ITパスポート 令和6年度 問72：securityに関する問題

答えは c（b と c） です。

バイオメトリクス認証とは、その人の“体や体のクセ”そのものを鍵にして本人確認する方法のこと。

• b：キーボードを打つ速さやリズムのクセ → その人らしさが出る → 体のクセなのでバイオメトリクス。
• c：手書きのときの筆跡・筆圧・書く速さ → これもその人特有のクセ → バイオメトリクス。

👉 覚え方：バイオ＝「体・体のクセ」を鍵にする。

一方 a は歪んだ文字を読ませるテスト（人間かロボットかを見分ける仕組み）、d は決められた点をなぞる“合言葉”のようなもの。どちらも“体のクセ”ではないのでバイオメトリクスではありません。だから b と c の組み合わせ＝c が答えです。

なぜこれが正解か

正解は c（b, c）。バイオメトリクス（生体）認証は、身体的特徴や行動的特徴という“本人固有の特性”で認証する方式。

• b 打鍵の速度・タイミングのクセ＝キーストロークダイナミクス（行動的生体認証）。
• c 筆跡・筆圧・運筆速度＝署名（サイン）認証（行動的生体認証）。

この2つが該当する。

該当しない選択肢

• a 歪んだ文字列を読ませて入力させる＝CAPTCHA。人間とプログラムを判別する仕組みで、本人特定ではない。
• d 決められた順に点をなぞる＝パターン認証。本人が設定した「知識（合言葉）」による認証で生体ではない。

覚え方・ひっかけ注意

生体認証には「身体的特徴（指紋・顔・虹彩・静脈）」と「行動的特徴（声紋・署名・打鍵のクセ）」がある。bとcは後者。aのCAPTCHA、dのパターン認証は“生体”でない点を見抜くのがポイント。

理論的背景

バイオメトリクス認証（生体認証）はISO/IEC 19794シリーズで標準化されており、「本人のみが持つ生物学的・行動的特徴を認証根拠とする」手法である。生物学的特徴（Physiological Biometrics）には指紋・静脈・虹彩・顔・網膜・DNA等が含まれ、行動的特徴（Behavioral Biometrics）には本問で問われる「打鍵パターン（キーストロークダイナミクス）」「筆跡・筆圧・運筆速度（動的署名検証）」が含まれる。認証評価指標として、本人拒否率（FRR：False Rejection Rate）と他人受入率（FAR：False Acceptance Rate）があり、精度と利便性のトレードオフを表すEER（Equal Error Rate）で性能比較される。本問の正答cはbとcがともにバイオメトリクスに該当するが、選択肢aはCAPTCHA（人間とボットの区別）・選択肢dはジェスチャーパターン認証（PIN変形版）であり、どちらも生体特徴を利用しない。

実務での使われ方

スマートフォンの普及とともにFIDO（Fast IDentity Online）アライアンスが策定したFIDO2/WebAuthn規格が生体認証の標準フレームワークとなっている。デバイス上で生体情報を処理し（Authenticator）、サーバにはチャレンジ・レスポンスの検証のみを行う設計により、パスワードレス認証とフィッシング耐性を両立している。打鍵パターン認証（Keystroke Dynamics）は継続的認証（Continuous Authentication）の分野で活用されており、ログイン後もセッション中のタイピング行動を常時分析してなりすましを検知する。金融・政府機関ではパスワード＋生体認証の多要素認証（MFA）が義務化される傾向にあり、PCI DSS v4.0ではMFAの適用範囲が大幅に拡大されている。

試験での位置づけ

バイオメトリクス認証の識別はITパスポートの認証分野で毎年出題される頻出テーマ。本問のように「バイオメトリクスに該当するものを全て選ぶ」形式は判断力を問う難度の高い出題パターン。CAPTCHAはバイオメトリクスではない（人間であることを証明するが個人識別はしない）、ジェスチャーパターン認証はメモリベース認証（知識認証）の変形に過ぎないという点が識別ポイント。打鍵パターンと筆跡・筆圧は「本人固有の動作的特徴」として行動的バイオメトリクスに該当することを確認する。基本情報技術者（FE）ではFIDO2の認証フロー・公開鍵暗号とバイオメトリクスの組み合わせ・多要素認証の各要素（知識・所持・生体）の分類が問われる。

選択肢の発展補足

選択肢aのCAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）は人間とボットを区別するための挑戦（歪んだ文字認識・画像選択等）であり、本人確認ではなく種別確認（人間か機械か）を目的とする。個人を特定する能力を持たないため認証の3要素（知識・所持・生体）のいずれにも属さないという点も理解すること。選択肢dの「あらかじめ決められた点の順序をなぞる」パターンロックはAndroidスマートフォンで使われる画面ロック方式であり、「位置情報を覚える」記憶ベースの知識認証に分類される。動きがあっても本人固有の生理的・行動的特徴を測定していない点がバイオメトリクスとの決定的な差異。発展として、liveness detection（生体検知：指紋センサーへの人工指・顔認証への写真・3Dマスクでの突破を防ぐ技術）は将来の試験での出題可能性があり、PAD（Presentation Attack Detection）として標準化が進んでいる。