DUOLABS
ポートフォリオ

生体認証セキュリティモジュール

銀行アプリで公認認証書を呼び出したりパスワードを入力したりせず、指紋認証一回でログインから口座振込までを済ませられる生体認証セキュリティライブラリを作りました。スマートフォンに指紋センサーが載り始めた頃で、国際標準と研究陣の参照コードを読み解いてアプリ用に移し、銀行サービスの検収要件に合わせる作業がほとんどでした。認証を扱う部品なので、一つの段階がずれると本人ではない人が認証を通る恐れがあります。画面を持たずロジックだけのライブラリとして設計して複数のバンキングサービスに組み込めるようにし、別プラットフォーム版と同じ標準フローで動くよう合わせました。

Launch
2015
Client
韓国の大手銀行
Type
銀行・認証

01 / 04

パスワードの代わりに指紋で開くログインと振込

銀行アプリの生体認証は、公認認証書を呼び出したりパスワードを入力したりせず、指紋認証一回でログインから口座振込の承認までを済ませる方式です。スマートフォンに指紋センサーが初めて載り始めた時期で、端末やプラットフォームごとに対応範囲と例外の状況が異なりました。対応範囲と例外を一つずつ確かめながら、認証の流れが安定して続くことに集中しました。

パスワードの代わりに指紋で開くログインと振込
02 / 04

指紋を保存せず、鍵で確かめる認証フロー

生体認証セキュリティライブラリは、指紋のような生体情報を直接保存しません。指紋の照合はスマートフォンの中で完結し、銀行側には指紋ではなく認証結果だけが渡ります。その認証結果は公開鍵と秘密鍵を使う非対称暗号で検証し、そこに一方向ハッシュを加えてセキュリティフローを組みました。本人確認の根拠が指紋そのものではなく鍵であることが、この構造の中心です。

指紋を保存せず、鍵で確かめる認証フロー
03 / 04

標準文書と参照コードを銀行アプリに合わせた実装

生体認証の流れは、国際標準が定めた順序に従います。研究陣が提供した参照コードを分析してアプリ用ライブラリに移し、別プラットフォーム版と同じ標準フローで動くよう実装の違いを合わせました。博士研究陣や銀行の担当者と標準の解釈を一緒に確かめ、実際の銀行サービスに載せるための制約と検収要件を反映しました。

標準文書と参照コードを銀行アプリに合わせた実装
04 / 04

画面を持たず、どのバンキングサービスにも組み込めるセキュリティ部品

生体認証ライブラリは画面を持たずロジックだけで構成され、コードの99%以上が認証処理です。複数のバンキングサービスに移して組み込めるよう、外から呼び出す窓口と内側の処理の流れを分けて設計しました。各サービスは自分の画面をそのまま残し、認証の部分だけをこのライブラリに任せます。

画面を持たず、どのバンキングサービスにも組み込めるセキュリティ部品

この仕事のポイント

01

指紋を保存せず、鍵で確かめる生体認証

02

公開鍵・秘密鍵の暗号化と一方向ハッシュを使った検証フロー

03

画面を持たず複数のバンキングサービスに組み込めるセキュリティライブラリ

インサイト

ブログをすべて見る