生体認証の判定基準と誤判定の見極め方
基本情報技術者試験 平成30年度春期 午前 問45 ／ セキュリティ › 情報セキュリティ
過去問にチャレンジ
生体認証システムを導入するときに考慮すべき点として，最も適切なものはどれか。
- ア
本人のディジタル証明書を、信頼できる第三者機関に発行してもらう。
- イ
本人を誤って拒否する確率と他人を誤って許可する確率の双方を勘案して装置を調整する。
- ウ
マルウェア定義ファイルの更新が頻繁な製品を利用することによって，本人を誤って拒否する確率の低下を防ぐ。
- エ
容易に推測できないような知識量と本人が覚えられる知識量とのバランスが，認証に必要な知識量の設定として重要となる。
会話形式の解説
講師生体認証では、照合の判定基準をどう決めるかが論点です。どのような誤判定に注目しますか。
受験者本人を通しやすくすれば使いやすそうですが、他人も通してしまいませんか。
講師その懸念があります。本人を誤って拒否する割合をFRR、他人を誤って受け入れる割合をFARと呼びます。
受験者判定を厳しくすると、二つとも下がるのでしょうか。
講師判定を厳しくするとFARは下がりますが、FRRは上がります。両方を見て、利用する場面に合う基準へ調整する記述が適切です。
受験者ディジタル証明書を発行してもらう案は、本人情報に関わっていても別の話ですか。
講師はい。ディジタル証明書は公開鍵に結び付く本人情報などを証明するものです。生体的特徴の照合基準を決める方法ではありません。
受験者マルウェア定義ファイルの更新も、照合の基準とは関係しませんね。
講師そのファイルはマルウェアの検出に使います。更新頻度によって本人の誤拒否の割合を調整することはできません。
受験者覚えやすさと推測されにくさのバランスは、パスワードのような知識を使う認証の話ですね。
講師そのとおりです。生体的特徴をどの程度一致と判定するか、という基準の説明ではありません。
受験者本人の誤拒否と他人の誤受入れを両方見て、利用する場面に合わせて調整すると整理します。
講師はい。FRRとFARのどちらか一方だけで判断しないことが、この問題の着眼点です。
まとめ
生体認証では、本人を誤って拒否する割合をFRR、他人を誤って受け入れる割合をFARと呼びます。判定を厳しくするとFARは下がる一方、FRRは上がります。導入時は両方を考慮し、利用する場面に合う判定基準を設定します。
解答・解説
正解はイです
この問題のテーマ
生体認証を導入するとき、本人の利用しやすさと他人を通さない安全性をどう考えるかを問う問題です。
解き方の考え方
生体認証では、測定した特徴が登録情報とどの程度一致すれば本人と認めるかを決めます。本人を誤って拒否する割合をFRR、他人を誤って受け入れる割合をFARと呼びます。判定を厳しくするとFARは下がる一方、FRRは上がるため、両方を見て用途に合う基準を設定します。
選択肢ごとの解説
- ×ア 本人のディジタル証明書を、信頼できる第三者機関に発行してもらう。ディジタル証明書は、公開鍵に結び付く本人情報などを証明するためのものです。証明書を発行してもらうことは、生体的特徴を照合する装置の判定基準を決めることとは異なります。
- ○イ 本人を誤って拒否する確率と他人を誤って許可する確率の双方を勘案して装置を調整する。本人を通しやすくするだけでは、他人も通してしまうおそれがあります。本人の誤拒否と他人の誤受入れの双方を考慮して装置を調整するという記述は、生体認証の判定基準の決め方に合っています。
- ×ウ マルウェア定義ファイルの更新が頻繁な製品を利用することによって，本人を誤って拒否する確率の低下を防ぐ。マルウェア定義ファイルは、マルウェアの検出に使う情報です。その更新頻度によって、生体認証で本人を誤って拒否する割合を調整することはできません。
- ×エ 容易に推測できないような知識量と本人が覚えられる知識量とのバランスが，認証に必要な知識量の設定として重要となる。覚えやすさと推測されにくさのバランスは、パスワードなど、本人が知っている情報を使う認証で考える点です。生体的特徴の照合に必要な判定基準を説明したものではありません。
POINT
- FRRは、本人を誤って拒否する割合です。
- FARは、他人を誤って受け入れる割合です。
- 生体認証の判定基準は、利用する場面に応じて設定します。