【最新技術の落とし穴】静脈認証も安心できない? 大根で作った偽造指で認証に成功

――「静脈認証でさえ、偽造指に対するぜい弱性は否定できない」―
6月29日から7月1日まで東京で開催された「情報セキュリティEXPO」で、
セミナーの演壇に立った横浜国立大学の松本勉教授はこう警告した。
偽造/盗難キャッシュカード対策として金融業界で急速に普及しつつある静脈認証について、
客観的なぜい弱性評価の必要性を示したものだ。

静脈認証は指、手のひら、手の甲などに赤外線を当て、体内にある血管の形状パターンを元に個人を識別する。
指紋認証などと異なり、表から見える身体的特徴を使わないことから、「なりすまし」に強いと一般に思われている。
だが実は、静脈認証の歴史は浅く、ぜい弱性が十分に検証されてきたとは言えない。

松本教授は比較的簡単に入手できる素材を選んで、人の指に似た光の透過率を持つ2種類の模型を作成した。
その一つは、野菜の大根を棒状に切りラップで包んだもの。
もう一つは、スキー場の人工雪に使われる高分子ポリマーをエポキシ樹脂と硬化剤で固めたものである。
これらを市販の指静脈認証装置に登録した上で、再度差し込んで照合すると、いずれも100％受け入れられた。
ただし、作ってから1週間経過した大根では、受け入れ率が98％に低下する。

今回の報告は研究の途中経過を示したもので、これをもって、直ちに「銀行が使う静脈認証の危険性が高い」
とは断言できない。本物の人間の指を静脈認証装置に登録した上で、
それに似せた偽造指を照合に掛ける実験の結果を、まだ示していないからだ。
偽造指を使って、既に静脈パターンを登録済みの人になりすますのは、より困難と見られる。

一方で、松本教授は「指紋認証に比べて相対的に安全と思われている静脈認証にも、
一定のぜい弱性があることは事実。頭から安全だと信じ込むのは危険で、
今後、検証を重ねて精度評価基準を作る必要がある」と語る。

松本教授は、2000年7月、ゼラチンで作った偽造指を使って、
市販の指紋認証装置を容易にだませることを発表し、世界のセキュリティ専門家を驚かせた。
その後、虹彩認証装置についても、瞳の画像を名刺大の紙に印刷する方法で、
容易に「なりすまし」できることを証明している。一連の実験結果は金融庁のWebサイトにPDF形式で掲載されている。

引用元：ＩＴＰｒｏ　日経コンピュータ
http://itpro.nikkeibp.co.jp/free/NC/NEWS/20050701/163801/
実験結果（PDF文書）
http://www.fsa.go.jp/singi/singi_fccsg/gaiyou/f-20050415-singi_fccsg/02.pdf

うはｗ

二、三日前に見たぞ、このﾆｭｰｽ

まっつぁん最高。

この教授消されるのではあるまいか

偽物国家　中国の登場ですよ

網膜パターンしかないな

イキロまっつぁん。

こわい

>>3 前にもあったね

ということで、2get!

イモ判で銀行印作ったようなもんか？

静脈認証と同時にバイタルとれば良いのでは？

>>5
猿轡をされて、中国香港に招聘されるかも。

ゲーセンにある、指紋を判別して預けたコインを引き出す機械も読み取り精度悪くてエラーばっか…

大根を薄切りにするとたしかに静脈みたいな（色は白いけど）筋が見えるなあ。
しかしよくそんなところに着目したもんだｗ

大根好きなのかなぁ

　　　　　　　　　　　　 ？？　　　　　　 　　　　　　　　　　　　　　　　？？
　　　　　　　　 ？？　　　　？　　　　　　　　　　　　　　　　　　　　　？　 　？？
　　　　　　 　？？::　　　　　　？？？　　　　？ 　 　 　？ 　 　？？？　　 　 　::？？
　？　 　？ 　？？:: ::　　　 　　？？？　　　？::　 　 ？　 ？？　 ？？？　　 　 　:::？？
　 ？　 ？ 　 ？？？？:: 　　　　　　　　 　 ？:::　 ？？　::？？　　　　　　　 　 ::？？？
　　？ ？　 　 ？？？？？:::: ::　　　　　 　　？？:::？ ？:::？？　　　　　　　 :: :::？？？　　　　　　　　しゃきーん
　 　？　　　　　？？？？？？:::: ::　　　　　　 ？？　　？？　　　　　　 :: ::::？？？？

もう国家によるIDチップの埋め込み くらいしか残ってないんじゃ・・・

>>7
プリントアウトした紙で認証をすり抜けられるよ

もう　チンコパターンしかないのか。

認証を突破した最終兵器は「大根」ですた。('A`)

＞これらを市販の指静脈認証装置に登録した上で、再度差し込んで照合すると

いや、偽造しにくい、と言うのが静脈認証のポイントなんだろ？
偽物で登録して、同じものを使って認証通りましたって、意味無いでしょ？

あれ？俺が馬鹿なのか？

網膜を見破ったのはすごいな。
でも大根とかゼラチンで登録するやつは居ないだろ
なにがしたいんだこの教授

登録されている指やら手のひらを切断して認証をすり抜けるということが
可能なことを示唆しているんじゃないの？
それか、偽者の認証装置を通してスキャン。んで得られたパターンを
ポリマーをエポキシ樹脂で固めたものを使用しても認証を通る可能性とか。

>>22
先に書かれた・・・おまいは正しいと思うが
実験するなら誰かの指登録してそれの偽造指を作らんと全く意味が無い
１００歩譲って松本とやらの方法(偽者データ登録無し)でなんらかの
誤作動を起こさせたというのなら　フーン（　´,_ゝ｀）くらいにはなるが

そもそもカードの様に容易に偽造出来なければ意味が無い
虹彩認証も「どうやって対象の虹彩のコピーを取るのか」や
大根指も「どうやって対象の静脈パターンを取るのか」が問題になる
そんな現実的でない苦労するなら、ＡＴＭや認証機のデータをソレ用機器を使って盗んだ方が簡単だし

銀行に預けた時点で　もう金は捨てたと思えということでつね

・・・・・

さあ大根足の出番ですよ

マクガイバーの称号を与えよう

シュワちゃんの映画に似たようなのあったよね
本人の一部をつれてくればいいってやつ

偽造指って

別の意味で売れそうな

↑
変態

>>7
網膜の画像を名刺大の紙に印刷する方法で可能と思われる。

静脈認証って血液が流れているかどうかも判断してるんじゃなかったっけ？

大根に負けた最新技術。

指よりもゴーヤの方が効果あるらしいしな
あのイボイボが（ｒｙ

これは、本人殺して手首だけ切り取ってきても認証される事を意味
してるんじゃないの？　ヤベェって・・・・

生きてない体での認証を、「バイオメトリクス（生体認証)」とは呼べないだろ！

偽造指つきの架空口座が売り出される伊予柑。

まあ、おまいらには「画指」で指関節の間隔がお似合いだ。

>>26

>虹彩認証も「どうやって対象の虹彩のコピーを取るのか」や
>大根指も「どうやって対象の静脈パターンを取るのか」が問題になる
バイオメトリクス認証が一般的になれば（ならないが）、どこでででも虹彩や静脈のパターンは
要求され、そこで採ったパターンをよそで使われる

>>35
>静脈認証って血液が流れているかどうかも判断してるんじゃなかったっけ？
携帯電話の液晶ディスプレーかなんかで動画再生したら？

ということで、バイオメトリクス認証は一般的にならない

手の込んだ嫌がらせだな。ｗ

文系モンキーはこんな短いニュースも読めないらしいな

大根で登録したら大根で認証できたって事か？


　いやあの〜


　問題は人の静脈で登録された際に、その静脈をコピーすることができ
かつ認証できるかどうかが鍵だと思うんだが。

　本人じゃなくても同じID（この場合静脈認証だが）ができるかどうかが問題だよな。
　まあぶっ殺してきて腕切断して持ってこりゃあいいじゃん。
なんて発想の方がむしろありがちだとは思うのだが。

人間の静脈で登録した場合は、その人間を連れてこないとパスできないけど
登録者本人と切り離して誰にでも携帯させられるようなもので登録した場合は
それを他人に渡すことで、何らかの不正行為が可能になるかもしれませんよ
ホームレスに大根を使って口座を作らせて、その大根と通帳を他人に売り渡すとか

ttp://jbbs.livedoor.jp/otaku/4394/

>>1
＞作ってから1週間経過した大根では、受け入れ率が98％に低下する

なんか笑った。

>今回の報告は研究の途中経過を示したもので、これをもって、直ちに「銀行が使う静脈認証の危険性が高い」
>とは断言できない。本物の人間の指を静脈認証装置に登録した上で、
>それに似せた偽造指を照合に掛ける実験の結果を、まだ示していないからだ。
>偽造指を使って、既に静脈パターンを登録済みの人になりすますのは、より困難と見られる。

これと同じつっこみをいちいち書き込むなよｗ

　悪意のある犯人が偽の指で預金情報の本人登録し、
他の犯罪者が本人になりすまして、預金を引き出し、
本人が不正請求することができる。

>50
そうかな？
その場合には、かならず何らかの証拠が要求されるんじゃないの？
偽の指ってこと、すぐバレない?

>>51
　先ず、指のかけた２名を雇う。
大金を預金し、犯罪にあったフリをして、
保険料を取る。
　ちと、人差し指や中指をつめた人物は少ないな。
この犯罪は難しいか？

いつぞや頑丈な鍵がボールペンで開いたってニュースもあったしなぁ
やっきになって高度なものを開発してると案外身近な物を見落とすかもな

やはり大根は新鮮な方がいいんだな

>>1
静脈パターンの登録データを職員が持ち出せないように、静脈パターンで認証。
職員の静脈パターンは・・・

>>48
作ってから1週間経過した大根で登録すれば１か月はＯＫ。

エイリアン３では口臭？で認証していた様な・・・

>>53
ってか、静脈認証だの指紋認証だのを作ってるのは、
画像認識の専門化。セキュリティ面はただの素人。

ぶっちゃけ、画像認識の応用がないから
じゃぁ認証にでも使いましょうか、
じゃないとうちのグループに儲からなくてやってけないし、
っていう政治的な理由で研究してるやつもかなり多い。

そんな連中が「××認証は安全ですよ」なんていっても
まったく信用ならんのはいうまでもなし。

まじっすか
じゃあ画像処理と情報セキュリティと両方勉強しとけば
就職口があるかな？

セキュリティには似非専門家や自称専門家が大量にいて、
そいつらが安全でもなんでもないシステムを売りまくってるのが現状。

セキュリティは素人には難しいんで、それでもお客さんにはバレない。
だから>>1みたいな誰でも試せそうな事すら試さんやつらが、
いっぱい現れる。

いい大会社が詐欺師も同然のことしておいて、
当人達も自分が詐欺やってるのに気づいてないっていう、
燦々たる現状がある。

そいつらが>>1みたいな発表が無い限りのうのうと生き続ける。


>>59
漏れは画像認識の方は専門外だから分からんけど、
話を聞いてる限り現在の技術でセキュアな生体認証を作るのは
そもそも無理っぽ。

>>1

同じ教授、P2Pも破ってるんだよね。(確か)。

ってか、公開鍵をcertificateせずにセキュアなシステム
作れるわけないだろ!!

P2P研究者は、基本中の基本も知らんのか、
知っててとぼけてる悪党なのか。

【海外】カナダの29の主要空港、作業者向けに指紋・虹彩認証を導入=テロ・犯罪対策で
http://news19.2ch.net/test/read.cgi/newsplus/1124810217/

●虹彩読み取り機のニセモノを置いて、間違えて覗いた人間の瞳を撮影して
クラック用画像を作成
●女子更衣室や女子トイレにつながる壁に穴を開けておいて、覗いた男の瞳を
以下同文

認証につかう静脈なり虹彩のデータを横取りして、それをつかって第三者が
認証するのをリプレイ攻撃というんだったっけ。パスワードでも同じだが。
認証システム内部で、パスワードが、そのままの形で保存されていたりして
システム内部関係者がそれを使ったりできないようになっているのが普通の
設計だよね。画像認証のシステムでも、さすがにそうなっている、と、期待
していいんだよね？　ね？

>>64
個人ごとの画像特徴DBを、ハッシュ関数みたいな一方向処理したものだけを内部に
蓄えておいて、仮にDBを盗まれても、そこから元の生体情報を再現できないように
なってれば、いいのかな？

パスワードはバレたら変えればいいけど、指紋や虹彩、顔表情といった生体情報は、もし
第三者にデジタル化したデータが盗まれてしまったとしても、「変える」わけにはいかない
からねぇ。盗まれたらその人はもうアウト。出入り禁止にするしかない。

>>65
ハッシュだと、1ビットでも違うと全然違う値になるので、駄目
>>64のようなことは実現不可能

とはいえ、銀行の暗証番号も暗号化しても総当りで解読は容易だけどな

結局、社会はセキュリティ技術になど頼っては居ないし、将来もバイオメトリクスに
頼る必要はないということ

ふむ。ラッダイトか。

64-66の問題は、「大根」攻撃より、ある意味深刻ではないのか？

生体データの(データ空間の距離による）近傍を、その分解能で割って
整数化したものの全部のhashを持つようにしたら？

>>68
近傍の境界付近では両方のハッシュが必要で、ハッシュの総量は取得
データ量の指数となるから、無理

腕一本のゼラチンを持って銀行をうろついてるヤツが居たら怪しまれるだろ。
ATMなら危ないな

>>66
総当たりはむりぽ。
パスワードエラーが一定頻度を超えると警戒モードに入るのは今や基本。

外出だが「大根を指と誤認させる」だけではなーんのいみもない、よね？？

＞結局、社会はセキュリティ技術になど頼っては居ないし

すげえ結論だなｗｗｗ

>>71
>外出だが「大根を指と誤認させる」だけではなーんのいみもない、よね？？
あるだろ
認証媒体の調達や極めて用意で、偽造難度もあまり高くないことを示している

偽造媒体で認証を通るには
「照合データの入手」「認証媒体の入手」「認証媒体への照合データの正しい埋め込み」の３つが必要
このうちの一つが実質だれでも可能というのはかなり問題
ぶっちゃけていえば、媒体面に限れば偽造クレジットカードより楽勝と言うこと

また照合データそのものに充分保全策をかければいいと言う意見もあるが
それなら既存のカードや暗証番号システムでも大差ないことになるし
生体認証だと>>65が言うように漏れても変えられないだけ今より不便

生体認証の本命用途は、高度なセキュリティが必要な所ではなく
日常の簡易な認証用だとおもうよ
マンションやビルの共同エントランスとか、電車の定期券所持チェックとか
個人宅の玄関や定期代の決済に使用するには生体認証は無理がある

指を使うのは富士通の携帯の
みんなのゴルフのアプリだけでいいよ

>>73
「照合データの正しい埋め込み」が期待できないような素材では、
「認証媒体」と言えんとおもうんだが。大根は、既存の技術に頼る限り、その辺不合格だろ。
最初「大根に照合データを埋め込めた！」という記事かと思って「すげーっ！」だったが、
そうじゃなかった、ガカーリ、という話。

>>71
おまえ、システムレベルの思考ができないようだが、夏厨？

>>66
>とはいえ、銀行の暗証番号も暗号化しても総当りで解読は容易だけどな
は、

>>65
>個人ごとの画像特徴DBを、ハッシュ関数みたいな一方向処理したものだけを内部に
>蓄えておいて、仮にDBを盗まれても、そこから元の生体情報を再現できないように
>なってれば、いいのかな？
を受けての話だ。

銀行から暗証番号ＤＢ盗んだら、ハッシュされてたって１００００回の総当りで解読できる。

>>76
そっちの意味かい。
つーか、>>65を受けて
＞銀行から暗証番号ＤＢ盗んだら、ハッシュされてたって１００００回の総当りで解読できる。
に飛ばすのは無理があるぞ。

しつれい。よくかんがえたら、
＞銀行から暗証番号ＤＢ盗んだら、ハッシュされてたって１００００回の総当りで解読できる。
は無理じゃないか？　すくなくとも、ハッシュ関数を知ってる必要があるんじゃないか？

>>78
DB盗めるくらいなら、ハッシュ関数くらい知ってて当然じゃないか？

そのへんが「システムレベルの思考」ってやつだと思うぞ

>>79
＞DB盗めるくらいなら、ハッシュ関数くらい知ってて当然じゃないか？
それはあんまり「当然」とは思わんが。最近は変わったんかな。
（えっと、これはあくまで「ハッシュ関数の種類を知っている」って意味で話してるよね。
　「ハッシュ関数という概念を知っている」だけじゃ、総当たり解読は無理なんで、それでいいよな。）

>>80
「種類」ねー、、、

具体的計算方法がわからないと、種類だけ分かっても無意味だぞ

DB盗めるほど銀行内部に入り込んでれば、ハッシュ関数の具体的知識もあって不思議はない

守る側は、当然、そう仮定しないといけない

>それはあんまり「当然」とは思わんが。最近は変わったんかな。
今も昔も当然だ

それすらわからない奴がセキュリティをかたるな

>>81
あのさ。そこまで内部に入れるなら、トロイの木馬仕込んで終わりでしょ？
10000回の総当たりも不要だよ。
「守る側はそう仮定しなければならない」のと
「その条件で実際にできるか」を区別するのは、
システムレベルの思考では必須だと思うんだが？

＞具体的計算方法がわからないと、種類だけ分かっても無意味だぞ
種類を知っているけれど、具体的計算方法がわからないって、どういうケースだ？
名前だけ知ってるケースとか？？
いちおう、具体的計算方法まで知ってて、「種類がわかっている」としとこうや。

大根で作った模造品を彼女は100％受け入れるけどな〜

>>82
>あのさ。そこまで内部に入れるなら、トロイの木馬仕込んで終わりでしょ？
べつに、それでもいいけどな、、、

しかし、トロイの木馬はアクティブアタックなので、単なるパッシブな情報収集より一段上
なのも、わからん？

わかんないんだろうなー

>「守る側はそう仮定しなければならない」のと
>「その条件で実際にできるか」を区別するのは、
守る側には区別はない、同じだ

>種類を知っているけれど、具体的計算方法がわからないって、どういうケースだ？
パラメーターが違うケースだよ

そこがわかってる奴は「種類」なんて不正確な言葉、最初から書かないもんだ
ついうっかり書いちゃうようなやつは、セキュリティには向かない

お前はセキュリティ実務にも疎いみたいだな

>>84

＞単なるパッシブな情報収集より一段上 なのも、わからん？
　ハッシュ関数の種類が特定できる時点で、データもコードも見放題、つうことだろ？
　銀行のシステムとしてはかなり危機的状況だぞ。
　そんな状況でアクティブアタックを警戒せんのか？
　警戒厳重なのかザルなのかよくわからんな。

＞守る側には区別はない、同じだ
　区別しないと、何かが起こったときに「どこから重点的に守るか」の判断ができないとおもうんだが？

＞パラメーターが違うケースだよ
　その場合は「具体的計算方法がわからない」なんて言わないと思うんだがなあ。
　単に「パラメータがわからない」だろ？

　で、ハッシュ関数の種類は、どうやって特定するの？
　そもそも、ハッシュ関数の種類が特定できないと、どんなパラメータがあるかも、わからんはずなんだが。
（そもそも、ハッシュ関数にパラメータがあるかすら、わからんしな。ま、実用されてるハッシュ関数で、パラメータがないのははなかろうが。）

　ひょっとして、なぜわざわざ「ハッシュ関数の種類」と書いたか、わかってない？

>>66の
＞とはいえ、銀行の暗証番号も暗号化しても総当りで解読は容易だけどな
を読んで、漏れも>>71と同じように解釈してたんだけど

ところで、そのハッシュデータの流出を防ぐための、装置の耐タンパー化技術は
「システムレベル」の議論では「セキュリティ技術」とは見なさないわけ？
「機械を入手したり、機械内部に物理的にアクセスできるアタッカーなら
なんでもできるじゃん。だからセキュリティなんて得られないよ。はい、終わり」
てこと？

>>79
ハッシュ関数はRFC準拠ものだけではないんだが....
一方向性であればなんでもいい、自分で作っても良い。

たとえばRFC準拠のハッシュ関数を使っていて
　md5({暗証番号});
　sha1({暗証番号});
のような単純な計算であれば 10,000回(平均5,000回)で解析可能だが

md5({適当なprefix}{口座開設日}{口座番号}{暗証番号}{適当なsuffix});
sha({適当なprefix}{口座開設日}{口座番号}{暗証番号}{適当なsuffix});

のような事をやっているとしたらprefix,suffix,開設日も知らなきゃダメだ。

明太子でも可能。

＞耐タンパー化
恥ずかしながら知らなかったので、ググりました。勉強になります。

個人的には、セキュリティは「不正アクセスを不可能にする」のではなく、
「不正アクセスの難易度を少しでも増す」「不正アクセスできるまでの時間をふやす」
技術だと思ってます。その意味で、耐タンパー化は効果ありそうです。
でも、耐タンパー化は使用者へのアクセシビリティ低下を招く可能性もありそうですね。
そのあたりのトレードオフが、実際にはどうなるのかなあ。

顔特徴や指紋は、日頃フツーに晒しながら生活するモノだから、高精細な顔写真や、
ドアノブとかつり革を握った指紋の跡から、認証装置を突破できるようなフェイクが
造られるようだとやヴぁいな。つね日頃からグラサンと白手袋が手放せない生活に
なっちゃうＹＯ。こんなのなら、秘密の4桁暗証番号とかの方が、はるかに安全だね。

静脈パターンみたいな、「表から見えない」生体特徴ならば、こういう盗撮やストーキング
行為からフェイクが造られる心配はないけど、でも外部から簡単に読み取れる生体
特徴なら、騙して読み取ることは、ちょっと頭を使えば可能だよね。日常生活で、
手のひらをかざしたり触れたりする場所にｺｿｰﾘと．．．なんか「RFIDタグによるトラッキングの
危険」を思い出させる話だな。RFIDタグはちぎって捨てればいいけど、体内生体特徴は．．．

こう考えると、読み取り困難な究極の生体特徴＝頭の中身　という気もするな。
やっぱり暗証番号最強？

どんなセキュリティも強盗には全く無力だしなぁ。

中国では指紋認証のために被害者の腕を
切り落としてセキュリティ突破した実例がある。

暗証番号は、不特定多数に付与する場合、運用がむずかしいんだなあ。
忘れちゃうとか、メモとられちゃうとか。誕生日にされちゃうとか。
ユーザーが「そういうことをやるやつだ」という前提でシステムくまないかん。
そう考えると、指紋や顔はともかく、静脈認証のたぐいなら、生体認証にもアドバンテージはあるのかなあ、と。

頭の中、といえば、銃夢というマンガで、脳みそにバーコードやきつけて認証、つうのがあったな。

>>85
>　ハッシュ関数の種類が特定できる時点で、データもコードも見放題、つうことだろ？
>　銀行のシステムとしてはかなり危機的状況だぞ。
「社会はセキュリティ技術になど頼っては居ない」のだよ

>　そんな状況でアクティブアタックを警戒せんのか？
警戒するのはいいが、それ以下のアタックで崩れるんだから、わざわざ特別に警戒してもしょうがないわな

>　区別しないと、何かが起こったときに「どこから重点的に守るか」の判断ができないとおもうんだが？
情報流出事件では、何かが起こったときは、全部手遅れ

>　その場合は「具体的計算方法がわからない」なんて言わないと思うんだがなあ。
そのとおり
実際おまえは俺に指摘される前には「具体的計算方法がわからない」なんて言わなかっただろ

>>87
>md5({適当なprefix}{口座開設日}{口座番号}{暗証番号}{適当なsuffix});
暗証番号を照合するサーバは、その全ての情報にアクセスできる（というか、性能考えると、ローカルに持っ
てる）ので、全く難しくなって無いぞ

>>90
騙すまでもなく、自分で認証装置運用してる側なら、簡単に他人の情報を得られる

バイオメトリクスが普及した場合、例えばクレジットカードが使える店全てが認証装置運用して客の情報を
もらえるようになるから、ほとんど公開情報、バイオメトリクス認証も意味を失う

>>91
映画でもよくあるな。目玉とか腕とか。
一応静脈認証は、血が流れてる状態かどうかを判別できるんだって。
切断した指や手を他のやつに移植したらどうか、つう問題は残るのか。

>>93

＞警戒するのはいいが、それ以下のアタックで崩れるんだから、わざわざ特別に警戒してもしょうがないわな

　あのぉ。「何が崩れるか」は前提にしないの？
　暗証番号クラックできたって、他人の口座をどうこうできる程度なんだよ。
　それはそれで大問題だけどさ。
　それ以上のことができるんだけど、警戒しないの？
　例えば、口座以上の金額を振り込んだり、振込先を隠蔽できたりするんだけど。

＞そのとおり
＞実際おまえは俺に指摘される前には「具体的計算方法がわからない」なんて言わなかっただろ

　だったら、そんな言い方しなきゃいよかったじゃん。
「パラメータが違う」と言えばよかったのに。

＞暗証番号を照合するサーバは、その全ての情報にアクセスできる
＞（というか、性能考えると、ローカルに持っ てる）ので、全く難しくなって無いぞ

　プログラム領域とデータ領域のアクセス権を分けるとか、いろいろやりかたはあるはずだが。
　プログラムの実行とデータアクセスはできても、プログラムの読み書きはできないとかな。
　そもそも、サーバにハッシュ前の暗証番号がそのままきているのか？　とか、いろいろ疑問はあるな。
　実際の銀行システムは、もちっと複雑なんだろうけど。

＞例えばクレジットカードが使える店全てが認証装置運用して客の情報を もらえるようになるから

　だとすると、両替機や自動販売機が普及している今、偽札作りは簡単にできる、という理屈にならんか？
　そのあたり、いろいろ工夫してるらしいけどな。

＞情報流出事件では、何かが起こったときは、全部手遅れ

　問題は”何が”手遅れかなんだがな。
　そのへんもセキュリティの基本だったはずだが？

　
＞「社会はセキュリティ技術になど頼っては居ない」のだよ

　それはあんたの個人的意見だと思うよ。
　まあ確かに、93程度のセキュリティ技術なら、社会は必要としないわな。

ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。

ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。
ヤバイ、シャブが切れた。ヤバイ、シャブが切れた。

>>94
その「血が流れているかどうか」を大根で突破できたって話じゃないの?

>>97
あ、そーなのか？
だとしたら、それはそれですごいな。でもその辺書いてないなー。
とりあえず、大根だと静脈パターン写し込みはむりぽなので、
三次元プリンタ使えるプラスチックっすかねえ。

遺伝子認識というものはムリポ、
そのひとの記憶に頼ったものがいい。
例えば、画面上のマスコットからあらかじめ設定したものを20ほど用意して、
認証毎に暗証番号とサイン認証と先ほどのマスコット認証を5程やれば、かなりいい。

まぁ横流しされても、一時間ごとに表示するべきものを変えるのを通信ナシで出来ればいいんでない?

>>99
たとえば、おじーちゃんとか、それで、ＯＫかねえ？

>>95
>　あのぉ。「何が崩れるか」は前提にしないの？
>　暗証番号クラックできたって、他人の口座をどうこうできる程度なんだよ。
ﾌﾟｯ
銀行って何のために存在してると思う？

>　だったら、そんな言い方しなきゃいよかったじゃん。
お前が間違った言い方したのは、おまえの責任

>＞暗証番号を照合するサーバは、その全ての情報にアクセスできる
>＞（というか、性能考えると、ローカルに持っ てる）ので、全く難しくなって無いぞ
>　プログラム領域とデータ領域のアクセス権を分けるとか、いろいろやりかたはあるはずだが。
付け焼刃の知識で必死だな

ところが、読めない情報はハッシュに使えないって基本を見落としてて、悲惨

>　実際の銀行システムは、もちっと複雑なんだろうけど。
ﾌﾟｯ

>　だとすると、両替機や自動販売機が普及している今、偽札作りは簡単にできる、という理屈にならんか？
お前、クレジットカードの喩えも全く理解できてないじゃないか

偽札作りで生体情報収集機に相当するのは、スキャナだ
スキャナのおかげで偽札作りは簡単にできてるのは、周知のとおり

>　まあ確かに、93程度のセキュリティ技術なら、社会は必要としないわな。
残念、93が最上ですから

>>85
>　ハッシュ関数の種類が特定できる時点で、データもコードも見放題、つうことだろ？

>>95
>　プログラム領域とデータ領域のアクセス権を分けるとか、いろいろやりかたはあるはずだが。
>　プログラムの実行とデータアクセスはできても、プログラムの読み書きはできないとかな。

痛杉

>>86には答えてくれないの？

>>101

＞銀行って何のために存在してると思う？
他人の口座をどうこうできるというのは大問題だが、
それより大きな問題はあり得るという指摘なんだが。
具体的例まで書いてあげたんだけど、違うと思う？

＞お前が間違った言い方したのは、おまえの責任
間違った言い方なんてしてませんが、なにか？
いまだに「種類」と言ったのは間違ってる、と言ってる？？

＞ところが、読めない情報はハッシュに使えないって基本を見落としてて、悲惨
なにか問題でも？
俺なら、ハッシュデータとプログラムを同時に読む事ができなくて、
かつ、ちゃんと動くプログラム、組めそうだけどな。
プロセス間通信使ったら終わりじゃん。

＞偽札作りで生体情報収集機に相当するのは、スキャナだ
あんたの理屈で行くとさ。両替機のシステムが解析できるはずだから、
より両替機に特化した偽札が、もっとボロボロ出てそうなものじゃん。
お札と偽札を見分ける機構そのものが、何万とコピー配られてんだからね。
でも現実には、偽札作りに使われるのは、あくまで汎用スキャナなんよな。

で、つくってる人に聞いたら、あんまりおおっぴらに言えないけど
（言うと破るヒントになるから）いろいろがんばってるんだって。

余談だが、偽札への関与はスキャナだけじゃないわな。
印刷技術の向上とコストダウンが大きい。

>>102

だからさ。
ふつーはさ、プログラム領域の方がデータ領域よりもセキュリティ高くしてんだろ。
ハッシュの種類を特定される時点でプログラム領域の読み込みを突破された可能性高い、ってことじゃん。
そこまで突破されてるってことは．．って、わかってんのかなあ。


とりあえず、93が最上らしいですが、ほんとなんすかね。

>>104
>それより大きな問題はあり得るという指摘なんだが。
ない

>俺なら、ハッシュデータとプログラムを同時に読む事ができなくて、
>かつ、ちゃんと動くプログラム、組めそうだけどな。
>プロセス間通信使ったら終わりじゃん。
ハッシュするプログラムの側からは、すべてのデータがアクセス可能

>あんたの理屈で行くとさ。両替機のシステムが解析できるはずだから、
それ、お前の思い込み
というか、悪い店や店員が何を使って客をどう騙すか、何も理解できてないな

>ふつーはさ、プログラム領域の方がデータ領域よりもセキュリティ高くしてんだろ。
ﾌﾟｯ

お前、もういいよ

>>105
＞ない
まあ、あんたがそういうならそれでいいよ。

＞ハッシュするプログラムの側からは、すべてのデータがアクセス可能
プログラムがデータにアクセス可能、というのと、
プログラムのコードが読める、というのは、別問題、でいいよね？？
ハッシュの仕方をデータとして外部に持つのではなく、コードの中に埋め込んじゃえば、
（87の例で言えば、prefix・suffixをプログラムの中に埋め込んでしまえば）
プログラムのコードが読めない限り、解析できない（もしくは困難）のはず、だと思うんだけど。
間違ってるかな？

＞というか、悪い店や店員が何を使って客をどう騙すか、何も理解できてないな
この話とは無関係だと思ってるよ。

＞お前、もういいよ
ま、いいけどさ。

数カ月前の話だし既存のパターンを偽造する話でもない。無駄なスレ

中国様がこのニュースに関心を抱きマスタよ

>>93
>「社会はセキュリティ技術になど頼っては居ない」のだよ

自己レスだが、最近の例だとこんなのがあるな

【金融】金融庁が東京三菱に業務改善命令。派遣社員が９億円以上の顧客預金着服
http://news19.2ch.net/test/read.cgi/newsplus/1125038986/

これで、東京三菱が「セキュリティ強化のためにバイオメトリクス導入」とかしたら、笑うぞ
派遣社員はバイオメトリクス認証をパスできるからな

明らかな解決策は、派遣に頼るのをやめて正社員にすることだ
で、重要な権限は、正社員のうちでも安定した家庭を持つ奴にしか与えない

「（養子でもいいから）子供三人以上」とかを昇進の条件にしたら、少子化対策にもなるな

＞正社員のうちでも安定した家庭を持つ奴にしか与えない
これの根拠は？
脅迫されたってやることは同じだよ。

>>109
あのさ。セキュリティ技術に対して、むしろ変な方向に期待を持ってるんじゃないのか？

>>111
同意

【金融】金融庁が東京三菱に業務改善命令。派遣社員が９億円以上の顧客預金着服
http://news19.2ch.net/test/read.cgi/newsplus/1125038986/343
>派遣社員を１２年も派遣のままで働かせるのか。。。
>しかも「渉外担当」って、いわゆる26業種に入らないし。
>
>違法派遣について誰も突っ込まないのが奇妙

セキュリティ技術とかいう問題ではないな

大根でいいならﾁﾝｺでも認証できそうだな

＞だいたい生物てのは、排他的であり「喰うか喰われるか」が基本。
はい５０点。もうひとつ「共生」つー基本戦略があるよ。
なんせ、人間そのものが、細胞内共生や腸内細菌など、何百兆の共生のたまものやけんね。

誤爆すまそ。

この結果から更に「照合データの埋め込み」まで後に成功すると仮定して、
そうなると掌や手の甲は、指に対してこれまで（機器コストから）不利と思われていた
「物理的大きさ」をアドバンテージにすることも出来るかもな

指くらいなら持ち込めても、偽造掌や切断してきた掌じゃいくらなんでも怪しくて仕方ない

まぁ、それ以前に切断した指だの掌だのを持ち出すのは既に
「違う段階の事件が起きた結果」なので、セキュリティだけで論じる話じゃないなｗ
生きてる本人だって脅されて金降ろさせられれば生体も暗証番号も関係ないし

>>117
>「違う段階の事件が起きた結果」
大根くらい、泥棒して事件にするまでもなく八百屋で買うと思うが？

>>118
違う段階の事件てのは
>切断した指だの掌だのを持ち出す
ケースのことだと断っているじゃないか

掌サイズの大根ベース造形品を作るのも難しそうだが

　　　　　 ／￣￣￣￣￣￣ ＼
/⌒ヽ　 /　''''''　　　　　''''''　　　ヽ
| 　/ 　 |　（●）,　　　､（●）　　　|
|　|　 　|　　　 ,,ﾉ(､_, )ヽ､,,　　　　 |
|　|　 　|　　　 ｀-=ﾆ=- '　　　　　 |　　
| ｜　　 ! 　　　 ｀ﾆﾆ´　　　　　　.!　　刺客じゃ、これも刺客の仕業じゃ！
| /　　　 ＼ ＿＿＿_＿＿＿ ／
| |　　　　///／Ｗ＼ヽヽヽヽ＼
| |　　　////ＷＷＷヽヽヽヽヽヽヽ
| |　　////ＷＷＷＷヽヽヽヽヽヽヽ
Ｅ⊂////ＷＷＷＷＷヽヽヽヽヽヽヽ
Ｅ／///　　　　　　　　　ヽヽヽヽヽヽヽ
| |　 //ＷＷＷＷＷＷＷヽヽヽヽヽヽヽ

>>119
つ【桜島大根】

>>109
>これで、東京三菱が「セキュリティ強化のためにバイオメトリクス導入」とかしたら、笑うぞ
>派遣社員はバイオメトリクス認証をパスできるからな
通常は権限を付与するんだが....

>>114
・熱かったり寒かったりで収縮したり、弛緩したりするから無理くね？
・センサーをどんな形にするんだ？マンコ型？感染症怖くね？
　認証エラーは切断？＜コウェ〜(((( ；ﾟДﾟ)))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ
・ってか女は？

【大発見】ミクロネシアで海洋生活に適応した類人猿の化石を発見 足がヒレ状に進化 進化論に新たな波か【人魚？】（画像有）

ネ大考古学教授Ｎ．ゴードン氏がミクロネシア連邦のコスラエ島の岩場で海洋生活に適応した類人猿の化石を多数発見した。手には指が確認できるが、脚はアシカのように水中で活動しやすいように変形していた。

詳しくはこちら↓
http://news18.2ch.net/test/read.cgi/news7/1124359012/

>>34
網膜は、光の明暗によって虹彩が動く事も読み取っているので、静止画では不可

>>38
血管なので、血液が通ってないと形状が違う。
なので　生体でないと読み取り不可。

この実験は、同じものを人ではないもので試した結果受け付けてしまったわけで、
コピーが取れるというわけでもない。

>>125
>血管なので、血液が通ってないと形状が違う。
>なので　生体でないと読み取り不可。
その程度で安易に「不可」などと断言するあたり、ずぶのど素人か、現場を全く知らない
セキュリティ理論の研究者とみた

小型ポンプつないで適当な液体（本物の血液も可）を循環させとけば、ええやん
脈動もさせて

>>123
何をいまさら
ただのダゴンの使徒だろ

肛門のひだ認証でええやん。
センサー棒を挿し込んでキュッと締めると認証されるの。

>>122
女は膣内壁認証。センサーはもちろん(ry

ATMの待ち行列の長さがギネスに乗りました。

>>126
毛細血管いっぽんいっぽんににポンプをつなぐのが一仕事だし、
うまくやらないとすぐ血液が凝固しそうだな。
読み取り不可能とは言わんが、それなりに敷居は高そうだ。

>>130
毛細血管？
動脈と静脈2~3本でいいだろ

血液凝固には、ヘパリンだし

ハッカー教授

この教授も、この記事を書いた奴も馬鹿だろ。

のだめﾀｿが千秋にガンガン突かれて絶叫しながらイッちゃう画像ｷﾎﾞﾝﾇ！！

誤爆ｽﾏｿ。。。

どんなに巧妙に作ろうが、ポンプつないだ手首をATMで持ち出したら
（隠してても動きとか）不自然極まりないぞ
どんなにポンプ小型化しても手首自体の大きさも結構なもんだ

苦労した上に期待しうる報酬に対してリスクが大きすぎないか

>>134
誤爆にレスするのもアレだがそれは原作的に想像つかないシチュだな。

>>131
＞毛細血管？
＞動脈と静脈2〜3本でいいだろ
あ、そっか、掌だとそんなもんか？　指だとも少し面倒か？？　おしえてえろいひと。

どのみち、すぐに劣化しそうだし、一発勝負にしか使えん技だな。
136の指摘通り、ＡＴＭから金おろすには実用的でないな。
００７の敵役が核爆弾の起爆に使うとか、そんなところか。

>>138
>どのみち、すぐに劣化しそうだし、一発勝負にしか使えん技だな。
生体情報にしろ生体そのものにしろ、入手したら犯行がばれる前に速攻で使うに決まってるじゃないか

>136の指摘通り、ＡＴＭから金おろすには実用的でないな。
なんか、必死で実用性を否定したいみたいだが、どうした？

手首は手首の大きさしかないんで最初から袖の中にいれとけばいいし、ポンプはベルトポーチに収納でいいぞ

銀行が「生体認証利用すれば一日あたり引き出し限度額が増える」とかバカなことやりそうで怖いよ

まあ、銀行も落ち度に対しては保障が必要になったから、
めちゃくちゃなことはできないでそ

１回あたりの引き出し限度がついているのは、防犯目的じゃなくて、ATMに補充するのが
面倒だからあるんだよ。

>>140
ワンマン頭取とか集団無責任体制とかだと、組織としての判断力はなくなり、何でもやっちゃう
バブルの頃に多くの銀行がどんなことやったか、思い出してみろ

>>141
>１回あたり
>１回あたり
>１回あたり

>>142
１日あたりの引き出し制限なんてあったか？

自分の所だと1回20万、1日500万と書いてあった。

それはともかく、システム寄りにいる人間の一部は
モノ自体を用意しなくても認証に必要なデータ
（札なら、本物の札でなくスキャンしたデータ、
　生体認証なら対象をスキャンして認証する直前のデータ）を
抜くことができればいくらでも悪用できそうだが、実際はどうなんだろう。

>>144
それやると「だれがやったか」特定されてしまう、つうのはあるかもな。

>>144
顧客データを握っているのは運用側の機関なので、開発側のシステムに詳しい人間がデータを取得するのは難しい。
顧客情報を扱うようなシステムにおいて開発と運用が同じ機関（組織）内ってのは無いような気がするね。
現実に起こった事件を見ても開発側の人間よりも運用側の人間による犯罪の方が多いと思う。
大体、内部の犯行というのはすぐばれる。

萌＆薫の痴女姉妹が千秋の精液を一滴残らず搾り取る画像ｷﾎﾞﾝﾇ！！

誤爆ｽﾏｿ。。。

国家機関が、他国の経済（信用）システムを混乱に陥れる目的で、
個人の生体データのデータベースを取得するとなれば、買収、スパイ行為にも
金や手間を惜しまず、取得データの解読や、悪用に、攻撃側の国の数理的な
エリートを投入できるだろう。そういうことまで想定した対策が必要では？

>>149
今現在運用されている公開鍵インフラの安全性を保つためには
ルート認証局のセキュリティは、当然>>149程度のことを想定して
設計・運用されてなければいけなくて、実際そうなっています。

>>150
>今現在運用されている公開鍵インフラの安全性を保つためには
>ルート認証局のセキュリティは、当然>>149程度のことを想定して
>設計・運用されてなければいけなくて
ここまでは、正しい

>実際そうなっています。
ここは、嘘

>>150
ｶﾞ━(ﾟДﾟ;)━ﾝ

間違えた

>>151
ｶﾞｶﾞ━━(ﾟДﾟ;)━━ﾝ

>>151
民間認証局なんか、おおっぴらに金で買っても、誰も文句いえないわけだしな

なんだ・・・
大根で人間の静脈の偽造に成功したのかと思った・・・

>>147-148
ﾜﾛﾀ

>>154
「売買されるのが嫌なら登録するな」って態度だからな。

【生体認証戦国時代】NTTグループが佐賀県庁の全職員端末に指紋認証システム導入　静脈認証に対抗？【個人情報】
http://news19.2ch.net/test/read.cgi/newsplus/1126919499/l50

>作ってから1週間経過した大根では、受け入れ率が98％に低下する。
このコメントは何だ？

>>158
詐欺師にだまされてまた税金がどぶにすてられてゆく、、、

だいこーん？！
なんじゃそりゃだいこん

すでに登録した人に、大根でなりすましができたらそりゃ大ニュースだが、
大根で登録して大根で認証できるのは、別に当たり前の事にしか思えないんだが...。

指紋認証が肉球で登録できた！って言ってるようなもんだからな。

いや、大根は登録出来ちゃいけないって言いたいんじゃないのか？？？

手や指が欠損してる人がこの手の認証システム使う場合は代用品使うしかない

一般人が脈動まで要求されるなら、代用品にも脈動が必要

結局判子とかわらない

かといって、その手の人が利用できないと、障害者差別
>>158は、どう対応するつもりなんだろうね？
肉球を配るのかね？

>>164
あまりリアリティを感じない話だなあ。
手の無い人は使えないからキーボードは障害者差別？
今のＡＴＭだって、暗証番号入力には指が必要だし、小人症の人なんかは背が届かなくて使えない。
それでも、いろいろがんばってるでしょ。目の見えない人のために点字案内をつけたり。

静脈認証を採用した上で、障害者対応することって、さほど難しくないと思うんだが。どうよ？

暗証番号と対応させて語るのなら
「記憶障害で番号を覚えられない人はどうすればサービスを利用できるのか」
が相当するのでは。

キーボード入力で例えるのなら、それこそ
「生きた人間の指先によるタイプしか受け付けないキーボードがあったとして
指のない人間はどうやって入力すればいいのか」
という問題が相当するのでは

あ、私は単純に
手のない人用に、静脈認証以外のATMを必ず各銀行・コンビニに配置すること
と法律で定めればいいと思います。たぶん無理でしょうけど。
何が未来の技術なんだか・・・

漏れには関係ない話だな

つうかそもそも手の無い人がどうやってオナニーするのか

age

この流れなら言える
ちんこの無い私はどうやって彼女に挿入すr

脅威の職人技・採血担当の看護士が患者の静脈を探って認証を突破！