Scribble at 2026-03-02 10:29:42 Last modified: 2026-03-02 10:45:00

この論説は、Wanzeng Kong and Xuanyu Jin, Brain Fingerprint Identification (https://link.springer.com/book/10.1007/978-981-96-4512-1, Springer Nature, 2025) の冒頭に掲載されている概論だ。

この文章では、まず指紋、顔認証、虹彩スキャンといった従来の生体認証システムの進化と、それらが抱える物理的な偽造の容易さやセキュリティ上の限界について詳しく論じられている。その上で、脳波（EEG）を用いた個人識別技術である「脳指紋（Brain Fingerprint）」の優位性が紹介されている。脳指紋は、われわれ個々人に固有の神経活動パターンに基づくため、偽造が極めて困難であり、高い秘匿性と堅牢なセキュリティを実現できる点が大きな特徴だという。

また、具体的な識別手法として、安静時の脳波計測（開眼および閉眼状態）を用いたモデルの基礎が解説されており、従来の単一タスクに基づく識別手法が抱えていた精度の不安定さをいかに克服するかが示されている。本章は、以降の章で展開される深層学習やマルチタスク学習を用いた高度な識別アルゴリズムに向けた理論的背景を整理しており、脳波バイオメトリクスの実用化に向けた課題と展望を網羅的に提示する導入の役割を果たしている。

で、僕が従来からこの手の生体認証について言っていることとして、偽陽性の場合にどうやって本人が正当に訂正できるのかという問題がある。たとえば指紋認証の場合だと、指紋のパターンを登録した指を怪我してしまい、センサーにうまく通せなくなっている場合に、指紋認証しか認証方法がないデバイスにはアクセス不能となってしまい、情報セキュリティが維持するべき可用性が失われる。しかるに、多くの場合に代替の認証手段が用意されていて、Windows へログインするのにパス・キーを使った顔認証が通らないときは、SMS を使ったり、あるいは Google のように YouTube を起動するといった、妙な方法をとる場合もある。だが、これらのバックアップとなる認証方法が脆弱だと、メインの認証方法がどれほど強力でも簡単に迂回されてしまうというリスクがある。かといって、修正や取り消しが簡単ではない生体認証だけを認証方法として使われると、運用上のトラブルが起きやすいのが現実だ。かつて、10年以上は前のことだが、JR 福島の近くにあった関西電力系のデータ・センターは指紋認証しか使っておらず、なんどセンサーを使っても認証が通らないという経験をして難儀したことがある。

これには、もちろん現在の FIDO などもキャンセル可能な認証情報を運用することで対応している。簡単に言えば、認証システムの側はハッシュ値だけをもち、これが漏洩した場合にはハッシュ値を計算する方式や seed / salt など変更すれば、別のハッシュ値を認証情報として使えるようになるというわけだ。しかし、これでも不十分ではある。なぜなら、そもそも僕ら自身がハッシュ値をつくるときに利用した脳波の測定値そのものが奪われる可能性だってあるからだ。これはすでに笑い話となっているが、かつてタバコの自販機で顔認証による年齢判定というシステムが導入されたときに、子供が大人の写真をお面のように被っていても認証を通過したという事例があったり、酷い場合は漫画のキャラのお面でタバコが買えたなどという事例すらあったと聞く。このように、認証システムへ渡すまでのあいだに生体情報をなりすましされたり奪われる可能性がある以上は、交換不能のソースを使う認証システムは厳格過ぎるという問題が残る。

で、このようなリスクに対しては、たとえばスマートフォンで指紋を登録するときに、指紋のセンサーと直結した回路でハッシュ化し、途中の経路で奪われるリスクを最小限にするような、いわゆる「信頼できる実行環境 (trusted execution environment)」という回路でハッシュ化するというアプローチが採用されている。だが、これについても幾つかのリスクが残っていて、その一つがサイド・チャネル攻撃だ。これは回路で処理する際には電気的な反応が必ず起きるので、その際に放射される微弱な電磁波のパターンから、処理されているデータのバイナリ・パターンを AI で推定させるという手法が考えられる。このように、情報セキュリティは次々と対策をかいくぐる手法が開発される、妙な言い方かもしれないが「クリエーティブな」分野なのだ。