最近のスマートフォンには指紋認証機能がついていて、非常に便利にロック解除やモバイルペイメントを済ますことができる。しかしAndroidユーザは要注意！Androidで指紋認識機能を使う利害について、よく考えておいた方がいい。これは冗談でも脅しでも何でもない、事実なのだ。以下は中国のニュースサイトiFanrの記事で紹介されていたものだ。

最近騒がれなくなった指紋認証テクノロジーのセキュリティ

指紋認識テクノロジーがスマートフォンで使われ出した頃、多くの人がこのような問題を提起した。パスワードが盗まれ、または改竄され、指紋が盗まれた場合は、ユーザ自身が指紋を変えるわけにはいかないじゃないか、というものだ。しかしますます多くのメーカーがスマートフォンに指紋認証機能を搭載していくにつれ、この問題提起はされなくなっていった。

Androidは指紋データを盗み出される可能性が高い

ZDNetの報道によると、ここ数日、ラスベガスで行われているブラックハットカンファレンス（Black Hat conference）において、FireEyeの研究者Yulong Zhang と Tao Wei が”指紋センサーの監視と攻撃”方法を紹介し、どうやってユーザがAndroid上で保存した指紋の情報を盗み出すかについてデモンストレーションを行った。それによれば、Androidは完全に指紋センサーを独立したものとしておらずロックし切れていないため、ハッカー達はリモート操作でユーザがスマホ内に保存している指紋を盗み取ることができてしまう。もしあなたがAndroidをroot化していたら、指紋が盗み出されるリスクは更に高くなる。

指紋が盗まれる可能性があるのはSAMSUNG、HTC、ファーウェイ・・・だけじゃなく全てのAndroid、そしてスマホだけじゃない！

現在指紋を盗まれる対象となっているのはSAMSUNG、HTCとファーウェイ（HUAWEI、華為）だ。研究者達は今回の攻撃デモンストレーションをHTC One MaxとSAMSUNG Galaxy S5上で行い、この2つのスマートフォンは見事に指紋画像を盗み出されてしまった。もしあなたが使っているAndroidデバイスがこの3つのメーカーのものでなかったとしても喜ぶのはまだ早い。実は指紋を盗まれる可能性のあるAndroidデバイスメーカーはこの3つだけではなく、しかもこの指紋窃取はスマートフォンだけではなく、指紋認証センサーを備えたタブレットやハイエンドなノートパソコンにも応用できてしまうという。

指紋情報を盗まれるとどうなる？

この指紋データ（画像）が盗み出されてしまうと、ハッカー達はその情報を使ってスマートフォンやパソコンのロックを解除でき、それだけではなく指紋認証機能を使ってモバイルペイメントによる支払いもできてしまうという。

そして更に怖い事実が背後に控えている。上記のロック解除やモバイルペイメントに使われるのはかわいいほうで、個人情報の漏洩や資産の損失に繋がったら大事だ。そして更にあなたの指紋情報がイミグレーションにおける指紋認証や警察の犯罪記録に用いられたとしたら。。この問題の重大性は更に大きくなるのはわかるだろう。

各メーカーはパッチで対応、システムとパッチは最新のものを

ただ、上記のZDNetによれば、指紋が窃取される可能性があるスマホメーカー達は既に上記の研究者達の警告を受け取っており、一部のメーカーは既にパッチをリリースしているとのこと。つまり、今Androidで指紋認証機能を使っているあなたがしなければならないのは自身の指紋を切り替えることではなく、あなたのAndroidデバイス上で新しいシステムアップデート或いはセキュリティパッチが来ていないかを確認すること、そしてアプリをちゃんと安全を保証されたところ（例えばGoogle Playストア）でダウンロードすることだ。

iPhone・iPadは安全、但し非脱獄（入獄）デバイスに限る

研究者達は更に我らがAppleのiPhone（iOSのTouch IDデバイス）について触れている。彼らはiPhoneはユーザの指紋情報の防護措置は非常によくやっていると評価しており、iPhone・iPad内に保存された指紋情報は安全なところに保存されているという。ということで、AppleユーザでTouch IDを使用している人は安心して指紋認証機能を使ってよい。ただし、脱獄していないことが条件だ。

画蛇添足 One more thing…

iPhoneが安全とのことでほっと胸をなで下ろした人も多いだろう。なぜならAppleは一昨年初めてTouch IDが搭載されたiPhone 5sの発表イベントで、Touch IDの安全性を強調していたように、Touch IDの情報は完全に独立したチップの中に保存されており、普通にはアクセスできないからだ。ただし、それも脱獄していると話は別のようだ。

当ブログでもテーマの1つとしてとりあげているiOS脱獄。そのデメリットの一つがデバイスがセキュリティ的に弱くなるということだ。今回の指紋窃取の影響を受けるのも間違いない。

ただ脱獄デバイスも、基本的にセキュリティが保証されていないWi-Fi（パスワードがなかったり公共向けに公開されたアクセスポイント）に繋いだり、または怪しいリポジトリから怪しい脱獄Tweakをダウンロードして使わなければそれほど大きな問題はないと思われる。もちろん、OpenSSHは切っておくこと、そしてrootやmobileのパスワードを変更しておくなど基本的なセキュリティ対策は必要だ。

記事は以上。

（記事情報元：iFanr）