セキュリティはどうあるべきか
生体認証はほんとに安全？
こんなニュースを目にした。
iPhoneなんかも顔認証だしATMも静脈認証が増えた。
だけど私は生体認証ってほんとに大丈夫なのかな、と不安に思う。
単なるパスワードであればそれは単なる文字の羅列にすぎない。流出したとしてもパスワードを変更してしまえば当座の対応としては十分だろう。
生体認証なら流出しない、というのがいまひとつわからない。だって本人認証するためにはその生体情報をどこかに保持しなくちゃいけないんじゃないの？って思う。
NECのシステムは数値データとして管理しているようだ。
Q
Ｑ．指紋の情報はどのように保存されていますか？
Ａ．指紋データは特徴点とリレーション情報の数値データとしてのみ保存され、指紋の画像データは保存されません。数値化された指紋データから元の指紋を復元することはできません。また、指紋データそのものも暗号化を施した上で、保存・通信が行われます。
仮にデータが流出しても安全です、と言いたいのだろうが、やはり不安はぬぐえない。海外で家の鍵を落とすようなものだ。直接被害を受ける可能性は限りなく低いけど…みたいなもやっとした不安。
何より積極的になれないのが生体情報って変更できないんだよね。変更できないし持ち出しもできない。
突き指して包帯まいてる場合はどうなるんだろう。
年をとって顔が変わった場合はどうなるんだろう。
整形した場合は？ 証券口座なら本人が死亡してしまった場合は？
まあ結局は別途パスワードを用意しておく、みたいな感じなのか。とすれば現行のパスワードにプラスして生体認証があるから安全という理屈はなるほどわかる。
二段階認証やログイン通知をもっと普及すべきでは？
私個人の考えからすると現状一番いいのは二段階認証かなー。
Googleアカウントなど二段階認証にできるものはすべてその設定にしている。
最初は面倒かも…と思っていたが別にそうでもない。スマホであれば常時ログイン状態みたいなもんだし、PCから使う場合は特定の端末に記憶させておけば次から認証を求められることはない。
いつもと違う端末からログインした場合はログイン通知がくる。このログイン通知が肝だと思う。
極端な話その気になればたいていのシステムにはログインできる。肝心なのはいかにログインを防ぐかということではなく（それも大切だけど）、身に覚えのないログインにすぐに気づけるシステムの方がよっぽど大切だ。
最悪なのは自分が知らない間にシステムにログインされて、自分のアカウントを乗っ取られたり悪事の踏み台にされていることだ。
クレジットカードをなくしたまま生活しているのと同じくらい危険なことである。
少し余談だけど定期的なパスワード変更は効果が無い。
安全なパスワード管理｜社員・職員全般の情報セキュリティ対策｜企業・組織の対策｜国民のための情報セキュリティサイト
定期的に変更するとなると、人はどうしてもメモをとったり覚えやすいように何か規則性をもたせようとする。パスワード変更が有効なのは現在使用しているパスワードが流出したときだけだ。
だから誰かがログインしたという通知がくれば、その時点でパスワードは流出したと判断できてアカウントの一時停止やパスワード変更という対策を即座にうてるようになる。
