指紋認証・顔認証のしくみとは? スマホはどう本人を見分ける?

身近なところでは

スマホを持ち上げて画面を見るだけで、ロックが外れます。指を置くだけで、支払いが済みます。iPhoneでは2013年にTouch ID(指紋)が、2017年にFace ID(顔)が登場しました。

一方で、指紋や顔の写真がスマホに残っていたり、メーカーに送られたりしないか、気になる人もいるでしょう。そっくりな人なら開けられるのでは、という疑問もあります。

生体認証とは: 体の特徴で本人を確かめる

本人を確かめる手がかりは、大きく3種類あります。知っているもの(PINやパスワード)、持っているもの(スマホなど)、そして体の特徴です。体の特徴を使って本人を確かめる方法を、生体認証と呼びます。3種類の組み合わせ方は「パスワードはなぜ破られる?」で説明しています。

パスワードとの大きな違いは、毎回まったく同じにはならないことです。指を置く角度や力、指の乾き具合で、読み取れる模様は少しずつ変わります。顔も、明るさや表情、眼鏡で見え方が変わります。そのため「完全に一致したか」ではなく、「どれくらい似ているか」で判断します。

似ている度合いを点数にして、決めた線を超えたら本人とみなします。この線を、しきい値と呼びます。しきい値をどこに置くかは、後の「2種類のまちがい」で見ます。

指紋を読むセンサ: 3つの方式

指先の皮膚には、細い線がもり上がった「山」が並んでいます。山と山の間は、少しへこんだ「谷」です。指紋センサは、この山と谷の並びを、細かい点の集まりとして読み取る半導体のチップです。読み取り方には、主に3つの方式があります。

静電容量式: 電気のたまり方の差を測る

センサの表面の下には、電気を通す小さな板がびっしり並んでいます。この板を電極と呼びます。指を置くと、山の部分は電極のすぐ近くに来ます。谷の部分は、それより少しだけ離れます。

電極と指の間には、電気をためる性質が生まれます。ためられる量を静電容量と呼び、近いほど大きくなります。そのため、山の下の電極は大きな値に、谷の下は小さな値になります。値を並べて濃淡にすると、指紋の模様が浮かび上がります。タッチパネルと同じ考え方で、くわしくは「タッチパネルはなぜ指に反応する?」で説明しています。

AppleのTouch IDは、この静電容量のしくみを使います。Appleによると、皮膚のいちばん外側の層より下から、細かい画像を読み取ります。

光学式: 画面の光で照らして撮る

画面の中に指を置く方式で多いのが、光学式です。スマホに多い有機ELの画面は、画面を作る小さな点(画素)の一つ一つが自分で光ります。指を置いた所を光らせると、光は指ではね返ります。山と谷では、はね返り方が違うので、明暗の模様ができます。

この光を、画面の下に置いた小さなカメラのセンサが受け取ります。光を電気に変えるしくみは、スマホのカメラのイメージセンサと同じです(「イメージセンサとは?」)。画面の下に置く指紋センサは、2018年ごろからスマホに載り始めました。

超音波式: 音のはね返りで形を測る

人の耳には聞こえない、高い音を超音波と呼びます。超音波式のセンサは、画面の下から指に向けて超音波を出し、はね返りを測ります。山は表面に触れていますが、谷との間にはわずかな空気のすき間があります。この違いで、音のはね返り方が変わります。

Qualcommの超音波式センサ「3D Sonic」は、2019年のSamsungのGalaxy S10シリーズに使われました。

顔を見分ける: 平らな画像と、立体の形

顔認証には、大きく2つのやり方があります。1つは、前面のふつうのカメラで撮った画像で比べる方法です。特別な部品がいらない反面、画像は平らです。写真や画面に映した顔と見分けるには、別の工夫が必要になります。

もう1つは、顔のでこぼこ、つまり立体の形まで測る方法です。AppleのFace IDは、こちらの方法です。iPhoneの前面の上部には、赤外線(人の目に見えない光)を使う部品がまとめて載っています。Appleはこれを、TrueDepthカメラと呼びます。

中心になる部品は3つです。顔全体を見えない光で照らす部品、見えない光の点をたくさん映し出す部品(ドットプロジェクタ)、それを撮る赤外線カメラです。Appleのサポートの説明では点は「数千個」、2017年のiPhone Xの発表では「3万個以上」でした。自分で照らすので、暗い場所でも使えます。

点を平らな壁に映すと、決まった並び方のまま写ります。顔に映すと、鼻のように出た所や目のくぼみで、点の位置が少しずつずれて写ります。このずれから、場所ごとの距離がわかります。こうして作る顔の「距離の地図」を、深度マップと呼びます。

立体の形がわかれば、平らな写真でだますのは難しくなります。Face IDは、深度マップと赤外線の画像を合わせて、顔の特徴を数字に直します。

しまうのは写真ではなく「特徴の数字」

登録のとき、スマホは指紋や顔の画像をそのまま保存しません。画像から、比べるのに必要な特徴だけを取り出し、数字の並びにします。この数字の並びを、テンプレートと呼びます。照合のときも、読んだ画像を同じように数字に直し、テンプレートと比べます。

指紋でよく使われる特徴は、山の線が途切れる点と、2本に分かれる点です。米国の国立標準技術研究所(NIST)の資料も、こうした点の位置と向きで照合する方法を説明しています。ただし、スマホの各社が実際にどんな特徴を使っているかは、多くが公開されていません。

AppleはTouch IDについて、保存するのは指紋の数学的な表現だけで、指の画像は保存しないとしています。保存したデータから元の指紋の画像を作り直すことはできない、というのがAppleの説明です。

ただし、特徴の数字なら安全、とは言い切れません。標準的な形式の特徴点のデータから、よく似た指紋の画像を作れたという研究(2007年)もあります。しかも指紋や顔は、パスワードと違って、漏れても取りかえがききません。そのため、特徴の数字も暗号化し、外に出さないように守ります。

しまう場所: チップの中の「守られた区画」

テンプレートの保管と照合は、スマホのチップの中に作られた特別な区画で行います。ふつうのアプリや、スマホ全体を動かす基本のソフト(OS)からは、中をのぞけないようにしてあります。iPhoneでは、この区画をSecure Enclave(セキュアエンクレーブ)と呼びます。

Appleの開発者向けの資料によると、Secure Enclaveは、ほかの部分から切り離されたセキュリティ用の計算回路です。指紋や顔を使うアプリが受け取るのは、成功か失敗かの答えだけです。指紋の画像などは、アプリには渡りません。

Secure Enclaveは、スマホの計算の中心となるチップの中にあります(2013年のiPhone 5sではA7)。チップの全体像は「スマホの中にはどんな半導体が入っている?」で紹介しています。

秘密をねらう攻撃は、ソフトを使うものだけではありません。電源の電圧を乱したり、チップを開けて中を調べたりする方法もあります。こうした物理的な攻撃に耐える性質を、耐タンパ性と呼びます。Appleは、Secure Enclaveの計算回路をわざと低めの速さで動かし、電源などを乱す攻撃から守ると説明しています。

Androidの公式の資料も、読み取った生の画像もテンプレートも、隔離された環境の外から見えてはならないと定めています。この環境の代表がTEEで、日本語では「信頼できる実行環境」と訳されます。

TEEを作るしくみとして広く使われているのが、ArmのTrustZoneです。1つのチップの中で、ふつうの世界と守られた世界を切り替えて使います。守られた世界のメモリには、ふつうの世界からは回路の働きで近づけません。

テンプレートを保存するときは、TEEだけが知る鍵で暗号化します。Androidの資料は、テンプレートのファイルを別の端末に移しても使えないようにすることも求めています。登録したデータは、その1台だけで意味を持つのです。鍵をしまう専用の部品の違いは「TPM・HSM・セキュアエレメントの違い」で比べています。

2種類のまちがい

生体認証のまちがいには、2つの種類があります。1つは、他人を本人だと判断してしまうことです。この割合を他人受入率と呼び、英語の頭文字でFARと書きます。

もう1つは、本人なのにはじいてしまうことです。この割合は本人拒否率(FRR)と呼びます。指を何度も置き直すことになるのは、本人拒否が起きているときです。しきい値を厳しくすると、他人受入率は下がり、本人拒否率は上がります。2つは引っぱり合う関係にあります。

本物の指や顔の代わりに、作り物でだまそうとする攻撃もあります。Androidは、他人受入率とは別に、作り物が通ってしまう割合(SAR)を試験で測っています。他人受入率は、無作為に選んだ他人が偶然通る率で、作り物への強さは表さないからです。この割合などで、生体認証を3つのクラスに分けます。いちばん強いのがクラス3です。

アプリは、受け付ける生体認証をクラス3だけに限ることができます。そのため機種によっては、顔認証でロックは外せても、一部のアプリでは使えないことがあります。

数字で見る

各社が公表している「他人がたまたま通る確率」と、PINを1回で当てられる確率を並べました。値はそれぞれの資料の2026年時点の記載によります。

Appleの値は、無作為に選んだ1人が偶然通る確率です。登録する指や容姿を増やすと、比べる相手が増えるので、確率は上がります。Appleは、双子やよく似たきょうだい、13歳未満の子どもでは、この確率が高くなると注意しています。子どもは、顔の特徴がまだ育ちきっていないことがあるためです。気になる場合はパスコードを使うよう、Appleは勧めています。

Androidの5万分の1は、どのクラスにも共通の目標です。クラスの違いは、主に作り物への強さで決まります。

PINの値は、数字をでたらめに選んだ場合の計算です。誕生日のように推測しやすいPINは、表よりずっと弱くなります。

失敗の回数にも上限があります。AppleはFace IDとTouch IDについて、照合に5回失敗するとパスコードを求めると定めています。他人が何度も試して、偶然を待つことはできないのです。

それでもPINやパスコードが必要な理由

生体認証を使うには、先にPINやパスコードを決める必要があります。生体認証はパスコードの代わりではありません。パスコードを毎回打つ手間を省く、近道なのです。

理由の1つ目は、生体認証が使えない場面があることです。指がぬれている、けがをした、顔の前に物がある、といった場合です。Appleは、次のような場合にもパスコードを求めると定めています。

• 電源を入れた直後や、再起動した後
• 48時間以上、ロックを解除していないとき
• 照合に5回失敗したとき
• パスコードを6日半(156時間)使っておらず、生体認証も4時間使っていないとき

2つ目は、データの暗号化です。スマホの中の写真やメッセージは、パスコードと結びついた鍵で暗号化されています(「暗号とは?」)。再起動の後に必ずパスコードを求めるのも、この守りの一部です。単純化して言えば、生体認証は、パスコードで一度開けた鍵を使い続けるための確認です。

3つ目は、指紋や顔は変えられないことです。漏れたときに取りかえられる手段を、別に持っておく必要があります。

パスキーとの関係: 指紋はサイトに送られない

パスワードの代わりに、パスキーでログインできるサービスが増えています。パスキーでは、スマホがサイトごとに秘密の鍵を作って持ちます。サイトに預けるのは、対になる公開用の鍵だけです。このしくみは公開鍵暗号にもとづいています。

ログインのとき、スマホは秘密の鍵で署名を作り、サイトに送ります。署名とは、その鍵を持つ端末にしか作れないしるしです(デジタル署名)。そして、秘密の鍵を使ってよいかを決めるのが、指紋や顔の照合です(PINなどでも代わりになります)。照合に合格すると、端末の中で鍵が使えるようになります。

業界団体のFIDOアライアンスは、生体の情報とその処理は端末の中にとどまり、サーバには送られないと説明しています。サーバにわかるのは、本人の確認が成功したということだけです。サイトから情報が盗まれても、そこに指紋や顔のデータはありません。

つまり、指紋や顔は「サイトに見せる証明書」ではなく、「自分の端末の鍵を開ける合図」です。

よくある誤解

もっと詳しく学ぶ

• パソコンやサーバのCPUで秘密を守る方式: エンクレーブ
• 電源を入れた瞬間から正しいソフトだけを動かす: セキュアブートと測定ブートの違い
• 鍵と署名の基本: 暗号とは? 共通鍵と公開鍵のしくみ
• 2種類のまちがいを数で確かめる: 混同行列の計算ツール