なりすまし攻撃に対してより優れた生体認証を取得するAndroidP

新しいスプーフィング防止機能がAndroidに導入されようとしています。これにより、生体認証メカニズムがより安全になります。.

グーグルが説明したように:

ユーザーを安全に保つため, ほとんどのアプリとデバイスには認証メカニズムがあります, またはあなたがあなたであることを証明する方法. これらのメカニズムは3つのカテゴリに分類されます: 知識要因, 所持要因, および生体認証要因. 知識の要因はあなたが知っている何かを求めます (PINやパスワードのように), 所持要因はあなたが持っている何かを求めます (トークンジェネレータやセキュリティキーのような), 生体認証の要因はあなたが何かを求めます (あなたの指紋のように, 虹彩, または顔).

新しいバイオメトリクスの説明

今のところ, Androidバイオメトリクス認証システムは、他人受入率という2つのメトリクスを使用します (遠い) および本人拒否率 (FRR). これらは、ユーザーの入力の精度と精度を測定するというアイデアを備えた機械学習技術と一緒に展開されます.

バイオメトリクスの場合, FARは、生体認証モデルが誤って誤った入力をターゲットユーザーに属するものとして分類する頻度を測定します. 言い換えると、これは、別のユーザーが正当なデバイス所有者として誤って認識される頻度を示しています, グーグルは言った.

同様の方法で, FRRは、生体認証モデルが誤ってユーザーの生体認証を誤って分類する頻度を計算します。これは、正当なデバイス所有者が認証を再試行する必要がある頻度を示します。. 1つ目はセキュリティ上の懸念です, 2つ目は使いやすさに問題があります, グーグル自身の言葉で.

でも, 場合によっては、一部の生体認証スキャナーでは、ユーザーがより高い誤受け入れ率で認証できるようになります. これにより、デバイスはなりすまし攻撃にさらされたままになります. 会社によると, 生体認証入力が実際にハッカーがなりすまし攻撃または詐欺攻撃を介してデバイスにアクセスしようとする試みであるかどうかを正確に特定するのに十分なメトリック技術はありません。.

そう, これを改善するために, Googleは現在、既存の指標に2つの新しい指標を追加しています– Spoof Accept Rate (SAR) と詐欺師の受け入れ率 (IAR). これらは特に攻撃者を説明します.

“彼らの名前が示すように, これらのメトリックは、攻撃者が生体認証スキームをバイパスするのがどれだけ簡単かを測定します,” ヴィシュワス・モハン, GoogleAndroidチームのセキュリティエンジニア, 説明 ブログ投稿で. それに加えて:

AndroidP以降, 開発者は、BiometricPrompt APIを使用して、デバイスおよび生体認証にとらわれない方法で、生体認証をアプリに統合できます。. BiometricPromptは強力なモダリティのみを公開します, そのため、開発者は、アプリケーションが実行されているすべてのデバイスにわたって一貫したレベルのセキュリティを保証できます。. AndroidO以前を実行しているデバイス用のサポートライブラリも提供されています, アプリケーションがこのAPIの利点をより多くのデバイスで利用できるようにする.