(http://itpro.nikkeibp.co.jp/article/COLUMN/20121227/447065/?ml)
をみた。
「日本では静脈認証ATMが広がったが、海外の生体認証ATMの大半は、より安価な指紋認証を採用する」とある。
Googleで生体認証を検索して上位に出てくる日本の銀行の生体認証方法は、
指静脈認証 - 三井住友銀行・みずほ銀行・スルガ銀行・ゆうちょ銀行・京都銀行・りそな銀行・京葉銀行・伊予銀行・山形銀行
手のひら静脈認証 - 大垣共立銀行・三菱東京UFJ銀行
ということで、いずれも静脈認証である。
ブラジルはどうか。
ブラデスコ銀行では、「年金受給のための生存確認の手段として」、ATMによる静脈認証を活用している、と記事に紹介されている。
手のひら静脈認証は、血管に血流がないと認証ができないというのは初めて知った。
なるほど、だから生存の証明になるのだ。
手相占いでいう、手のひらのなんとか線というのを使っているのではないようだ。
ブラデスコ銀行員は、「手のひら認証は3D読み取りだから、手のひらを紙にコピーして機械に当ててもだめだよ」などと言っていたので、本当かしら、と疑問が残っていたのである。
血流の有無を機械が認識するということは、3D読み取りというのもあながちホラとはいえないだろう。
つい最近、ブラデスコ銀行の最寄り支店で手のひらパターンを登録したので、ここに書いてみよう。
手のひらパターンを登録する以前は、ATM操作時に、銀行のICカードとchave de segurança（安全キー）とよばれる乱数表が必須だった。
つまり、カードを読み取りスロットに入れてから、各取引の前に乱数表の指定ポジションにある3桁数字のキーを入力して、取引の最後に来る確認段階で数字6桁の暗証番号を入力する必要があった。
一回のセッションで多数の取引をする場合には、暗証番号入力は最初の1回、乱数入力は各取引のたびに異なるポジションを尋ねられる。
早く言えば、かなり面倒だった。
本人確認手段の要素をあげてみよう。
- 口座名義人のICカードを所持している
- 支店口座番号を知っている
- 暗証番号を知っている
- 乱数表を持っていて正しいキーを入力できる
- 本人の手のひらパターンを持っている
ブラデスコの生体認証のアピールは、カード無しで残高照会と現金引出し、つまりカードレス取引ができるという。
これは普段だけでなく、特に災害でカードを失った場合に貴重だ。
そこで試してみた。
まず現金引出しだ。
カード無し取引のポタンを押した。
すると、支店番号と口座番号の入力を求められる。
もし口座名義人のICカードを読み取りスロットに入れていたら、この情報を手入力する必要はないのだが、カードレス取引をするためには、記憶しておく、あるいはメモしておく必要がある。
支店番号と口座番号の入力が終わると、スキャナーに手を置くように指示される。
手のひらパターンを照合したら、そのあとで暗証番号の入力を求められた。
それから金額入力の段階に入る。
2, 3, 5の要素を使っている。
カードレスであるために、暗証番号確認という要素が加わっている。
現金引出しの後に、残高照会をしてみた。
今度は最初にICカードをスロットに入れた。
取引選択画面が出て、残高照会を選ぶと、そこで手のひらをスキャナーに当てるように指示された。
暗証番号も乱数表も必要なかった。
1と5の要素を使っている。
ICカードと生体認証の2つが、確認要素として十分とみられているわけだ。
ICカードなしで取引ができるということは、生体認証情報はICカード内でなく、銀行のサーバーに保管されているということだ。
銀行は、サーバー内の情報の機密保全には絶対の信任を負い、責任は重大である。
記事に触れられているように、暗号保護されていない生体認証データが漏出すると、これから一切その生体認証方法は使えなくなるからだ。
さて、銀行取引というと、忘れていけないのが犯罪対策である。
生体認証を導入することにより、銀行の偽造カード対策はすすむ。
銀行が窓口対応のみから脱して、ATMを導入した当初は、磁気ストライプカードと4桁の暗証番号だけが認証方法であったと思う。
ATMに細工をして、本来のカード読み取り装置の代わりに、あるいはその前面にカード情報を盗み取る読み取り装置をこっそり取り付ける。
この違法読み取り装置は、俗称で、ヤギの生き血を吸う怪物の名前をとり、シュパカブラ(chupa-cabra)と呼ばれている。
同様に入力キーと操作者の手元を撮影する小型カメラをATMや付近の構造体に取り付ける。
このカメラは暗証番号のキーストロークを盗撮して犯罪者へ送る。
懲りた銀行は、銀行カードをIC化して、さらに認証方法を一つの暗証番号だけに頼るのでなく、さらに要素を加えるようにした。
そのために、暗証番号入力に物理キーボードを使わず、タッチスクリーンでそのたびに数字の配置が変わる動的キーボードを使ったり、従来の暗証番号の他に、もう一つのパスワードの入力を求める方法、乱数表やトークンによるワンタイムパスワードを使い、認証要素を複数化してきた。
生体認証は、カード情報や暗証番号の窃盗に対しては有効だろう。
生きている手のひらがないと認証が成功しないからだ。
手のひら静脈認証の装置を犯罪者がこっそりATMに取り付けて静脈パターンを盗みとり、3Dプリンターを使い、赤インクの静脈パターン入りのシリコンの手のひらを作り上げて、ATMを不法操作するという犯罪例はまだ聞いたことはない。
かなりハードルは高そうだが、いつの日か実現することがあるのだろうか。
しかし現在でも、ATMを使用するときの注意として、ATMに見慣れない装置がついていないか、キーボードが視界に入る場所に穴が開けられていないかなど、普段と様子が違っていないかを観察することを忘れてはならない。
次は強盗対策だ。
カードレス取引ができるということは、強盗にあったときにカードを持っていなくても、理論的には被害に遭う可能性があるということだ。
カードレス取引をしているところを強盗に観察されて顔を覚えられたら、後日銀行から離れた所で、「顔見知りの」強盗に思い出されて、「お前はブラデスコでカード無しで金を引き出していただろう」と難癖付けられる可能性がありそうだ。
以前のカードと乱数表による取引だったら、それらを持っていなければ現金引出しはできずに、銀行から出てきたところでなければ被害に遭うこともなかっただろうに、「この人はカードレス取引をしていた」という事実を知られたばかりに、被害者になることも予想しなければならない。
これでは「銀行出口強盗」どころではない、「どこでも強盗」ではないか。
カードレス取引や手のひら認証をしている場面を、暗証番号入力と同様、できるだけ人に見られないようにすることが必要だろう。
まあこれからは手のひらを登録した銀行顧客が大多数になるだろうから、そんな心配は無用かもしれないが。
でも、普段から用心、これまで通り、「機械に覆いかぶさるようにして」できるだけ周りの視線を遮断して、ATMを操作するよう心がけよう。
安全な時間と場所を選ぶことも大事だ。
そして、銀行の出入り、ATMの使用時に、辺りに不審者がいないか気をつけることは、従来と同様、十分に注意しなければならない。
本人確認が便利で安全というので安心してはいけない。
未来的テクノロジーによる便利性も、決して安心を与えてくれるものではないのだ。
(http://exame.abril.com.br/tecnologia/noticias/bradesco-comeca-a-abolir-cartoes-em-caixas-eletronicos)
0 件のコメント:
コメントを投稿