まだ日本代理店はもっていないが、パートナーは既に16カ国60社。顧客にもトロントに本社を持つデジタルミュージックの配信会社Musicryptを初め、金融団体（First Tech Credit Union , San Antonio City Employees Federal Credit Union )なども次々に導入している。将来が期待できる技術であろう。

■BioPassword, Inc.

■こちらもオススメ！セキュリティ関連ニュース
・サムライハッカー世界に挑戦！日本の技術は世界に通じるか？
・迫りくるハッキングの魔の手から身を守れ！
・擬似スパムで抜き打ち検査！あなたも危ない"人間"脆弱性診断
・企業のシステムに“侵入”！？　脆弱性診断エンジニアの仕事とは
・危険な"Winny"を知る！"国際セキュリティ会議"潜入レポート

【執筆：米国　笠原利香】