生体認証技術
生体認証の照合で、一致にならない誤りと、他人の照合が一致になる誤りが両方起こるのはなぜか。
生体センサの測定値には雑音や提示のばらつきがあり、照合相手の参照との差に基づいて 受け入れの閾値 を設定する必要があるからである。 SP 800-63B-4 は、そのため照合が一致にならない確率（FNMR）と、他人の照合が一致になる確率（FMR）があるとしている。
閾値は通常どちらの率を低くする側に寄せて選ばれるか。それはなぜか。
FMR（他人が一致してしまう率）を低くする側 に寄せる。SP 800-63B-4 は、安全性を最大にするためであり、 一致にならない誤りは測定のやり直しや別の認証方法で軽減できることが多いからだとしている。
SP 800-63B-4 が、生体の認証への使用を限定する理由を 2 つ挙げよ。
たとえば次の 2 つである。
- FMR だけでは、能動的ななりすまし攻撃を考慮していないため、認証の十分な確からしさを与えない
- 生体の特徴は秘密ではない。顔画像は写真を撮れば、指紋は触れた物から、虹彩は高解像度カメラで取得できることがある
ほかに、生体の照合は確率的で他の要素は決定的であること、失効の手段が限られること、プライバシーの懸念も挙げている。
生体認証は生物学的・行動的な特徴で個人を自動認識する技術で、測定の雑音や提示のばらつきのため受け入れの閾値を設定する必要があり、照合が一致にならない率と他人の照合が一致になる率が生じる。NIST SP 800-63B-4 は生体を秘密とみなさず、物理的な認証器と組み合わせた多要素認証の一部としてだけ使うことを求める。
| 指標 | 出典 | 何の率か | 基準・扱い |
|---|---|---|---|
| 本人拒否率（False Rejection Rate: FRR） | シラバス、伊藤スライド | （定義の逐語は取得できていない） | 閾値を変えたときの FRR と FAR で ROC 曲線を描く |
| 他人受入率（False Acceptance Rate: FAR） | シラバス、伊藤スライド | 同上 | 同上 |
| false non-match rate（FNMR） | SP 800-63B-4 §3.2.3 / §3.2.3.1 | 照合が一致にならない確率 | 5 % 未満を示すべき（SHOULD） |
| false match rate（FMR） | SP 800-63B-4 §3.2.3 / §3.2.3.1 | 他人の照合が一致になる確率 | ゼロ努力の他人の試行の条件で 1 万分の 1 以下（SHALL） |
FRR と FNMR、FAR と FMR が同じものかは、どの出典も述べていない。表は出典ごとに分けて並べている。
シラバスが求めていること
Section titled “シラバスが求めていること”シラバスは、この細目で「利用者確認に利用される技術の一つである生体認証技術の種類，仕組み，特徴」を理解するとしている。 用語例は、身体的特徴（静脈パターン認証，虹彩認証，顔認証，網膜認証ほか）、行動的特徴（声紋認証，署名認証ほか）、 本人拒否率（FRR）、他人受入率（FAR）である。
生体認証とは
Section titled “生体認証とは”SP 800-63B-4 §3.2.3 は生体認証（biometrics）を、生物学的・行動的な特徴に基づく個人の自動認識としている。 特徴の例として、指紋、声のパターン、顔の特徴、キーストロークのパターン、スマートフォンの持ち方の角度、画面の押圧、 タイピングの速さ、マウスの動き、歩き方を挙げている。
照合の誤りと閾値
Section titled “照合の誤りと閾値”生体の照合は生体センサ（カメラや指紋リーダなど）の測定に基づく。測定には雑音と提示のばらつきがあり、 測定値と照合相手の参照との差に基づいて受け入れの閾値を設定する必要がある。
このため、照合が一致にならない確率（FNMR）と、他人の照合が一致になる確率（FMR）が生じる。 SP 800-63B-4 は、品質の高い生体システムは FMR と FNMR の両方がとても低いとしたうえで、 選ぶ閾値は通常、安全性を最大にするために FMR を低くする側を重視すると述べている。
伊藤スライド（p.11）は、1 対 1 認証の評価として、本人／他人を決める閾値を変化させたときの 本人拒否率（FRR）と他人受入率（FAR）をプロットして得られる ROC 曲線で評価するとしている。 SP 800-63B-4 は FNMR と FMR を、伊藤スライドは FRR と FAR を、それぞれ閾値と結び付けて説明している。
SP 800-63B-4 の要求
Section titled “SP 800-63B-4 の要求”§3.2.3 は、生体を認証に使う場合について次を要求している。
- 生体は、物理的な認証器（something you have）と組み合わせた多要素認証の一部としてだけ使う（SHALL）
- 認証のたびに生体の特徴を提示し、照合する（SHALL）
- 生体以外の認証手段を常に利用者に用意する（SHALL）
- 生体データは機微な個人情報として扱い、保護する（SHALL）
§3.2.3.2 は、声に基づく生体照合を使ってはならない（SHALL NOT）としている。
§3.2.3.1 は精度について、すべての人口集団で FMR を 1 万分の 1 以下で運用すること（SHALL）、その FMR をゼロ努力の他人の試行（zero-effort impostor attempt）の条件で達成すること（SHALL）、 FNMR は 5 % 未満を示すこと（SHOULD）、閾値は固定にすること（SHALL）を定めている。
この細目で書かないこと
Section titled “この細目で書かないこと”次はいずれもこのノートの根拠に含まれていない。
- 静脈パターン認証・虹彩認証・顔認証・網膜認証・声紋認証・署名認証の仕組み
- 「身体的特徴」と「行動的特徴」の関係、および SP 800-63B-4 の biological / behavioral characteristics との関係
- FRR と FNMR、FAR と FMR の関係
名前から内容を推測して書くことは spec.md §8.1a に反する。
なぜそうなっているのか
Section titled “なぜそうなっているのか”SP 800-63B-4 §3.2.3 は、生体を認証に限定的にしか使わない理由として次を挙げている。
- FMR だけでは、能動的ななりすまし攻撃を考慮していないため、認証の十分な確からしさを与えない
- 生体の照合は確率的であり、他の認証要素は決定的である
- 生体テンプレートの保護方式は、他の要素（PKI 証明書やパスワード）と同等の失効の手段を与えるが、利用できる方式は限られる
- 生体の特徴は秘密ではない。オンラインなどで同意なく取得できることが多い
- 生体の特徴の使用は、特に中央での検証のために保存される場合に、新たなプライバシーの懸念を生む
SP 800-63B-4 は、これらの理由に続けて「Therefore, the limited use of biometrics for authentication is supported with specific requirements and guidelines.」とし、 その直後に、生体を物理的な認証器（something you have）と組み合わせた多要素認証の一部としてだけ使う、という要求を置いている。
前提