Appleの顔認証Face IDは眼鏡にテープを貼るだけで突破可能、研究者は「生体認証にとってのアキレス腱」を指摘

by Kevin Bhagat

Appleの顔認証「Face ID」がリリースされた当初は本人以外でも兄弟や双子ならば突破できてしまうケースが存在すると報じられてきました。そんな顔認証システムについての最新の研究結果が発表され、生体認証に存在する認証プロセスの脆弱性が公表されました。これを悪用すればFace IDのような顔認証を突破可能になるそうです。

Researchers Bypass Apple FaceID Using Biometrics 'Achilles Heel' | Threatpost
https://threatpost.com/researchers-bypass-apple-faceid-using-biometrics-achilles-heel/147109/

セキュリティ関連の最新情報を共有するイベントBlack Hat USA 2019の中で、顔に改造された眼鏡をかけるだけでFace IDを突破して端末にアクセス可能になるという方法がTencentの研究者により発表されました。通常、Face IDは画面を注視していなければロック解除することが不可能で、画面注視認識機能をオフにしていても目を開いていなければロックを解除することはできません。

しかし、研究者たちが発表した方法では、眼鏡のレンズ部分に黒色と白色のテープを貼り、これをアクセスしたいiPhoneの持ち主にかけさせることで、Face IDを突破できてしまうとのこと。

研究者たちがFace IDを突破するために開発した改造眼鏡「X-Glasses」

研究者によると、この攻撃には「活性検出(liveness detection)」と呼ばれる生体認証で用いられている機能のひとつが活用されている模様。「活性検出」は本物と偽物の人間を見分けるための生体認証プロセスの一部で、バックグラウンドノイズや応答のゆがみ、焦点のボケなどを検出することで機能するものだそうです。

Face IDを突破できる攻撃方法を発表した研究者は、「生体認証データの漏洩と人工知能(AI)を駆使した詐欺能力の強化により、(認証時にカメラが)キャプチャした生体認証が(あらかじめ)設定した人かどうかを測定するための『活性検出』は、生体認証のセキュリティ面におけるアキレス腱となっています」と語りました。

これまでは指紋認証や顔認証といった生体認証を回避するために、偽のデータを生成するという方法に焦点が当てられてきました。例えば指紋認証を突破するために指紋を偽造したり、顔認証を突破するためにマスクを偽造したりといった方法が偽データの生成に当てはまります。しかし、研究者たちは被害者となるユーザーの顔を使って無意識のうちに認証を突破してしまう方法を開発することに注力し、その上で活性検出に焦点を当てたとのこと。

顔認証を突破する方法を考案した研究者のひとりであるTenhu SecurityのZhuo Ma氏は、「この方法には課題があります。眠っているターゲットを目覚めさせないようにする必要があるという点です。しかし、一般的には3Dシステムの偽造は非常に困難であるため、より成功率が高く、低コストで済む方法が必要でした」と語り、X-Glassesの欠点と長所について説明しています。

研究では活性検出がユーザーの目をどのようにスキャンしているかに注視したそうです。研究チームは活性検出が目を抽象化している点に着目し、黒色のテープと白色のテープで人間の目(黒色テープ)と虹彩(白色テープ)を表現できることを発見。そこで、眼鏡にテープを貼り付けることで、活性検出がテープを目と誤認することを見つけています。研究者によると、眼鏡をかけているユーザーに対してはFace IDは目の領域の3D情報を抽出しないそうで、それがテープを目と誤認するメカニズムであると説明しました。

X-Glassesを用いることで眠ったユーザーのFace IDを突破することが可能となるため、モバイル決済アプリなどを用いれば不正な送金などが可能になるとのこと。

研究者が発表した方法は明らかに大きな欠点を持っているものの、生体認証におけるセキュリティ面のリスクを浮き彫りにしたことは明らか。なお、研究者たちは生体認証機能を提供するメーカーに対して、映像や音声を合成的に検出することなどを提案しています。