状況と身体の特徴で確認する

1普段と違う状況に追加確認

リスクベース認証は、普段と異なる端末・場所などの利用状況を評価し、リスクに応じて追加認証などを要求する方法です。一定時間操作がなければログアウトする処理や、連続失敗時のロックとは判断材料が違います。

EMV 3-Dセキュア（3Dセキュア2.0）はオンラインのカード決済で本人確認を支援する仕組みです。取引や端末などの情報を使い、必要に応じ追加認証を行います。全取引で必ず同じ確認画面が出るとは限りません。

2身体と行動の特徴を使う

生体認証（バイオメトリクス認証）は、身体的・行動的特徴を使う本人確認です。指紋、顔認証、静脈パターン認証、虹彩認証、網膜認証、声紋認証などがあります。虹彩は目の表面側の模様、網膜は眼底の特徴で、同じ部位ではありません。

筆跡・筆圧や打鍵のリズムは行動的特徴です。秘密の文字列を入力すること自体は知識認証です。CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）は人間と自動プログラムを見分ける仕組みで、特定個人を生体で確認するものではありません。

3本人を拒む誤りと他人を通す誤り

本人拒否率（FRR：False Rejection Rate）は本人を誤って拒む割合、他人受入率（FAR：False Acceptance Rate）は他人を誤って通す割合です。安全性の観点ではFARを低く、本人の利便性の観点ではFRRを低くしたいと考えます。

同じ仕組みで判定を厳しくすると一般にFARは下がりFRRは上がるため、利用場所に応じて調整します。例として本人の試行200回中4回拒否なら4÷200×100＝2％です。生体情報も盗難・偽造リスクはあり、絶対に誤らないわけではありません。

4身体と行動、本人と他人

生体認証には指紋や静脈などの身体的特徴と、筆記や打鍵の行動的特徴が含まれます。スマートフォンでも利用でき、肩越しの目視だけでパスワードと同じように容易に得られるとは限りません。ただし窃取や偽造、誤認証のリスクはゼロではありません。

安全性には他人受入率の低下、本人の利便性には本人拒否率の低下が望まれます。CAPTCHAは人間かの判別、秘密の文字やパターンは知識認証です。普段と違う状況の追加認証、無操作時のログアウト、連続失敗のロックも理由を区別します。

5生体認証は何の特徴を照合するか

生体認証は、あらかじめ登録した身体や行動の特徴と、認証時に測定した特徴を照合します。指紋認証は指先の模様、顔認証は顔の特徴、静脈パターン認証は指や手のひらなどの血管のパターンを利用します。いずれも、氏名や暗証番号を入力しただけで本人とみなす仕組みではありません。

虹彩認証は、瞳孔の周りにある虹彩の模様を利用します。網膜認証は、眼の奥にある網膜の特徴を利用するため、同じ眼を対象にしていても照合する部位が異なります。「眼を使う認証」という共通点だけで同じ方式と判断しないようにします。

声紋認証は声の特徴を利用します。決められた合言葉を知っているかを確認する認証とは異なります。同様に、キーを押す間隔などの入力の癖を使う場合は行動の特徴を照合しますが、入力したパスワードの文字列だけを照合する場合は知識による認証です。

例えば、作業現場で顔や手の状態が変わるなら、実際の利用環境で本人拒否率と他人受入率を確認し、認証できないときの代替手段も決めます。方式の名称だけで選ばず、測定する特徴、使いやすさ、必要な精度、生体情報の保護を合わせて判断しましょう。