「頭蓋骨の振動」を検知？XRヘッドセット認証の可能性

出典：Peter Horree via Alamy Stock Photo

バイオメトリック認証の次のフロンティアは、頭蓋骨の振動を利用することかもしれません。

先週、ラトガース大学が率いる研究チームが、拡張現実（XR）ヘッドセット対応の新しいバイオメトリック認証ソフトウェアを発表しました。XRはバーチャルリアリティ、オーグメンテッドリアリティ、ミックスドリアリティハードウェアの総称です。この技術は、没入型テクノロジーにデジタルID保護をもたらすことを目的としており、「重要な生命徴候により生成される頭蓋骨振動ハーモニクス」を追跡することで実現します。これについては研究概要に記載されています。

没入型テクノロジーはまだ消費者向けとしての未来とは見なされていませんが（MetaはメタバースのVR版から徐々に撤退しており、消費者向けVR全体から撤退する可能性もあります）、エンタープライズ分野ではXRを活用し続けています。エンジニアはXRを空間マッピングやその他の複雑な3D作業に使用し、航空宇宙企業は3Dトレーニング環境に使用しています。

そのため、XRをニッチなテクノロジーと見なす人もいるかもしれませんが、このような認証メカニズムは、XRを使用し、機密性の高い独自データや知的財産を保護する必要がある大規模組織では、まだ価値を持つ可能性があります。

ここでの大きな問題は、これが広範なIDおよび認証の状況にとって何を意味するかということです。セキュリティ企業は、パスワードからの移行、パスキー、多要素認証、バイオメトリクス技術、およびFIDOセキュリティキーへの移行を推し進めています。フィッシングの脅威は常に存在しますが、数年以内に高度な計算が広く利用されるようになった場合、耐量子暗号の時代がもたらすものについて懸念している組織もあります。

鍵は頭蓋骨内の振動

この新技術は「VitalID」と名付けられており、ユーザーの努力を必要とせず、XRヘッドセットの組み込みモーションセンサーに依存する認証システムとして機能します。つまり、完全にソフトウェアベースです。

VitalIDは、呼吸と心拍により頭蓋骨内で生成される「低周波機械振動」をキャプチャします。

「これらのハーモニクスは、各利用者の頭部と顔の構造に固有の特徴的なバイオメトリックシグネチャを持っています。このシステムはXRヘッドセットの組み込みモーションセンサーを使用してこれらの信号をキャプチャし、ハーモニック周波数間の比率から堅牢なバイオメトリック機能を抽出します」と研究概要に記載されています。「適応フィルタリング方法は運動による歪みを軽減し、注意ベースのディープラーニングモデルにより、ユーザーの努力や追加ハードウェアを必要とすることなく、XRセッション全体で高精度かつ継続的なユーザー認証を確保します。」

VitalIDに関して特許出願がなされており、ライセンス提供が進められています。また、このような特定のヘッドセットユースケース用の認証ツールとして提案されています。例えば、SDKレベルまたはOSレベルで使用できます。

バイオメトリクスの未来を予測する

非常に特定のニーズを対象としていますが、VitalIDは、過去のいくつかの同様の型破りなパスワードレスソリューションを連想させます。10年前、SkullConductはアイウェアコンピューターでのユーザー識別を頭蓋骨内の伝導を通じて解決することを目的としていました。一方、Nymi Bandはリストバンド認証器としてIT環境およびOT環境向けに販売されており、心電図（ECG）データを認証器として使用する機能が含まれています。

つまり、VitalIDはすべての認証の未来を対象とするものでも、以前のものを超えた前進でもないようです。これは主にヘッドセットに関連しており、ヘッドセットはシングルサインオン（SSO）、多要素認証、場合によっては生体認証アイトラッキング以外に多くの標準化された認証ツールを備えていません。現在のところ、FIDOベースの認証方法、SSO、パスキー、およびその他の実証済みのベストプラクティスに固執する方が良いでしょう。

ID認証企業Daonのプレジデント兼チーフプロダクトオフィサーであるラルフ・ロドリゲスは、Dark Readingに対し、同社はVitalIDのような様式を「非常に真摯に」受け止めていると述べています。これは、実際の利点がない別のバイオメトリックオプションを単に提供するのではなく、研究は「追加ハードウェアや明示的なユーザーアクションを必要とするのではなく、すでにコモディティXRヘッドセット上に存在するモーションセンサーを使用するパッシブで組み込まれた継続的認証シグナル」を提案しているためです。

VitalIDの考え方として正しいのは、IDおよび認証に含まれるすべてのものの全面的な代替ではなく、XRセッション内の継続性および再認証シグナルとすることです。IDおよび認証には、プルーフィング、アカウント復旧オプション、またはフィッシング耐性暗号が含まれます。これはより広い認証システムの一部として機能しますが、このような技術は没入型スペースでは特に価値があるかもしれないことを強調しました。

「この独自のカテゴリーの何らかのバージョンが、特にXRのような環境で、認証が1回限りのフロントドアイベントのままでいられない環境で、時間とともにますます必要になると考えています」とロドリゲスは述べています。「XRヘッドセットがエンタープライズアプリ、コラボレーションツール、金融サービス、ヘルスデータへのゲートウェイになるにつれて、問題は『開始時に誰がログインしたか？』から『同じく信頼できる人物がまだ存在しているか？』へとシフトします。ラトガース大学は明示的にこの方法で問題をフレーム化しており、そのフレーム化は正しいものです。」