Hiromitsu Takagi@HiromitsuTakagi·13時間渋谷区eKYC住民票写し交付事案への見解: eKYCはCAPTCHA同様に不完全な技術であり、どこまでやってもイタチごっことなる機能である。それが銀行口座の開設に利用されるのは、犯収法の要請によるもので、eKYCが破られても預金者に被害は出ないからである。実際、送金に係る本人認証にeKYCは使われない。引用ツイート音喜多 駿(参議院議員 / 東京都選出)@otokita · 9月14日総務省が渋谷区の本人確認方式eKYC(AI顔認証による本人確認)を違法とした件につき確認しましたが、財務省管轄の納税課証明書は同システムの利用が認められており、完全に縦割りで矛盾した対応。一応「縦割り110番」に報告し、改善されなければ臨時国会で厳しく取り上げる。 https://city.shibuya.tokyo.jp/kusei/koho/hodo/message210910.html…1376480
Hiromitsu Takagi@HiromitsuTakagiそれに対して、住民票の写しは、それ自体が他の本人確認書類に使用される重要な文書であり、なりすました者に対して交付してしまう事態は、住民への被害が発生するものであって、役所側の被害にとどまるものではない。この点で銀行が口座開設で破られるリスクを前提に使うのとは、決定的に異っている。午後5:21 · 2021年9月14日·Twitter Web App149 件のリツイート1 件の引用ツイート178 件のいいね
Hiromitsu Takagi@HiromitsuTakagi·12時間返信先: @HiromitsuTakagiさんまた、渋谷区が主張する「空港の入国審査」で使われるものとは全く別の機能。空港のそれは、パスポート内に電子署名付きで事前登録された改竄不能な生体計測データとカメラ映像とを照合する顔認証機能であるのに対し、eKYCは任意の顔写真と顔映像を照合しているにすぎず、狭義の認証でさえない。1107113
Hiromitsu Takagi@HiromitsuTakagi·12時間CAPTCHAもそうであるように、不完全な技術をセキュリティ対策に用いることが許されるのは、①不完全性の突破が利用者の被害とならず、運営者にのみ不利益が生ずる(アカウント作成等)場合、②利用者の(落ち度による)被害(パスワードが弱いなど)を軽減する補助的な追加機能である場合に限られる。1101134
Hiromitsu Takagi@HiromitsuTakagi·12時間類例。e-Taxが「マイナンバーカード方式」と「ID・パスワード方式」を用意しながら、前者では利用可能な過去の申告記録の閲覧機能を後者で利用制限しているのは、弱い認証が突破された場合に利用者に被害が出る機能だから(申告自体はなりすまされてもさほどでないのに対し) https://e-tax.nta.go.jp/kojin/idpw.htm18390
Hiromitsu Takagi@HiromitsuTakagi·12時間それで許されるのだったら、eKYC自体も無しでいいわけでね。引用ツイート水色@mizuirot · 9月12日これにツッコミ入りまくってるけど、渋谷区の現制度では顔認証では本人であることの絶対的な証明までは行われない前提にも見える。送付先は現住所に絞られているし。 ただまあ、とにかく公共サービスでLINE使うのやめてほしいという思い https://city.shibuya.tokyo.jp/kusei/koho/hodo/message210910.html…このスレッドを表示35265
Hiromitsu Takagi@HiromitsuTakagi·7時間端的にはこう。 eKYCを使うのはアカウント開設時、身元確認用途、不完全でも許容。アカウント接続時の当人認証には用いない。 基礎自治体の行政サービスでは、アカウント開設の段階がない。生誕時から開設されていて、それに接続することになるサービスでは要当人認証。引用ツイートHiromitsu Takagi@HiromitsuTakagi · 13時間渋谷区eKYC住民票写し交付事案への見解: eKYCはCAPTCHA同様に不完全な技術であり、どこまでやってもイタチごっことなる機能である。それが銀行口座の開設に利用されるのは、犯収法の要請によるもので、eKYCが破られても預金者に被害は出ないからである。実際、送金に係る本人認証にeKYCは使われない。 twitter.com/otokita/status…このスレッドを表示94122
Hiromitsu Takagi@HiromitsuTakagi·3時間ちなみに、第三世界諸国の例に見る市民の生体計測データを行政が登録管理する方式では、サーバ問い合わせによる照合で狭義の認証が実現されるわけだ(本件ではそのような認証が行われていない)が、西側諸国の自由主義社会は歴史的にその方式を望んでいない。生体計測認証は端末ローカルでのみ使用。14441
Hiromitsu Takagi@HiromitsuTakagi·3時間そういう意味でeKYCは認証ですらないわけであり、写真付き身分証明書の写真部分を攻撃者の顔写真に画像上で差し替えるだけで、身分証に記載の氏名の人物になりすますことが容易に可能で、防ぐことはできそうにもないから、認証たり得ない。あくまで犯収法の慣習に過ぎない。引用ツイートHiromitsu Takagi@HiromitsuTakagi · 12時間また、渋谷区が主張する「空港の入国審査」で使われるものとは全く別の機能。空港のそれは、パスポート内に電子署名付きで事前登録された改竄不能な生体計測データとカメラ映像とを照合する顔認証機能であるのに対し、eKYCは任意の顔写真と顔映像を照合しているにすぎず、狭義の認証でさえない。このスレッドを表示17167
Hiromitsu Takagi@HiromitsuTakagi·3時間パスポートもそうだけど、運転免許証のICチップに記憶されている顔写真データを読み取って(公安委員会?の署名を検証して)カメラ映像と照合する(その結果をサーバに確実に届ける)アプリは実現できるのかな?(その場合には認証機能と言える。)引用ツイートHiromitsu Takagi@HiromitsuTakagi · 3時間そういう意味でeKYCは認証ですらないわけであり、写真付き身分証明書の写真部分を攻撃者の顔写真に画像上で差し替えるだけで、身分証に記載の氏名の人物になりすますことが容易に可能で、防ぐことはできそうにもないから、認証たり得ない。あくまで犯収法の慣習に過ぎない。 https://twitter.com/HiromitsuTakagi/status/1437844858320740352…このスレッドを表示13126