(57)【要約】【課題】ユーザが持つ画像から選ばれた正解画像を用いてユーザを認証する方式よりも、第三者に破られにくい認証を提供する。【解決手段】公開情報収集部１５は、ユーザがＳＮＳ等に公開した記事や画像を収集する。正解候補選出部１７は、カメラ等の画像入力部１０から入力された画像のうち、ユーザが公開した画像と同じ画像や極めて類似した画像、公開した記事の内容に関連の強い画像を除いた残りの画像を、正解候補として正解候補記憶部１９に格納する。認証処理部２０は、正解候補記憶部１９内の正解候補群から選んだ正解画像と、囮画像ソースから選択した囮画像群とを表示した認証画面をユーザに提示する。ユーザがその認証画面から正解画像を選べれば、認証が成功する。【選択図】図１
2020052509.tif 000002
【特許請求の範囲】
【請求項１】
ユーザが持つ画像群のうちの前記ユーザの公開情報に対応する画像を含まない画像からなる候補集合から選択した１以上の正解画像と、前記１以上の正解画像以外の１以上の不正解画像とからなる複数の画像を表示する表示手段と、
表示された前記複数の画像から前記ユーザが少なくとも１以上の前記正解画像を選択することにより前記ユーザの認証を行う画像認証手段と、
を含む情報処理装置。
【請求項２】
前記ユーザが公開した公開情報を収集する収集手段と、
前記ユーザが持つ画像群のうち、前記ユーザが持つ画像群から前記収集手段により収集された前記公開情報に対応する画像を含まない前記候補集合を生成する候補集合生成手段と、
を更に含む請求項１に記載の情報処理装置。
【請求項３】
前記収集手段は、ネットワークを通して外部に送信した情報のうち、不特定多数に閲覧された可能性がある情報を、公開情報として収集する、請求項２に記載の情報処理装置。
【請求項４】
前記収集手段は、前記ユーザがＳＮＳ（ソーシャル・ネットワーキング・サービス）に投稿した情報を前記公開情報として収集する、請求項２または３に記載の情報処理装置。
【請求項５】
前記収集手段は、前記ユーザがＳＮＳに投稿した情報であっても、当該情報に設定された公開範囲が所定の基準範囲より狭い場合には、当該情報を前記公開情報として収集しない、請求項４に記載の情報処理装置。
【請求項６】
前記公開情報から前記ユーザの関心分野を特定する手段と、
前記ユーザが持つ画像群のうち、前記関心分野に該当する画像を含まない前記候補集合を生成する候補集合生成手段と、
を更に含む請求項１〜５のいずれか１項に記載の情報処理装置。
【請求項７】
前記ユーザが公開した公開画像を収集する公開画像収集手段と、
前記ユーザが持つ画像群のうち、前記公開画像収集手段により収集された前記公開画像と一致する画像と当該公開画像に対する画像類似度が閾値以上の画像とを含まない画像の集合を、前記候補集合として生成する候補集合生成手段と、
を更に含む請求項１に記載の情報処理装置。
【請求項８】
前記公開画像収集手段は、前記ユーザが持つ画像群の中で前記ユーザが外部に送信した画像のうち所定の公開基準を満たすものを、前記公開画像として収集する、請求項７に記載の情報処理装置。
【請求項９】
前記公開基準は、画像がＳＮＳに投稿されたことである、請求項８に記載の情報処理装置。
【請求項１０】
前記公開画像収集手段は、前記ユーザがＳＮＳに投稿した画像であっても、当該画像に設定された公開範囲が所定の基準範囲より狭い場合には、当該情報を前記公開画像として収集しない、請求項９に記載の情報処理装置。
【請求項１１】
前記画像が電子メールにより外部に送信されたものである場合、前記公開基準は、当該画像が含まれる電子メールの送信先の数が閾値以上であることである、請求項８に記載の情報処理装置。
【請求項１２】
前記画像が電子メールにより外部に送信されたものである場合、前記公開基準は、当該画像が含まれる電子メールの送信先に、当該ユーザに対応付けて予め登録された守秘範囲内の送信先以外の送信先が含まれることである、請求項８に記載の情報処理装置。
【請求項１３】
前記表示手段は、前記候補集合のうちの前記正解画像を除いた残りの画像群から選択した画像を前記不正解画像として表示する、ことを特徴とする請求項１〜１２のいずれか１項に記載の情報処理装置。
【請求項１４】
前記複数の画像に含まれる各画像の属性情報から、前記正解画像の前記属性情報は該当するが前記不正解画像の前記属性情報は該当しない認証設問を生成する手段、を更に含み、
前記表示手段は、前記複数の画像に対応付けて、生成された前記認証設問を表示する、
請求項１〜１３のいずれか１項に記載の情報処理装置。
【請求項１５】
前記画像の前記属性情報には、前記画像のファイルに含まれるメタデータ、前記画像に対する画像認識処理により得られる前記画像の内容を示す認識結果情報、前記画像が撮影された時に前記情報処理装置内のソフトウエアが検出していた情報、のうちの少なくとも一つが含まれる、請求項１４に記載の情報処理装置。
【請求項１６】
前記表示手段は、前記１以上の正解画像に対する画像類似度が所定閾値以上である画像は、前記不正解画像として選択しない、請求項１〜１５のいずれか１項に記載の情報処理装置。
【請求項１７】
前記候補集合に含まれる画像の数が閾値未満である場合に、前記画像認証手段による認証が利用不可能であることを示す案内画面をユーザに提示する案内画面提示手段、
を更に含む請求項１〜１６のいずれか１項に記載の情報処理装置。
【請求項１８】
画像以外の情報を用いて認証を行う１以上の非画像認証手段、を更に含み、
前記案内画面提示手段は、ユーザから前記情報処理装置の認証に用いる認証手段の選択が指示された場合に、前記案内画面として、前記１以上の非画像認証手段のうちの１以上を選択肢として含み、前記画像認証手段は選択不可である画面を表示する、
請求項１７に記載の情報処理装置。
【請求項１９】
前記案内画面には、新たな画像の取得を促す情報が更に表示される、請求項１７に記載の情報処理装置。
【請求項２０】
前記画像認証手段による前記認証が失敗し、前記ユーザに認証の再試行を行わせる場合、前記複数の画像を構成する前記正解画像及び前記不正解画像を別の正解画像および不正解画像の組み合わせに入れ替えて前記表示手段に表示させる制御を行う再試行制御手段を更に含む、請求項１〜１９のいずれか１項に記載の情報処理装置。
【請求項２１】
前記再試行制御手段が前記表示手段に表示させる前記複数の画像の画像数は、前回の認証の試行の際に前記表示手段に表示された前記複数の画像の画像数よりも多い、請求項２０に記載の情報処理装置。
【請求項２２】
前記再試行制御手段は、前記認証の連続した失敗の回数が閾値に達した場合に、前記情報処理装置を前記ユーザに対してロック状態に移行し、
前記連続した失敗の回数についての前記閾値は、前記情報処理装置が備える、画像以外の情報を用いて認証を行う非画像認証手段、による認証が連続して失敗した場合に前記ロック状態に移行する場合の連続した失敗の回数の閾値よりも低い値である、請求項２０又は２１に記載の情報処理装置。
【請求項２３】
コンピュータを、
ユーザが持つ画像群のうちの前記ユーザの公開情報に対応する画像を含まない画像からなる候補集合から選択した１以上の正解画像と、前記１以上の正解画像以外の１以上の不正解画像とからなる複数の画像を表示する表示手段、
表示された前記複数の画像から前記ユーザが少なくとも１以上の前記正解画像を選択することにより前記ユーザの認証を行う画像認証手段、
として機能させるためのプログラム。
【請求項２４】
情報処理装置とサーバとからなるシステムであり、
前記情報処理装置は、ユーザが持つ画像群のうちの前記ユーザの公開情報に対応する画像を含まない画像からなる候補集合から選択した１以上の正解画像と、前記１以上の正解画像以外の１以上の不正解画像とからなる複数の画像を表示する表示手段と、表示された前記複数の画像から前記ユーザが少なくとも１以上の前記正解画像を選択することにより前記ユーザの認証を行う画像認証手段と、を備え、
前記サーバは
前記ユーザが公開した公開情報を収集する収集手段と、
前記ユーザが持つ画像群のうち、前記ユーザが持つ画像群から前記収集手段により特定された前記公開情報に対応する画像含まない前記候補集合を生成する候補集合生成手段と、
を備える情報処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置、プログラム及び情報処理システムに関する。
【背景技術】
【０００２】
情報処理システムにおけるユーザ認証の方法には、大きく分けて、記憶（知識）による認証、所有物による認証、本人特徴による認証の３種類がある。記憶による認証は、ユーザのみが記憶している知識を入力させる方式であり、パスワード認証がその代表例である。所有物による認証は、システムに登録済の装置（例えばスマートフォン）やトークン（例えばＩＣカード）をユーザに提示させる方式である。本人特徴による認証は、指紋や顔等といった本人の身体特徴を読み取ることで認証を行う方式である。例えば、十分に強度が高いパスワードは長くなるためにユーザが忘れやすいなど、十分な性能を得るにはいずれの方式も一長一短がある。
【０００３】
近年、記憶による認証の一方式として、画像認証が普及しつつある。画像認証は、１以上の画像をユーザに提示し、提示した画像に関してユーザの知識に基づく操作を行うことで本人認証を行う方式である。代表的な画像認証方式の例として、ユーザが持つ１以上の正解画像をいくつかの囮画像（正解画像に該当しない画像）の中に混ぜて提示し、その中からユーザに正解画像を選ばせることで、ユーザ認証を行う。この種の認証を行うシステムの例として以下に示すものがある。
【０００４】
特許文献１に開示されたシステムは、認証対象である本人が固有に記憶している画像を本人情報として予め登録しておき、本人が固有に記憶していない画像を非本人情報として前記本人情報とともに表示し、これら本人情報と非本人情報とが混在する表示画面から前記本人情報のみを選択して入力したことを条件として本人と認定するに際して、前記本人情報と非本人情報とが混在する表示画面上で一定時間だけ当該画面を構成する複数の画像を画面内で移動させ、この画像が移動している時間のみ画像を選択して入力可能とした。
【０００５】
特許文献２に開示された認証システムは、複数の画像により本人認証を行う本人認証システムにおいて、被認証者の識別情報と、被認証者の行動履歴（移動履歴、クレジットカードによる購買履歴、ウェブサイトの閲覧履歴等）を取得して記憶する行動履歴記憶部と、上記行動履歴に対応する認証用画像（地点画像、店舗画像、商品画像、投稿画像等）を取得して格納する認証用画像記憶部と、行動履歴記憶部に記憶された行動履歴に対応した複数の認証用画像の組み合わせを抽出し、認証用画像とは異なる複数の虚偽画像を認証用画像と同時に被認証者の端末の認証画面に表示させる認証用画像生成部と、認証画面に表示された画像の選択を被認証者の端末から受け付けて、本人認証の可否を判定する本人認証部とを備える。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１５−５５９８９号公報
【特許文献２】特許第６０２１２６４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
ユーザが持つ画像の中には、ユーザの公開情報からそのユーザに関係する画像と推測可能なものも含まれ得る。そのような画像を正解画像とすると、第三者により認証が破られるリスクが無視できない。
【０００８】
本発明は、ユーザの公開情報から推測可能な画像を正解画像として認証する方式よりも、第三者により破られにくい認証を提供することを目的とする。
【課題を解決するための手段】
【０００９】
請求項１に係る発明は、ユーザが持つ画像群のうちの前記ユーザの公開情報に対応する画像を含まない画像からなる候補集合から選択した１以上の正解画像と、前記１以上の正解画像以外の１以上の不正解画像とからなる複数の画像を表示する表示手段と、表示された前記複数の画像から前記ユーザが少なくとも１以上の前記正解画像を選択することにより前記ユーザの認証を行う画像認証手段と、を含む情報処理装置である。
【００１０】
請求項２に係る発明は、前記ユーザが公開した公開情報を収集する収集手段と、前記ユーザが持つ画像群のうち、前記ユーザが持つ画像群から前記収集手段により収集された前記公開情報に対応する画像を含まない前記候補集合を生成する候補集合生成手段と、を更に含む請求項１に記載の情報処理装置である。
【００１１】
請求項３に係る発明は、前記収集手段は、ネットワークを通して外部に送信した情報のうち、不特定多数に閲覧された可能性がある情報を、公開情報として収集する、請求項２に記載の情報処理装置である。
【００１２】
請求項４に係る発明は、前記収集手段は、前記ユーザがＳＮＳ（ソーシャル・ネットワーキング・サービス）に投稿した情報を前記公開情報として収集する、請求項２または３に記載の情報処理装置である。
【００１３】
請求項５に係る発明は、前記収集手段は、前記ユーザがＳＮＳに投稿した情報であっても、当該情報に設定された公開範囲が所定の基準範囲より狭い場合には、当該情報を前記公開情報として収集しない、請求項４に記載の情報処理装置である。
【００１４】
請求項６に係る発明は、前記公開情報から前記ユーザの関心分野を特定する手段と、前記ユーザが持つ画像群のうち、前記関心分野に該当する画像を含まない前記候補集合を生成する候補集合生成手段と、を更に含む請求項１〜５のいずれか１項に記載の情報処理装置である。
【００１５】
請求項７に係る発明は、前記ユーザが公開した公開画像を収集する公開画像収集手段と、前記ユーザが持つ画像群のうち、前記公開画像収集手段により収集された前記公開画像と一致する画像と当該公開画像に対する画像類似度が閾値以上の画像とを含まない画像の集合を、前記候補集合として生成する候補集合生成手段と、を更に含む請求項１に記載の情報処理装置である。
【００１６】
請求項８に係る発明は、前記公開画像収集手段は、前記ユーザが持つ画像群の中で前記ユーザが外部に送信した画像のうち所定の公開基準を満たすものを、前記公開画像として収集する、請求項７に記載の情報処理装置である。
【００１７】
請求項９に係る発明は、前記公開基準は、画像がＳＮＳに投稿されたことである、請求項８に記載の情報処理装置である。
【００１８】
請求項１０に係る発明は、前記公開画像収集手段は、前記ユーザがＳＮＳに投稿した画像であっても、当該画像に設定された公開範囲が所定の基準範囲より狭い場合には、当該情報を前記公開画像として収集しない、請求項９に記載の情報処理装置である。
【００１９】
請求項１１に係る発明は、前記画像が電子メールにより外部に送信されたものである場合、前記公開基準は、当該画像が含まれる電子メールの送信先の数が閾値以上であることである、請求項８に記載の情報処理装置である。
【００２０】
請求項１２に係る発明は、前記画像が電子メールにより外部に送信されたものである場合、前記公開基準は、当該画像が含まれる電子メールの送信先に、当該ユーザに対応付けて予め登録された守秘範囲内の送信先以外の送信先が含まれることである、請求項８に記載の情報処理装置である。
【００２１】
請求項１３に係る発明は、前記表示手段は、前記候補集合のうちの前記正解画像を除いた残りの画像群から選択した画像を前記不正解画像として表示する、ことを特徴とする請求項１〜１２のいずれか１項に記載の情報処理装置である。
【００２２】
請求項１４に係る発明は、前記複数の画像に含まれる各画像の属性情報から、前記正解画像の前記属性情報は該当するが前記不正解画像の前記属性情報は該当しない認証設問を生成する手段、を更に含み、前記表示手段は、前記複数の画像に対応付けて、生成された前記認証設問を表示する、請求項１〜１３のいずれか１項に記載の情報処理装置である。
【００２３】
請求項１５に係る発明は、前記画像の前記属性情報には、前記画像のファイルに含まれるメタデータ、前記画像に対する画像認識処理により得られる前記画像の内容を示す認識結果情報、前記画像が撮影された時に前記情報処理装置内のソフトウエアが検出していた情報、のうちの少なくとも一つが含まれる、請求項１５に記載の情報処理装置である。
【００２４】
請求項１６に係る発明は、前記表示手段は、前記１以上の正解画像に対する画像類似度が所定閾値以上である画像は、前記不正解画像として選択しない、請求項１〜１５のいずれか１項に記載の情報処理装置である。
【００２５】
請求項１７に係る発明は、前記候補集合に含まれる画像の数が閾値未満である場合に、前記画像認証手段による認証が利用不可能であることを示す案内画面をユーザに提示する案内画面提示手段、を更に含む請求項１〜１６のいずれか１項に記載の情報処理装置である。
【００２６】
請求項１８に係る発明は、画像以外の情報を用いて認証を行う１以上の非画像認証手段、を更に含み、前記案内画面提示手段は、ユーザから前記情報処理装置の認証に用いる認証手段の選択が指示された場合に、前記案内画面として、前記１以上の非画像認証手段のうちの１以上を選択肢として含み、前記画像認証手段は選択不可である画面を表示する、請求項１７に記載の情報処理装置である。
【００２７】
請求項１９に係る発明は、前記案内画面には、新たな画像の取得を促す情報が更に表示される、請求項１７に記載の情報処理装置である。
【００２８】
請求項２０に係る発明は、前記画像認証手段による前記認証が失敗し、前記ユーザに認証の再試行を行わせる場合、前記複数の画像を構成する前記正解画像及び前記不正解画像を別の正解画像および不正解画像の組み合わせに入れ替えて前記表示手段に表示させる制御を行う再試行制御手段を更に含む、請求項１〜１９のいずれか１項に記載の情報処理装置である。
【００２９】
請求項２１に係る発明は、前記再試行制御手段が前記表示手段に表示させる前記複数の画像の画像数は、前回の認証の試行の際に前記表示手段に表示された前記複数の画像の画像数よりも多い、請求項２０に記載の情報処理装置である。
【００３０】
請求項２２に係る発明は、前記再試行制御手段は、前記認証の連続した失敗の回数が閾値に達した場合に、前記情報処理装置を前記ユーザに対してロック状態に移行し、前記連続した失敗の回数についての前記閾値は、前記情報処理装置が備える、画像以外の情報を用いて認証を行う非画像認証手段、による認証が連続して失敗した場合に前記ロック状態に移行する場合の連続した失敗の回数の閾値よりも低い値である、請求項２０又は２１に記載の情報処理装置である。
【００３１】
請求項２３に係る発明は、コンピュータを、ユーザが持つ画像群のうちの前記ユーザの公開情報に対応する画像を含まない画像からなる候補集合から選択した１以上の正解画像と、前記１以上の正解画像以外の１以上の不正解画像とからなる複数の画像を表示する表示手段、表示された前記複数の画像から前記ユーザが少なくとも１以上の前記正解画像を選択することにより前記ユーザの認証を行う画像認証手段、として機能させるためのプログラムである。
【００３２】
請求項２４に係る発明は、情報処理装置とサーバとからなるシステムであり、前記情報処理装置は、ユーザが持つ画像群のうちの前記ユーザの公開情報に対応する画像を含まない画像からなる候補集合から選択した１以上の正解画像と、前記１以上の正解画像以外の１以上の不正解画像とからなる複数の画像を表示する表示手段と、表示された前記複数の画像から前記ユーザが少なくとも１以上の前記正解画像を選択することにより前記ユーザの認証を行う画像認証手段と、を備え、前記サーバは前記ユーザが公開した公開情報を収集する収集手段と、前記ユーザが持つ画像群のうち、前記ユーザが持つ画像群から前記収集手段により特定された前記公開情報に対応する画像含まない前記候補集合を生成する候補集合生成手段と、を備える情報処理システムである。
【発明の効果】
【００３３】
請求項１、２、３、４、６、２３又は２４に係る発明は、ユーザの公開情報から推測可能な画像を正解画像として認証する方式よりも、破られにくい認証を提供することができる。
【００３４】
請求項５に係る発明は、ユーザがＳＮＳに投稿した情報を全て公開情報として取り扱う場合よりも、正解画像の候補となる画像の数を増やすことができる。
【００３５】
請求項７〜９、１１、１２に係る発明は、ユーザが公開した画像を考慮せずに正解画像を選出する場合に比べて、ユーザが公開した画像から正解画像が推測される可能性を低くすることができる。
【００３６】
請求項１０に係る発明は、ユーザがＳＮＳに投稿した画像を全て公開画像として取り扱う場合よりも、正解画像の候補となる画像の数を増やすことができる。
【００３７】
請求項１３に係る発明は、不正解画像を候補集合の外から選ぶ場合よりも、公開されている画像は正解画像ではないという考え方に基づく攻撃を成立しづらくすることができる。
【００３８】
請求項１４又は１５に係る発明は、ユーザに提示した複数の画像からユーザに単に正解画像を選ばせる方式よりも、ユーザが選ぶべき画像を判断しやすくすることができる。
【００３９】
請求項１６に係る発明は、正解画像を選ぶべきところを、これに似ている不正解画像をユーザが選んでしまうことを防ぐことができる。
【００４０】
請求項１７又は１８に係る発明は、候補集合に含まれる画像の数が閾値未満でも画像認証手段による認証を利用可能とする場合よりも、同じ画像が正解画像に選ばれる頻度が高いことにより正解画像が見破られてしまう可能性、を低減することができる。
【００４１】
請求項１９に係る発明は、ユーザに画像認証手段による認証を利用するための方法を案内することができる。
【００４２】
請求項２０に係る発明は、認証の失敗に応じた認証の再試行においてユーザに提示する複数の画像を前回と同じにする場合と比べて、第三者が前回の認証の失敗から得た知識を再試行において利用しづらくすることができる。
【００４３】
請求項２１に係る発明は、認証の失敗に応じた認証の再試行においてユーザに提示する複数の画像の数を前回と同じにする場合と比べて、再試行における認証の成功の難度を上げることができる。
【００４４】
請求項２２に係る発明は、非画像認証手段と、これよりも偶然に認証が成功してしまう確率が高い画像認証手段と、の間で認証の連続した失敗回数についての閾値を同じにする場合よりも、画像認証手段による認証を繰り返すことによる攻撃を実行困難にすることができる。
【図面の簡単な説明】
【００４５】
【図１】実施形態の情報処理装置の機能構成を例示する図である。
【図２】画像情報記憶部の記憶内容を例示する図である。
【図３】正解候補の選出処理の手順を例示する図である。
【図４】正解候補の選出処理を、具体例を用いて説明する図である。
【図５】変形例の装置の機能構成を例示する図である。
【図６】認証処理部の処理手順を例示する図である。
【図７】認証画面の表示例を模式的に示す図である。
【図８】複数の認証方式のうち画像認証が選択不可の場合に提示する案内画面の例を示す図である。
【発明を実施するための形態】
【００４６】
まず、この実施形態で用いる用語について説明する。
【００４７】
「正解画像」とは、画像認証においてユーザに提示される複数の画像の中から、ユーザが選択すべき正解の画像である。１回の認証において提示される複数の画像の中に、正解画像が２以上含まれる場合もある。本実施形態では、正解画像は、認証されるユーザが持つ画像の中から選ばれる。ここで、「ユーザが持つ画像」（以下、ユーザが保有している画像という意味で「保有画像」とも呼ぶ）とは、ユーザ個人が持っている画像データのことであり、そのユーザが所有している端末装置内の記憶装置に保存されている画像、及びインターネット等のネットワーク上のサーバ内のそのユーザのアカウントに対応付けられた画像ストレージに保存されている画像、などがその例である。例えば、ユーザ認証を行う情報処理装置が、ユーザが携帯している携帯端末（例えばスマートフォン）である場合、その携帯端末のカメラで撮影されてその携帯端末内に保存されている画像群が、「ユーザが持つ画像」の典型例である。また、この例では、ユーザがウェブサイト等から携帯端末にダウンロードした画像も「ユーザが持つ画像」（ユーザの保有画像）に含めてもよい。ここで、「画像群」とは、複数の画像の集合を示す名称である。また、ユーザ認証を行う情報処理装置が、ユーザの端末に対して情報処理サービスを提供するサーバである場合、そのサーバに対してユーザが正解画像の候補として登録した画像群は、「ユーザが持つ画像」（すなわちユーザがそのサーバ内で持っている画像）に該当する。
【００４８】
「囮画像」とは、画像認証においてユーザに提示される複数の画像の中に含まれる、正解画像以外の画像である。囮画像のことを「不正解画像」と呼ぶこともある。
【００４９】
「公開情報」とは一例として、認証を受けるユーザがネットワーク上に公開している情報である。例えば、そのユーザが各種のＳＮＳ（ソーシャル・ネットワーキング・サービス）に登録しているプロフィール（自己紹介）、ＳＮＳへ投稿した情報（メッセージ、画像、動画、画像その他のコンテンツへのリンク等）、ユーザが公開しているウェブページに含まれる情報等が「公開情報」の一例である。また、ユーザが電子メールで送信した情報（本文、添付ファイル等）であっても、送信先の数が多い（例えば所定の（すなわちあらかじめ定めた）閾値以上）場合、あるいは所定の安全な送信先以外に送信した場合等、特定の条件を満たす場合には、公開情報とみなしてもよい。
【００５０】
本実施形態の画像認証は、１以上の正解画像と１以上の囮画像とからなる複数の画像をユーザに提示し、その中から正解画像をユーザに選択させる方式のものである。ここで、ユーザに提示する正解画像はユーザの保有画像から選ばれる。これにより、提示された画像群からユーザが正解画像を選んだことが、そのユーザが本人であることを証することとなる。
【００５１】
しかし、この仕組みは、正解画像がユーザ以外の者から推測されてしまうと成り立たなくなる。ここで、ユーザが持つ画像はそのユーザの属性、嗜好等をある程度反映しているものと考えられるので、ユーザの公開情報からそのユーザの属性、嗜好等を推測し、これにより認証時の複数の画像の中のから正解画像を推測できる可能性がある。ユーザが公開した画像は、そのユーザの持つ画像であることが明らかなので、認証時に提示される複数の画像の中に、例えばユーザのＳＮＳで公開された画像があれば、その画像は正解画像である可能性が高いと推測できる。このような推測ができてしまうと、本人認証の安全性が脅かされる。
【００５２】
そこで、本実施形態では、ユーザが持つ画像のうち、ユーザの公開情報に対応する画像、すなわちユーザの公開情報からそのユーザが持つ画像と推測されやすい画像、が正解画像に選ばれなくする。これにより、ユーザの公開情報から正解画像を推測することを困難にする。以下、このための仕組みを詳細に説明する。
【００５３】
図１は、本実施形態の情報処理装置の機能構成の一例を示す。この情報処理装置は、画像認証によるユーザ認証を行う機能を持つ装置である。例えば、ユーザが持つ携帯端末やパーソナルコンピュータ等の端末装置は、本実施形態の情報処理装置の一例である。また、ユーザの端末装置に対して情報処理サービスを提供するサーバは、本実施形態の情報処理装置の別の例である。
【００５４】
画像入力部１０は、画像の入力を受け付ける手段である。例えば情報処理装置がユーザの携帯端末である場合、その携帯端末が備えるカメラが画像入力部１０の例である。また、携帯端末が持つ、外部のサーバ（例えばウェブサイト）にある画像をダウンロードする機能も、画像入力部１０の一例である。また、情報処理装置がサーバである場合、画像入力部１０は、ユーザから画像のアップロードを受け付ける機能である。
【００５５】
タグ付け部１１は、画像入力部１０に入力された画像に対してタグ付けを行う。タグとは、その画像の各種の属性を表す情報であり、例えばその画像の検索キーとして用いられる。
【００５６】
タグ付け部１１が付与するタグには、例えば、その画像の内容を表すタグがある。画像の内容を表すタグには、例えば、その画像内の主たる被写体の種類や名称を表すタグ、その画像が表す状況の種類（例えば室内画像、夜景等）を表すタグ等がある。画像の内容を表すタグを付与するサービスとして、Clarifai (https://www.clarifai.com/)、Google（登録商標）が提供するCloud Vision API、Microsoft（登録商標）が提供するComputer Vision API等が知られている。タグ付け部１１は、例えば、これら外部サービスのいずれかを利用して、又はそれら外部サービスと同様の機能を持つ内蔵アルゴリズムにより、入力された画像のタグ付けを行う。
【００５７】
タグ付け部１１が付与するタグには、更に、画像入力部１０としてのカメラ機能が生成する撮影画像の属性情報（メタデータ）の属性項目を示すタグが含まれていてもよい。例えば、タグ付け部１１は、例えばexif（exchangeable image file format）フォーマットの写真画像ファイル中のメタデータ中の、撮影日時、ＧＰＳ（Global Positioning System）情報（緯度、経度、標高）等の項目を、タグとして抽出してもよい。
【００５８】
また、本実施形態の情報処理装置がユーザの携帯端末である場合、タグ付け部１１は、その携帯端末で実行されている特定のアプリケーション（以下、「アプリ」と略称する）が生成する特定のデータを、画像入力部１０から入力された画像にタグとして付与してもよい。例えば、健康管理アプリが生成する歩数、心拍、ユーザ活動の種類（ランニング中、サイクリング中等）、消費カロリー、睡眠時間等の情報をタグとして付与してもよい。
【００５９】
タグ付け部１１は、上に例示した各種のタグのすべてを画像に対して付与するものに限らない。この代わりに、それら各種タグのうち、画像に対して付与するものの選択をユーザから受け付けてもよい。この選択の結果を例えばタグ付け部１１の設定情報として登録し、タグ付け部１１がその設定情報に従ってタグ付けを行うようにしてもよい。
【００６０】
画像情報記憶部１３は、入力された画像とそれに付されたタグの情報を記憶する手段である。図２に、画像情報記憶部１３に保持されるデータの例を示す。この例では、画像情報記憶部１３は、入力された画像ごとに、その画像の識別情報である画像ＩＤに対応付けて、その画像に付与された画像内容タグ、日時タグ（撮影日時）、位置タグ（ＧＰＳ情報）、アプリタグ等の値を記憶している。アプリタグは、特定のアプリが生成したタグ情報である。画像データそのものは、画像ＩＤに対応付けて、この情報処理装置内又はサーバ上の当該ユーザ用の記憶領域内に保存されており、画像ＩＤを用いて取得可能である。
【００６１】
公開情報収集部１５は、認証対象のユーザの公開情報を収集する。例えば公開情報収集部１５は、自動巡回ツール（クローラー）により、Twitter（登録商標）やFacebook（登録商標）等の各種ＳＮＳ、又はブログ等のウェブページ、にユーザが公開している公開情報（例えばプロフィール、投稿記事、投稿画像等）を取得する。
【００６２】
ここで、公開情報収集部１５は、ＳＮＳ等にユーザが登録した全ての情報を収集するものであってもよいが、別の例として、それら全ての情報のうち、ユーザが指定した公開範囲が所定の基準範囲より狭い情報は収集しないようにしてもよい。例えば、ＳＮＳへの投稿情報の公開範囲として、「全員に公開」、「友人の友人にまで公開」、「友人にのみ公開」、「非公開」の４段階が設定可能であり、基準範囲が「全員に公開」に設定されている場合、公開情報収集部１５は、「友人の友人にまで公開」、「友人にのみ公開」、又は「非公開」と設定された投稿情報は収集しない。すなわち、この例では、基準範囲より狭い範囲の者しか閲覧できない投稿情報は、公開情報とみなさない。このように、ユーザがネットワークを通して外部に送信した情報のうち、不特定多数に閲覧された可能性がある情報のみを公開情報として扱っても良い。
【００６３】
また公開情報収集部１５は、情報処理装置内の電子メールクライアントアプリ、又はメールサーバから、ユーザが送信した電子メールのうち、公開情報の条件を満たすものを収集する。ここで「公開情報の条件」には、例えば、当該電子メールの送信先の数が所定の閾値を超える、という条件がある。この条件では、電子メールであっても、多くの送信先に送信したものは公開情報とみなすのである。また「公開情報の条件」の別の例には、「安全な送信先」以外の送信先に送信された、という条件がある。「安全な送信先」には、情報漏洩の心配が少ない送信先（一例として、ユーザが、自身の情報処理装置内の宛先表に登録されているメールアドレスや電話番号などの宛先、ユーザが一度返信をした宛先、ＳＮＳで友達になっている人に対応づく宛先、例えば友人や同僚など）を、ユーザがあらかじめ設定しておく。これがユーザに対応付けて登録した守秘範囲を定めた一例である。メールの送信先に設定した宛先が、全て安全な送信先である、または安全な送信先を含むものであれば、送信先の数に関わらず、当該メールで送信された情報を公開情報に該当せずとしても良い。また、安全な送信先ではなく、かつ送信先の数が所定の閾値を超える場合のみ、当該メールで送信された情報は公開情報に該当するとしてもよい。
【００６４】
正解候補選出部１７は、画像情報記憶部１３に記憶された画像の中から、公開情報収集部１５が収集した公開情報との関連が薄い画像を、正解画像の候補（以下「正解候補」とも呼ぶ）として選出し、正解候補記憶部１９に保存する。言い換えれば、正解候補選出部１７は、画像入力部１０を介してユーザが入力した画像のうち、そのユーザの公開情報からそのユーザに対応する画像と推測されやすい画像は、正解候補記憶部１９に保存しない。正解候補選出部１７が行う選出処理については、後で詳しい例を説明する。
【００６５】
正解候補記憶部１９は、正解候補選出部１７により選出された正解画像の候補を記憶している。
【００６６】
認証処理部２０は、画像認証によるユーザ認証処理を実行する。この認証処理のために、認証処理部２０内の正解・囮選択部２２が、画像認証のためにユーザに提示する１以上の正解画像及び１以上の囮画像を選択する。ここで、正解画像は、正解候補記憶部１９に記憶されている正解候補の中（候補集合の一例である）から選択される。また、囮画像は、所定の囮画像ソースから提供される画像群から選択される。囮画像ソースは、情報処理装置内に記憶された画像群（例えば画像情報記憶部１３内の画像、又は正解候補記憶部１９内の画像）であってもよいし、情報処理装置の外のサーバ等に記憶された画像群であってもよい。例えば、「あなたの持っている画像を選んでください。」という設問（これは認証の際に提示される「認証設問」の一例である）と共にユーザに正解画像及び囮画像を提示する場合は、囮画像は、正解候補記憶部１９及び画像情報記憶部１３を除く残りのソースの画像から選択する必要がある。一方、正解候補記憶部１９に記憶された画像が囮画像として利用できるケースは、認証画面で複数の画像と共に提示する設問で、ユーザが正解画像と囮画像を区別できる場合に限られる（詳細な例は後述）。
【００６７】
認証処理部２０は、正解・囮選択部２２が選択した１以上の正解画像と１以上の囮画像とからなる複数の画像を、その中のどのような画像を正解画像として選択すべきかを説明した設問と対応付けてユーザに提示し、ユーザから正解画像の選択を受け付ける。なお、設問の内容が固定され、ユーザにとって既知である場合には、設問の提示は必須ではない。
【００６８】
認証処理部２０は、典型的には、それら複数の画像を一画面内に並べて（設問がある場合にはその設問も）表示した認証画面をユーザに提示する。ただし、これは一例に過ぎず、例えばこの代わりに、複数の画像を１画像ずつ又は所定数ずつ表示する認証画面を時系列的に順番に提示してもよい。本実施形態の情報処理装置がユーザの端末装置（例えば携帯端末やＰＣ）である場合には、認証処理部２０は、その端末装置に付属する表示装置に認証画面を表示する。また、情報処理装置がサーバである場合には、認証画面をネットワーク経由でユーザの端末装置に提供する。
【００６９】
そして、認証処理部２０は、ユーザから正解画像の選択を受け付け、ユーザが選択した画像が正解画像であるか否かに基づき、認証の成功又は失敗の判定を行う。認証が成功した場合、認証処理部２０は、ユーザに情報処理装置の利用を許可する。
【００７０】
図３を参照して、公開情報収集部１５及び正解候補選出部１７により行われる正解候補の選出処理の手順の例を説明する。本実施形態の情報処理装置が、複数のユーザに対してサービスを提供するサーバである場合、公開情報収集部１５及び正解候補選出部１７は、当該サーバに登録されたユーザごとに、図３の手順を実行する。
【００７１】
この手順では、公開情報収集部１５が、ユーザの公開情報を収集する（Ｓ１０）。収集する公開情報には、ユーザが投稿したテキスト情報や画像が含まれる。
【００７２】
次に、公開情報収集部１５は、収集したテキストの公開情報から公知のキーワード抽出アルゴリズムを用いてキーワードを抽出し、抽出したキーワードごとにそのキーワードの重要度を示すポイントを計算する（Ｓ１２）。ここで、キーワードとは、ユーザが外部に公開しているワードのうち、ユーザが最近のトレンドとして扱っている言葉や、趣味嗜好として挙げているワードを含む。各キーワードのポイントは公知のアルゴリズムで計算すればよい。例えばキーワードのポイントは、今回収集した公開情報におけるそのキーワードの出現頻度が高いほど高い値となる。また、収集した公開情報において、「趣味」等といったユーザの重要な属性を示す言葉の近傍に出現したキーワードほど、ポイントが高くなる。また、公開情報収集部は、キーワードだけではなく、ネットワークを通して外部に送信された画像情報を収集してもよい。公開情報収集部１５は、計算したポイントが所定の閾値以上であるキーワードを抽出し、正解候補選出部１７に渡す（Ｓ１４）。この例では、ユーザとの関連が薄い（すなわちポイントが閾値未満）のキーワードは、正解候補の選出に用いないようにすることで、例えばその選出のための計算処理の負荷を軽減している。また、公開情報収集部１５は、収集したユーザのキーワードや、公開画像を正解候補選出部１７に渡す。
【００７３】
正解候補選出部１７は、画像情報記憶部１３が記憶している画像ごとに、公開情報収集部１５から受け取ったキーワード及び公開画像との関連度を求める。そして、それらキーワード又は公開画像に対する関連度が所定の閾値以下である画像を正解候補として選出し、正解候補記憶部１９に保存する（Ｓ１６）。言い換えれば、キーワードや、公開画像に対する関連度が所定の閾値を超える画像は、ユーザの公開情報からそのユーザに関連する画像として推測されやすいと考えられるので、正解候補には選ばない。また、公開情報が公開画像の場合、外部に公開した画像は正解候補には選ばない。また、正解候補とする画像を増やすために、公開画像のうち、公開情報収集部１５によって収集されたキーワードに対する関連度が所定値の閾値を越える場合には、その公開画像は正解候補には選ばないことも考えられる。
【００７４】
ここで、キーワードに対する画像の関連度は、その画像に付された各タグとそのキーワードとの関連度として、公知のアルゴリズムで計算すればよい。また、公開画像に対する画像の関連度は、例えば、その公開画像とその画像との画像としての類似度として計算すればよい。また、別の例として、公開画像についても上述と同様の方法でタグ付けを行い、公開画像のタグ群と画像情報記憶部１３内の画像のタグ群との関連度を公知のアルゴリズムで求めてもよい。例えばそれら２つの画像のタグ群をベクトルと見なし、両画像のベクトルのコサイン類似度を関連度とする等の方法がある。
【００７５】
一つの例では、正解候補選出部１７は、画像情報記憶部１３内の画像のうち、公開情報収集部１５から受け取ったキーワード又は公開画像の少なくとも１つとの関連度が閾値を超えるものについては、正解候補に選出しない。それらキーワード及び公開画像の全てについて、関連度が閾値以下である画像のみを正解候補として選出する。
【００７６】
例えば、図４に示す例では、画像情報記憶部１３内にはユーザの画像として３つの画像Ａ，Ｂ，Ｃがあり、画像Ａにはタグ（食べ物，ウニ丼）が、画像Ｂにはタグ（風景，山）が、画像Ｃにはタグ（食べ物，ラーメン）が付されている。一方、そのユーザは、画像ａ及びｂをＳＮＳ等で公開しており、またＳＮＳ等で公開している投稿等の公開情報に含まれるキーワードには、ポイントの高い順に「ウニ丼」，「カーリング」等があることが公開情報収集部１５により分かっているとする。この場合、正解候補選出部１７は、ポイントが高い「ウニ丼」と関連度の高い画像Ａは、正解候補から除外する。また、ポイントの高いキーワードとの関連度は高くないが、そのユーザが公開した公開画像ａと関連度（類似度）の高い画像Ｃも、正解候補から除外する。結局この例では、ポイントが高いキーワード及び公開画像のいずれにも関連度が高くない画像Ｂのみが正解候補として正解候補記憶部１９に格納される。
【００７７】
別の例として、正解候補選出部１７は、画像情報記憶部１３内の画像ごとに、公開情報収集部１５から受け取った各キーワード及び各公開画像に対する当該画像の関連度を合計し、その合計値が所定の閾値以下の画像のみを正解候補として選出してもよい。関連度の合計の計算では、各キーワードのポイントを反映した重み付けを行ってもよい。
【００７８】
正解候補選出部１７が行っている選出処理は、いわばユーザの公開情報からユーザが関心を持っている分野を特定し、画像情報記憶部１３内の画像のうちその分野に該当「しない」画像を、正解候補に選択する処理であるといえる。
【００７９】
正解候補記憶部１９内にある正解候補は、ユーザが公開している公開情報との関連度が低いので、それら公開情報からそのユーザの保有画像であると推測することが困難である。したがって、それら正解候補の中から選ばれた正解画像は、ユーザ以外の者から、そのユーザの保有画像であること、すなわち正解画像の可能性があることが推測されにくい。
【００８０】
以上の例では、画像入力部１０から画像が入力されるごとに、その画像に対してタグ付けを行ったが、この代わりに、情報処理装置内の保存されているタグ付け前の画像群に対して、一括処理でタグ付けを行ってもよい。
【００８１】
＜変形例＞
次に、上記実施形態の変形例を説明する。
【００８２】
ユーザに提示した複数の画像の中から単にユーザの持つ画像（正解画像）を選ばせるという認証方式は、ユーザ自身がその画像が自分の持つ画像であることを忘れると破綻してしまう。
【００８３】
一方、正解候補記憶部１９内の正解画像候補に付されているタグには、その正解画像候補の画像内容や、画像取得時の状況に関する情報（撮影日時、ＧＰＳ情報、取得時にアプリが生成した情報等）が含まれる。これらタグの情報、特に画像取得時の状況に関する情報は、ユーザ本人しか知り得ない情報である。また、これらタグの情報は、ユーザの記憶に残っている場合も少なくなく、画像と対応付けて提示することで、ユーザが高い確信を持って正解画像を選ぶ助けとなると期待される。
【００８４】
そこで、この変形例では、認証の際に複数の画像と対応付けてユーザに提示する認証用の設問として、タグの情報を用いて生成したものを用いる。
【００８５】
図５に、この変形例における情報処理装置の機能構成を例示する。図５において、図１に示した上記実施形態の情報処理装置の機能要素と同様の機能要素には、同一符号を付して説明を省略する。
【００８６】
図５の構成において、一次選択受付部３０は、画像入力部１０から入力された画像に対して、ユーザからの一次選択を受け付ける。この一次選択は、画像入力部１０から入力された画像のうち、画像認証の正解画像となる可能性がある画像をユーザが絞り込むために行う。すなわち、この変形例では、画像入力部１０から入力された画像のうち、ユーザが一次選択で選択した画像のみが正解候補となる可能性があり、一次選択で選択しなかった画像は正解候補にはならない。一次選択受付部３０は、画像入力部１０が情報処理装置（例えばスマートフォン）に付属するカメラである場合のように、ユーザが画像認証に用いることを必ずしも意図していない画像の入力も受け付ける場合に設けられる。逆に、情報処理装置が複数のユーザに情報処理サービスを提供するサーバである場合には、画像入力部１０がユーザから受け付けるのは、そのユーザが画像認証に用いるものとしてアップロードしたものであるので、一次選択受付部３０は不要である。ただし、このようなサーバにも一次選択受付部３０を設けてもよい。なお、一次選択されなかった画像は、正解候補となり得ないだけで、画像データ自体は情報処理装置内に記憶されるようにしてもよい。
【００８７】
タグ付け部１１は、一次選択受付部３０を用いてユーザが選択した画像に対してタグ付けを行い、そのタグの情報をその画像のＩＤに対応付けて画像情報記憶部１３に格納する。ユーザによる一次選択から漏れた画像は、画像情報記憶部１３には登録されない。正解候補選出部１７は、画像情報記憶部１３内に記憶された画像の中から正解候補を選出する。
【００８８】
認証処理部２０は、設問生成部２４を有する。設問生成部２４は、正解・囮選択部２２が選択した複数の画像（１以上の正解画像及び１以上の囮画像からなる）のタグに基づいて、正解画像は該当するが囮画像は該当しない設問を生成する。認証処理部２０は、生成された設問を、正解・囮選択部２２が選択した複数の画像に対応付けてユーザに提示する。ユーザは提示された複数の画像の中から、その設問に該当する正解画像を選択することで、ユーザ本人であることを証する。
【００８９】
図６に、認証処理部２０の処理手順を例示する。この例では、ユーザ認証を行う際、まず正解・囮選択部２２が、正解候補記憶部１９内の正解候補の中から、ユーザ認証に用いる１以上の正解画像を選択する（Ｓ２０）。選択する正解画像の数は、正解・囮選択部２２に予め設定されているか、あるいは生成予定の設問の内容（例えば正解をいくつ選ばせるか）に応じて正解・囮選択部２２が決定する。
【００９０】
次に、設問生成部２４が、それら選択された正解画像のそれぞれのタグ情報（これは、各正解画像の画像ＩＤを用いて、画像情報記憶部１３から検索可能）に基づき、例えば公知の質問文生成技術を用いて、それら正解画像のすべてが該当する設問を生成する（Ｓ２２）。この設問生成では、例えば、それら選択されたすべての正解画像の間で、同一タグ項目についての値の共通点を求め、いくつかのタグ項目についての共通点の組合せに該当する画像を選ばせる設問を生成する。ここで、タグ項目の値全体がそれら複数の画像間で一致する場合にはその値自体が共通点であり、タグ項目の値が日付である場合には「日」のレベル、「月」のレベル、「季節」のレベル、「年」のレベル等のいくつかのレベルで共通点が見いだされる。なお、共通点の幅をあまり大きくすると、正解画像同士の共通点がユーザに分かりづらい。例えば仮に選ばれた複数の正解画像が２００１年〜２０１０年に撮影されたという共通点を持っていたとしても、このような広い時間幅のレベルでの共通点はユーザにとって認識しづらいと考えられる。そこで、どのレベルまでの共通点を設問に採用するか予め設定しておいてもよい。例えば、選ばれた正解画像は、すべて、画像内容のジャンルを示すタグの値が「食べ物」で一致し、撮影日時タグの示す撮影日時が「２０１７年８月」である点で共通し、ＧＰＳ情報タグが示す位置情報が観光地Ａの範囲内である点で共通する場合、設問生成部２４は、「昨年の８月に観光地Ａで食べたものの画像を選んでください。」という設問を生成する。
【００９１】
設問生成部２４は、すべての正解画像の間で値に共通点があるタグ項目の中から１以上を選択し、選択した１以上のタグ項目の値（共通点）の組合せから設問を生成する。値に共通点があるタグ項目のうちどれを設問に用いるかは、設問生成部２４が例えばランダムに選択する。選択した１以上のタグ項目の値からの設問の生成は、公知手法を用いればよい。例えば、いくつかのタグ項目の値を埋込可能な空欄を含んだ設問テンプレートを複数用意しておき、選択した１以上のタグ項目の組合せに合致する設問テンプレートを選び、その設問テンプレートの空欄に対して、それぞれ対応するタグ項目の値の共通点を埋め込むことで、設問を生成する。
【００９２】
設問が生成されると、正解・囮選択部２２が、囮画像ソースから、その設問が表す条件に該当しない画像を所定数（すなわち１回の認証時にユーザに提示する総画像数から、その中に含まれる正解画像の数を引いた数）だけ、囮画像として選択する（Ｓ２４）。囮画像ソース内の画像にはタグ付けがなされており、囮画像ソース内の画像のうち、設問として含まれるタグ項目の値が、設問に示されるそのタグ項目の値の条件に該当しない画像が、囮画像として選ばれる。
【００９３】
なお、タグ項目の値が設問に合致しない画像であっても、画像自体が正解画像のいずれかに似すぎていると、ユーザが誤ってその画像を正解画像として選んでしまうおそれが少なくない。そこで、いずれか１以上の正解画像に対する画像類似度がある閾値以上である画像は、囮画像に選択しないよう制御してもよい。
【００９４】
また、正解画像との共通性が低い画像のみが囮画像に選ばれると、正当なユーザ以外の者が正解画像を選び易くなってしまう。そこで、正解・囮選択部２２は、設問が示す条件は満たさないが、いずれかの正解画像とある程度の共通性を持つ画像を少なくとも１つ、囮画像として選択するようにしてもよい。例えば、設問に採用されたタグ項目のうち１つ乃至いくつかが、いずれかの正解画像の当該タグ項目の値と共通点を持ち、残りのタグ項目（この中には設問に採用されたタグ項目が少なくとも１つ含まれる）がその正解画像の当該タグ項目の値と共通点を持たない画像を、囮画像として選択する等である。この場合例えば、正解画像に対して画像内容のジャンルを示すタグの値が同じで、設問に含まれる他のタグのうちの１以上のタグの値が異なる画像を囮画像に選ぶ。画像内容のジャンルは、画像内容のタグのうち、その画像内容の大分類を示すタグであり、より具体的な画像内容を示すタグの値の上位概念である。例えば、図４の例でいえば、食べ物、風景が画像内容のジャンルであり、ウニ丼、山、ラーメンがより詳細な分類である。具体例として「昨年の８月に箱根で食べたものの画像を選んでください。」という設問が生成された場合を例にとると、食べ物の画像ではあるが、撮影日時及び場所が昨年の８月及び箱根に該当しない画像が、囮画像に選ばれる。
【００９５】
以上では、正解・囮選択部２２により正解画像が複数選ばれる場合を例にとって設問生成や囮画像選択の流れを例示したが、正解画像の数が１つだけの場合はもっと単純な処理でよい。すなわちこの場合、設問生成部２４は、その正解画像のタグの中の少なくとも１つに該当する設問を生成し、正解・囮選択部２２は、設問に用いたタグのうちのすくなくとも１つがその設問に示される内容に合致しない画像を囮画像に選べばよい。
【００９６】
図５及び図６の例では、正解・囮選択部２２は、囮画像を、正解候補記憶部１９内の正解候補から選んでもよい。すなわち、正解候補のうち設問に該当しないものを囮画像として選択するのである。正解候補記憶部１９内の正解候補画像は、情報処理装置の外部に公開されていないか、ユーザの公開情報からその画像がそのユーザに関係しているかどうかがわからない画像なので、正当なユーザ以外の者は、そのユーザの画像で「ない」ことを突き止めることはできない。仮に、何らかの形で公開されている画像の中から囮画像を選んだ場合、攻撃者は、認証画面に示された画像が公開されている画像であることが分かれば、その画像が囮画像である蓋然性が高いと判断可能である。これに対し、正解候補から囮画像を選べば、公開されている画像だから囮画像であると判断する方式での攻撃が困難になる。
【００９７】
認証処理部２０は、選択された正解画像及び囮画像と、生成された設問とを示した認証画面をユーザに対して提示し、ユーザから正解画像の選択を受け付ける（Ｓ２６）。ユーザが操作している端末装置自体が本実施形態の情報処理装置である場合には、その認証画面をその端末装置に付属する表示装置に表示する。本実施形態の情報処理装置がサーバである場合は、認証処理部２０は、その認証画面をユーザが操作する端末装置に提供する。
【００９８】
認証画面１００の例を図７に示す。この認証画面１００には、１つの正解画像１０２と、５つの囮画像１０４とが並べて表示され、さらにその正解画像１０２には当てはまるが、５つの囮画像１０４には当てはまらない設問１０６が表示される。
【００９９】
ユーザは、その認証画面１００に対して、設問内容に応じていくつかの画像を選択する操作を行う。この操作は、例えば、マウス等によるクリック操作や、タッチパネル画面に対するタッチ操作で行われる。
【０１００】
認証処理部２０は、認証画面１００上でのユーザの選択が正解であるか、すなわち設問の条件を満たしているかを判定する（Ｓ２８）。判定結果が「正解」の場合、認証処理部２０は、ユーザ認証の結果を「成功」とし、ユーザに情報処理装置の利用を許可する（Ｓ３０）。
【０１０１】
一方、ユーザの選択が不正解、すなわち設問の条件を満たさない場合は、今回の認証セッションにおけるユーザによる画像認証の試行回数（すなわち認証画面１００の提示回数）が所定の閾値に達したか否かを判定する（Ｓ３２）。試行回数が閾値に達していない場合（Ｓ３２の判定結果がＹｅｓ）の場合は、Ｓ２０に戻る。すなわち、この例では、認証画面１００に対するユーザの選択が不正解の場合、正解画像の選択からやり直す。この場合、新たに選択する正解画像の中には、少なくとも１つは、前回（あるいは過去所定回数）の認証画面１００上に提示した正解画像と異なる正解画像が含まれるようにする。また、このとき、前回の認証画面１００に示した正解画像は全て選ばず、まったく新たな正解画像の組合せを選ぶようにしてもよい。この後、認証処理部２０は、選んだ正解画像群に合致する設問を生成し（Ｓ２２）、その設問が示す条件に該当しない囮画像を必要数だけ選択する（Ｓ２４）。このとき選ぶ囮画像の中には、前回の認証画面１００に提示した囮画像に含まれないものが少なくとも１つは含まれるようにする。また、今回選ぶ囮画像には、前回認証画面１００に提示した囮画像が１つも含まれないようにしてもよい。そして、それら正解画像、囮画像、設問を示した新たな認証画面１００をユーザに提示して、再度の選択を求める。
【０１０２】
Ｓ２０〜Ｓ２８、Ｓ３２の繰り返しにより、Ｓ３２で試行回数が閾値に達した場合（Ｓ３２の判定結果がＮｏ）、認証処理部２０は、認証失敗と判定する（Ｓ３４）。この場合、認証処理部２０は、情報処理装置の利用をそのユーザに許可しない。このとき、そのユーザは、本来の正当なユーザの認証を破ろうと試みる悪意の第三者である可能性があるので、認証処理部２０は、そのユーザが更なる認証の試行を繰り返すことができないよう、情報処理装置をロック状態に移行させてもよい。例えば情報処理装置が携帯端末である場合、ロック状態は所定時間の間続き、その間は認証処理部２０はユーザ認証の操作を受け付けない。また、情報処理装置がサーバである場合は、認証処理部２０は、認証を失敗したユーザアカウントをロック状態とし、所定時間の間、そのアカウントについてのユーザ認証の操作を受け付けない。ロック状態に移行してから所定時間が経過してロック状態を解除した後、ユーザが再度画像認証を試行して再度認証が失敗した場合、認証処理部２０は、前回よりも長い時間、認証をロック状態としてもよい。このようにすることで、不正利用を狙う者の攻撃が困難になる。
【０１０３】
また、ロック状態を解除するのに、正当なユーザが事前に設定しているロック解除操作が正しく行われることを要する方式では、そのロック解除操作が正しくなされるまでは、ロック状態が解除されない。
【０１０４】
図７には示さなかったが、ユーザが行った１以上の画像の選択を確定する確定ボタンを認証画面１００に設け、確定ボタンをユーザが押下するまでは、ユーザがいったん選択した画像の選択状態を、例えば再度クリックまたはタッチする操作により解除できるようにしてもよい。すなわち、この確定ボタンを設ける例では、認証画面１００上の各画像は、認証画面１００が最初に表示された時点ではすべて非選択状態であり、ユーザがタッチ等の選択操作を行うと選択状態に変化する。また、選択状態にある画像に対してユーザが解除操作（例えばタッチやクリック）を行うと、その画像は非選択状態に変化する。そして、ユーザが確定ボタンを押下した時点で選択状態にあるすべての画像が、ユーザの選択した画像としてユーザ認証の判定材料となる。認証処理部２０は、それらユーザの選択した全ての画像が、設問が示す条件を満たしているかを判定する。例えば、設問が、ある条件を満たす画像（正解画像）を全て選択せよ、という形式の場合、認証処理部２０は、ユーザが選択した画像の全てが設問の条件を満たしており（すなわち正解画像であり）、且つ、ユーザが選択しなかった画像の中に設問の条件を満たすものがなければ、ユーザ認証を成功とする。
【０１０５】
また、認証画面１００に表示される正解画像が１つの場合は、確定ボタンを設けずに、単にユーザが選択した画像が正解画像であれば認証成功（Ｓ３０）とし、そうでなければＳ３２に進めばよい。
【０１０６】
図６の手順では、認証画面１００に対してユーザが選んだ画像群が正解でない場合（Ｓ２８の判定結果がＮｏ）、正解画像、設問、及び囮画像を一新したが、この代わりに、例えば設問は維持してもよい。この場合、正解・囮選択部２２は、維持した設問を満たす新たな正解画像の組と、満たさない新たな囮画像の組を選択すればよい。
【０１０７】
また、Ｓ３２の後Ｓ２０に戻って新たな正解画像を含む新たな認証画面１００をユーザに提示する場合、認証処理部２０は、その新たな認証画面１００に表示する画像の数を前回の認証画面１００内の画像の数より増やしてもよい。このとき、囮画像の数のみを増やしてもよいし、正解画像の数のみを増やしてもよいし、両方の数を増やしてもよい。
【０１０８】
また、図６の手順では、正解・囮選択部２２が正解画像を選んだ後、それら選ばれた正解画像の全てが満足する設問を設問生成部２４が生成したが、この順序はあくまで一例である。先に設問生成部２４が設問を生成し、その後で、生成された設問を満たす正解画像と満たさない囮画像を正解・囮選択部２２が選択するようにしてもよい。
【０１０９】
さて、以上に例示した画像認証は、正解画像（及びその母集団となる「ユーザの持つ画像」）の数が十分に多くないと、認証画面１００に同じ正解画像が表示される頻度が高くなり、セキュリティの強度が弱くなる。そこで、認証処理部２０は、正解候補記憶部１９内にある正解候補画像の数が所定の閾値より少ない場合、ユーザ認証方式として画像認証を選択できないようにしてもよい。
【０１１０】
例えば、認証処理部２０が提供する認証方式の選択画面２００が図８に例示するものであったとする。この認証処理部２０は、認証方式として、上述した画像認証の他に、パスワード認証、指紋認証、顔認証の各方式をサポートしている。選択画面２００には、それら４方式のそれぞれに対応するボタン２０２、２０４、２０６、及び２０８が示される。ユーザは、それら４つのボタン２０２〜２０８の中から、自分が希望する方式を選択する。
【０１１１】
ユーザが選択画面２００上で画像認証を選択した場合、認証処理部２０は、正解候補記憶部１９内の正解候補画像の数が所定の閾値以上であるかどうかを調べ、閾値以上である場合には、以降のユーザ認証の方式として画像認証を用いる。一方、正解候補記憶部１９内の正解候補画像の数が閾値未満である場合、この例では、認証処理部２０は、案内画面２１０をユーザに提示する。案内画面２１０には、画像認証が利用できない旨を示すメッセージ２１２と、画像認証ができない状況に対する解決策を示すメッセージ２１４とが表示される。メッセージ２１４には、選択画面２００に戻って別の認証方法を選択することを促す文や、画像認証を使いたい場合には、画像認証を使うために必要な操作を促す文、例えばカメラで異なる画像をいくつか撮影するように促す文が含まれる。後者の文には、おおよそ何枚の写真を撮影すればよいかを示す目安の数値が含まれていてもよい。なお、図８の例は、本実施形態の情報処理装置が携帯端末である場合の例である。
【０１１２】
ユーザは、別の認証方式を選ぶ場合には、戻るボタン２１６を押下して選択画面２００に戻り、希望する認証方式のボタンを選択する。また、画像認証を使いたい場合は、カメラボタン２１８を押下する。すると、携帯端末（情報処理装置）のＯＳはカメラ機能を起動する。このカメラ（画像入力部１０）で写真画像が撮影されると、この画像がタグ付けされ、正解候補選出部１７がその画像を正解候補とするか否か判定する。
【０１１３】
なお、正解候補記憶部１９内の正解候補の数が閾値未満の場合は、選択画面２００上に画像認証を選択肢として表示しないようにしてもよい。また、この場合、画像認証を選択不可能状態の選択肢として表示してもよい。
【０１１４】
情報処理装置が複数の認証方式をサポートしている例では、情報処理装置をロック状態に移行させるための連続した画像認証の失敗数の閾値（Ｓ３２でも値いられる閾値）は、画像認証以外の他の認証方式での同様の閾値よりも低い値とする。例えば、パスワード認証では例えば５回連続の間違いでロック状態に移行するのに対し、画像認証では３回連続の間違いでロック状態に移行する。正解画像を選ぶ画像認証の場合、認証画面に表示可能な画像の数は限られ、かつ正解画像をいくつか選べばよいだけなので、まぐれで認証が成功してしまう蓋然性は、（アルファベット２６文字と１０個の数字を１０桁程度組み合わせる）パスワード認証の場合よりも高い。そこで、まぐれ当たりを狙った攻撃を困難にするために、画像認証でのロック状態移行のための試行回数の閾値は、パスワード認証等の他の方式よりも低くする。
【０１１５】
本実施形態の仕組みにおいて、ある画像が正解候補選出部１７により正解候補に選ばれて正解候補記憶部１９に登録された後のユーザの情報公開行為により、その正解候補が不適格になる場合がある。例えば、ユーザがその正解候補自体をＳＮＳで公開したり、ユーザがその正解候補に関連する新たな趣味の話題を頻繁に投稿し始めたりする場合がその例である。このように不適格になった正解候補は、正解候補でなくする（正解候補記憶部１９から削除する）必要がある。このために、正解候補選出部１７は、例えば定期的に公開情報収集部１５を動作させて公開情報を収集し、正解候補記憶部１９内の各正解候補が、正解候補としての条件を満たしているかチェックし、条件を満たさなくなった正解候補は正解候補記憶部１９から削除する。このチェックは、画像情報記憶部１３内の各画像から正解候補を選択するときと同じものでよい。
【０１１６】
以上に例示した情報処理装置は、例えば、コンピュータに上述の各機能を表すプログラムを実行させることにより実現される。ここで、コンピュータは、例えば、ハードウエアとして、ＣＰＵ等のマイクロプロセッサ、ランダムアクセスメモリ（ＲＡＭ）およびリードオンリメモリ（ＲＯＭ）等のメモリ（一次記憶）、フラッシュメモリやＳＳＤ（ソリッドステートドライブ）、ＨＤＤ（ハードディスクドライブ）や等の固定記憶装置を制御するコントローラ、各種Ｉ／Ｏ（入出力）インタフェース、ローカルエリアネットワークなどのネットワークとの接続のための制御を行うネットワークインタフェース等が、たとえばバス等を介して接続された回路構成を有する。それら各機能の処理内容が記述されたプログラムがネットワーク等の経由でフラッシュメモリ等の固定記憶装置に保存され、コンピュータにインストールされる。固定記憶装置に記憶されたプログラムがＲＡＭに読み出されＣＰＵ等のマイクロプロセッサにより実行されることにより、上に例示した機能モジュール群が実現される。
【符号の説明】
【０１１７】
１０  画像入力部、１１  タグ付け部、１３  画像情報記憶部、１５  公開情報収集部、１７  正解候補選出部、１９  正解候補記憶部、２０  認証処理部、２２  正解・囮選択部、２４  設問生成部、３０  一次選択受付部。
【図１】
2020052509.tif 000003
【図２】
2020052509.tif 000004
【図３】
2020052509.tif 000005
【図４】
2020052509.tif 000006
【図５】
2020052509.tif 000007
【図６】
2020052509.tif 000008
【図７】
2020052509.tif 000009
【図８】
2020052509.tif 000010