Samsung「Galaxy S8」の虹彩認証を突破するのはひどく簡単

Samsungの新型フラグシップ端末「Galaxy S8/S8+」は2017年3月に正式発表され、2017年6月8日にはauから発売されることも決定しています。この端末は従来の指紋認証機能に加え、目の虹彩パターンを認識してユーザーを識別する「虹彩認証」機能を搭載しているのですが、これが驚くほど簡単に突破可能ということで話題になっています。

CCC | Chaos Computer Clubs breaks iris recognition system of the Samsung Galaxy S8
https://www.ccc.de/en/updates/2017/iriden

Breaking the iris scanner locking Samsung’s Galaxy S8 is laughably easy | Ars Technica
https://arstechnica.com/security/2017/05/breaking-the-iris-scanner-locking-samsungs-galaxy-s8-is-laughably-easy/

SamsungはGalaxy S8の虹彩認証を「スマートフォンをロック状態に保つ際の最も安全な方法のひとつ」と主張していますが、ハッカーたちがこの虹彩認証を簡単に突破しています。実際に虹彩認証を突破する際に使用された道具はデジタルカメラ・プリンター・コンタクトレンズの3つで、これらを用意するのにかかる費用は、Galaxy S8の本体価格である725ドル(約8万1000円)よりも安く済むそう。なお、プリンターはさまざまなメーカーのものを試したそうですが、皮肉にもサムスン製のものが最良の結果を出したとのこと。ハッキングするにはまずGalaxy S8の持ち主の顔をデジタルカメラで撮影し、これを紙に印刷。印刷した写真の虹彩部分にコンタクトレンズを重ね、ロックされた状態の端末にかざすだけで認証を突破できるそうです。

実際にGalaxy S8の虹彩認証を突破するための一連の作業を実践しているムービーも公開されています。

media.ccc.de - Hacking the Samsung Galaxy S8 Irisscanner


まず用意するのはデジタルカメラ。

赤外線によるナイトモード搭載のカメラを使用し、このナイトモードをオンにして……

中距離くらいからGalaxy S8の持ち主を撮影。

そして写真を印刷します。

続いて、虹彩認証機能を使用するためにGalaxy S8で設定を行い……

虹彩情報を登録。

実際に虹彩認証で端末のアンロックができるかを確かめたら……

ピンセットを使って、印刷した写真の虹彩部分にコンタクトレンズを置きます。

Galaxy S8で虹彩認識画面を表示して……

コンタクトレンズが張り付いた状態の紙をかざすと……

あまりにも簡単に認証を突破できてしまいました。

虹彩認証を突破したハッカーのStarbug氏は海外ニュースメディアのArs Technicaに対し、「Galaxy S8は主要なスマートフォンの中で初めてパスワードの代わりに虹彩認証という手段を提供した端末のひとつだったので、実証実験に使うことにした」と述べています。また、今後、虹彩認証機能を搭載した端末が登場すれば同じように認証を突破できるかどうかを調べると語っています。

Galaxy S8の虹彩認証技術を開発したSamsungとPrinceton Identityは、ユーザーが「最終的にはスマートフォンが保護されていると信頼できる」ような機密性の高いセキュリティを提供していると主張していますが、正しい使用方法以外で認証を突破することが可能であることが明らかになりました。ただし、こういったことは虹彩認証に限らず、指紋や他の生体認証でもしばしば起きることであり、スマートフォンの指紋認証はインクジェットプリンターで印刷した指紋で突破可能であるという研究結果も発表されています。

Starbug氏は、「虹彩認証はモバイル機器にとって次世代の重要技術です。特にスマートフォンのようなコンパクトでマシンパワーが低い端末にとって、ハッキングの防止はとても難しく、人間にとって指紋を隠すよりも虹彩を隠すほうが難しいので、よりセキュリティ面で困難に陥ります」と語っています。

なお、Ars TechnicaはU2Fなどを組み合わせて使用するのに生体認証は最適かもしれないとしつつ、単体で使用するには特に指紋認証は「あまりに不十分」としています。実際、スマートフォンの指紋認証は「スマホの最大の脆弱性である」という指摘も存在するほどなので、Galaxy S8に限らず生体認証に頼りすぎるのは危険過ぎるようです。