(57)【要約】【課題】操作画面を覗き見ることによる情報の盗取を困難にする情報入力装置を提供する。【解決手段】入力デバイスを有し、前記入力デバイスによって取得された操作の内容を表示装置に出力する情報入力装置であって、前記入力デバイスによって取得された操作に対応して動く画面表示である第一の表示を生成し、前記表示装置に出力する表示制御手段を有し、前記表示制御手段は、前記第一の表示と異なる動作をする第二の表示を生成し、前記第一の表示と前記第二の表示とを合成して前記表示装置に出力する。【選択図】図１
2015111319.tif 000002
【特許請求の範囲】
【請求項１】
入力デバイスを有し、前記入力デバイスによって取得された操作の内容を表示装置に出力する情報入力装置であって、
前記入力デバイスによって取得された操作に対応して動く画面表示である第一の表示を生成し、前記表示装置に出力する表示制御手段
を有し、
前記表示制御手段は、前記第一の表示と異なる動作をする画面表示である第二の表示を生成し、前記第一の表示と前記第二の表示とを合成して前記表示装置に出力する
ことを特徴とする情報入力装置。
【請求項２】
前記表示制御手段は、前記第二の表示が、前記第一の表示と同期して動くように、前記第一の表示および第二の表示の合成を行い、前記表示装置に出力を行う
ことを特徴とする、請求項１に記載の情報入力装置。
【請求項３】
前記入力デバイスはポインティングデバイスであり、
前記第一の表示および第二の表示は、互いに同一の外観を有する移動するポインタであり、
前記表示制御手段は、利用者が行った操作に基づいて前記第二の表示を生成する
ことを特徴とする、請求項２に記載の情報入力装置。
【請求項４】
前記第二の表示の軌跡を複数記憶する軌跡情報記憶手段を有し、
前記表示制御手段は、前記軌跡情報記憶手段に記憶された複数の軌跡のうちいずれか一つを用いて前記第二の表示を生成する
ことを特徴とする、請求項３に記載の情報入力装置。
【請求項５】
前記表示制御手段は、複数の前記第二の表示を生成し、前記第一の表示と合成して前記表示装置に出力する
ことを特徴とする、請求項１から４のいずれかに記載の情報入力装置。
【請求項６】
入力デバイスを有し、前記入力デバイスによって取得された操作の内容を表示装置に出力する情報入力装置が行う画面表示方法であって、
前記入力デバイスによって取得された操作に対応して動く画面表示である第一の表示を生成するステップと、
前記第一の表示と異なる動作をする画面表示である第二の表示を生成するステップと、
前記第一の表示と前記第二の表示とを合成して表示装置に出力するステップと、
を含むことを特徴とする画面表示方法。
【請求項７】
入力デバイスを有し、前記入力デバイスによって取得された操作の内容を表示装置に出力する情報入力装置に、
前記入力デバイスによって取得された操作に対応して動く画面表示である第一の表示を生成するステップと、
前記第一の表示と異なる動作をする画面表示である第二の表示を生成するステップと、
前記第一の表示と前記第二の表示とを合成して表示装置に出力するステップと、
を実行させる
ことを特徴とする情報入力プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、画面を覗き見られることによる情報の漏洩を防止する情報入力装置に関する。
【背景技術】
【０００２】
公共の場所でコンピュータや情報端末、ＡＴＭ（Automated Teller Machine, 現金自動預払機）などを使用する場合、利用者が入力する暗証番号などの情報が第三者によって盗み見られるリスクがある。例えば、画面に表示された数字を押下することで暗証番号の入力を行う場合、肩越しに手元を覗き見ることで、どの数字を指しているのかを把握することができてしまう。
【０００３】
この問題に対応するため、入力された情報の外部からの把握を困難にする技術が考案されている。特許文献１に記載の暗証番号入力装置は、暗証番号を入力するたびにタッチパネル上の数字の配置をランダムに変更することを特徴としている。当該発明によると、入力を行うたびに数字の配置が変わるため、手の動きを盗み見て入力内容を推測することが困難となる。
【０００４】
しかし、当該発明は、手元を覗くことによる情報の盗取は防止できるが、画面を直接見ることによる情報の盗取は防ぐことはできない。たとえば、画面の近傍に設置された隠しカメラや、コンピュータに仕込まれたトロイの木馬といった悪意のあるプログラムによって、手元ではなく操作画面を直接盗み見た場合、利用者がどの文字を選択したのかを容易に窺い知ることができてしまう。
【０００５】
これに対応するため、非特許文献１に記載の認証インタフェースでは、利用者ごとに事前に固有の記号を割り当て、当該記号を数字の入力に用いるという手法が用いられている。画面上には、仮想キーボードの各キーが異なる種類の記号と共に表示される。利用者は、再表示を選択することで仮想キーボードの各キーに表示される記号の配置を変更することができる。利用者は、自分に割り当てられた記号が入力しようとする数字と重なって表示されるまで仮想キーボードを再表示させ、一致した場合に入力キーを押下する。この操作を繰り返すことで、一文字ずつパスワードを入力する。このようにすることで、利用者に割り当てられた記号が何であるかを知らない限り、画面を見たとしてもその入力内容を把握することができなくなる。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０００−０９９８０１号公報
【非特許文献】
【０００７】
【非特許文献１】高田哲司，“fakePointer: 映像記録による覗き見攻撃にも安全な認証手法”，情報処理学会論文誌，Vol.49，No.9，p.3051-3061，Sep. 2008
【発明の概要】
【発明が解決しようとする課題】
【０００８】
画面の盗み見による情報の漏洩について、図１１を参照しながら説明する。図１１は、インターネットバンキングにおける暗証番号入力画面である。インターネットバンキングの多くは、セキュリティ性を向上させるため、画面上で文字を選択することによって暗証番号を入力するソフトウェアキーボードの機能を有している。しかし、操作画面を何らか
の手段によって取得することができれば、利用者がどの文字を選択したかを知ることができてしまう。図１１の例では、マウスポインタの位置と、文字の反転ないしは押下アニメーションによって“Ｈ”という文字が入力されたことがわかる。操作画面の取得は、悪意のあるソフトウェアによるスクリーンショットの盗撮や、古典的には望遠鏡などを用いて部屋の外から覗き見ることで行うことができる。
【０００９】
このような、画面を直接盗み見ることによる情報の漏洩を防止しようとした場合、例えば非特許文献１に記載の技術を用いることができる。しかし、当該発明は、自分に割り当てられた記号が目的の場所に表示されるまで仮想キーボードの再表示を繰り返さなければならないため、入力速度が遅いという欠点がある。ｎ種類の文字にｎ個の記号を割り当てた場合、一桁入力するごとに最大ｎ−１回の再表示を行わなければならないため、パスワードに英数字が混在すると実用的な入力速度を得ることが出来ない。また、利用者は割り当てられた記号を覚えておく必要があるため、利用者の負担が増すという問題がある。したがって、利用者に負担をかけないようにするためには、物理的に画面を覗き見ることを困難にするようなフィルタや、アンチウイルスソフトなどで防衛する他に有効な手段が無かった。
【００１０】
本発明は上記の問題点を考慮してなされたものであり、操作画面を覗き見ることによる情報の盗取を困難にする情報入力装置を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、本発明に係る情報入力装置は、利用者がした操作の内容を画面に反映させる際に、本物の表示と並行してダミーの表示を生成し、画面上に合成して表示するという手法をとった。
【００１２】
具体的には、本発明に係る情報入力装置は、入力デバイスを有し、前記入力デバイスによって取得された操作の内容を表示装置に出力する情報入力装置であって、前記入力デバイスによって取得された操作に対応して動く画面表示である第一の表示を生成し、前記表示装置に出力する表示制御手段を有し、前記表示制御手段は、前記第一の表示と異なる動作をする画面表示である第二の表示を生成し、前記第一の表示と前記第二の表示とを合成して前記表示装置に出力することを特徴とする。
【００１３】
入力デバイスとは、利用者によって操作される入力用のインタフェースであり、典型的には、マウス、タッチパネル、タッチスクリーン、トラックボール、ポインティングスティック、タッチパッド、ジョイスティック、データグローブ、ペンタブレットのようなポインティングデバイスや、キーボード等である。また、表示装置とは利用者に操作結果を表示するためのディスプレイ装置である。
【００１４】
第一の表示とは、入力デバイスを通して利用者が行った操作の内容に対応して動く画面上の表示である。入力デバイスがマウスなど、ポインタを操作するものである場合、第一の表示は画面上を移動するポインタである。また、タッチパネルなど、画面上の座標を直接指定するものである場合は、第一の表示は、押下することによって見た目が変化する押しボタン表示などである。
【００１５】
また、第二の表示とは、利用者が行った操作の内容と異なる動作をするダミーの表示である。例えば、利用者がマウスを左に移動させた場合、表示制御手段は、マウスポインタを左に移動させるという第一の表示を生成すると同時に、マウスポインタと同一または類似するダミーのポインタを右に移動するという第二の表示を生成する。第二の表示の“動作”とは、カーソルやポインタの移動だけでなく、任意の箇所を強調するアニメーション等も含まれる。すなわち、第二の表示は利用者が指定した箇所と異なる箇所を強調表示す
るものであってもよい。
【００１６】
表示制御手段は、入力デバイスが取得した操作に対応する第一の表示と、生成された第二の表示とを合成して表示装置に出力する手段である。二つの表示が合成された結果、利用者の操作に係る本物の表示（例えばマウスポインタ）と、利用者の操作と異なる動きをするダミーの表示（マウスポインタと同一または類似するポインタ）とが同時に画面に描画される。
【００１７】
以上に説明した発明の形態によると、利用者は、自分が行った操作と同じ動きをする表示が本物であると直感的に認識することができるが、覗き見ている者は本物の表示とダミーの表示を判別することができない。したがって、第三者が操作画面を外部から覗き見たとしても、どれが正しい表示であるかを特定することができず、利用者が何を入力しているのか窺い知ることができないため、情報の盗取を防止することができる。
【００１８】
また、前記表示制御手段は、前記第二の表示が、前記第一の表示と同期して動くように、前記第一の表示および第二の表示の合成を行い、前記表示装置に対する出力を行うことを特徴としてもよい。
【００１９】
ダミーの表示を画面上に追加する場合、利用者の操作に係る本物の表示と同期してダミーの表示が動くように制御してもよい。同期とは、利用者の操作に係る表示が動く時期と、ダミーの表示が動く時期とを一致させることを指す。このようにすることで、利用者が操作をしている間は全ての表示が一斉に動くため、本物の表示がどれであるかを外部から識別することが困難になる。
【００２０】
また、前記入力デバイスはポインティングデバイスであり、前記第一の表示および第二の表示は、互いに同一の外観を有する移動するポインタであり、前記表示制御手段は、利用者が行った操作に基づいて前記第二の表示を生成することを特徴としてもよい。
【００２１】
ポインティングデバイスとは、画面上のポインタを動かすためのマウスやトラックボール、ポインティングスティック、タッチパッド、ジョイスティック、データグローブ、ペンタブレットなどを指す。また、ポインタの外観とは、ポインタの形状、大きさ、色彩などであり、同一の外観を有するとは外観から区別ができないことを指す。表示制御手段は、利用者が行った操作に基づいて第二の表示を生成する。例えば、ダミーの操作を事前に利用者が装置に記憶させ、当該ダミーの操作を用いて第二の表示を生成してもよいし、利用者が行っている操作の内容に所定の変換を加えたものを用いてリアルタイムに第二の表示を生成してもよい。人が行う操作に基づいて第二の表示、すなわちダミーポインタの動きを生成することで、ダミーポインタの動きを自然なものとすることができるため、ポインタの挙動からその真贋を判別することが困難になる。
【００２２】
また、本発明に係る情報入力装置は、前記第二の表示の軌跡を複数記憶する軌跡情報記憶手段を有し、前記表示制御手段は、前記軌跡情報記憶手段に記憶された複数の軌跡のうちいずれか一つを用いて前記第二の表示を生成することを特徴としてもよい。
【００２３】
軌跡情報記憶手段は、ダミーポインタの動きを記憶する手段である。軌跡情報記憶手段は、事前に利用者によって作成された軌跡を記憶してもよいし、他の利用者が行った操作に係る軌跡を記憶してもよい。記憶された複数の軌跡から使用する軌跡を抽出することで、ダミーポインタの軌跡を毎回異なるものにすることができるため、攻撃者がポインタを観察することによる真贋の判別を防ぐことができる。
【００２４】
また、前記表示制御手段は、複数の前記第二の表示を生成し、前記第一の表示と合成し
て前記表示装置に出力することを特徴としてもよい。
【００２５】
ダミーの表示を複数個画面に出力することで、本物の表示を外部から判別することがより困難となる。ダミーの表示を増やすことで、攻撃の困難度を引き上げることができ、ダミーの表示を減らすことで、利用者が操作しやすくなる。ダミーの表示の個数は、両者のバランスをとった値にすることができる。
【００２６】
なお、本発明は、上記手段の少なくとも一部を含む情報入力装置として特定することができる。また本発明は、上記手段が行う処理の少なくとも一部を含む画面表示方法として特定することもできるし、前記情報入力装置を動作させるためのプログラムとして特定することもできる。上記処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。
【発明の効果】
【００２７】
本発明によれば、操作画面を覗き見ることによる情報の盗取を困難にする情報入力装置を提供することができる。
【図面の簡単な説明】
【００２８】
【図１】本発明に係る情報入力装置が扱うデータの流れを説明する図である。
【図２】第一の実施形態に係る機能構成図である。
【図３】第一の実施形態に係る処理フローチャート図である。
【図４】第一の実施形態に係るダミーの軌跡情報の例である。
【図５】第一の実施形態に係るダミーポインタを説明する図である。
【図６】第一の実施形態に係る暗証番号入力画面の表示例である。
【図７】第二の実施形態においてダミーの軌跡情報を生成する例である。
【図８】第二の実施形態に係る暗証番号入力画面の表示例である。
【図９】第三の実施形態に係る暗証番号入力画面の例である。
【図１０】第三の実施形態に係る暗証番号入力画面を詳細に説明する図である。
【図１１】従来技術に係る入力画面の例である。
【発明を実施するための形態】
【００２９】
図１は、本発明に係る情報入力装置が扱うデータの流れを簡単に説明する図である。本発明に係る情報入力装置は、利用者が行った操作の内容を入力デバイスから取得し、対応する第一の表示を生成する。また、利用者が行った操作と類似するダミーの操作内容を生成し、対応する第二の表示を生成する。第一の表示および第二の表示は合成され、表示装置へ出力される。この動作を実現するためのシステム構成について、各実施形態にて説明する。
【００３０】
（第一の実施形態）
<システム構成>
第一の実施形態に係る情報入力装置について説明する。第一の実施形態に係る情報入力装置は、利用者がマウスを操作することによって画面上に表示されたマウスポインタを移動させ、同じく画面上に表示された仮想キーボードの文字を押下することでパスワードを入力する装置である。
【００３１】
図２は、本実施形態に係る情報入力装置のシステム構成図である。情報入力装置１００は、ハードウェアとしてＣＰＵと主記憶装置、補助記憶装置（いずれも不図示）を備えたコンピュータである。補助記憶装置に記憶されたプログラムが主記憶装置にロードされ、ＣＰＵによって実行されることによって図１に図示した各機能が実現される。なお、情報入力装置１００の全部または一部は、専用に設計された回路を用いて実行されてもよい。
【００３２】
情報入力装置１００は、入力デバイス１０１、操作取得部１０２、ダミー操作生成部１０３、表示制御部１０４を有して構成される。また、情報入力装置１００には表示装置２００が接続されている。
【００３３】
入力デバイス１０１は、利用者によって操作されるヒューマンインタフェースデバイスである。入力デバイスは、マウスのようにポインタを移動させることで画面上の座標を指定するものであってもよいし、タッチパネルのように座標を直接指定するものであってもよい。本実施形態においては、入力デバイスとはマウスである。
【００３４】
操作取得部１０２およびダミー操作生成部１０３、表示制御部１０４は、本発明における表示制御手段である。
操作取得部１０２は、入力デバイス１０１から操作情報、すなわち利用者が行った操作の内容を取得する手段である。例えば、入力デバイスが画面上のポインタを移動させるものであった場合、操作取得部１０２はポインタが移動する方向や距離を操作情報として取得することができ、入力デバイスが直接座標を指定するものであった場合、指定された座標を操作情報として取得することができる。また、操作取得部１０２は、取得した操作情報を外部（例えば、情報入力装置と接続された情報処理装置）に出力する機能を有している。
【００３５】
ダミー操作生成部１０３は、利用者が行った操作の内容に類似するダミーの操作情報（以下、ダミー操作情報）を生成する手段である。ダミー操作生成部１０３には、あらかじめ記録された、マウスポインタのダミーの軌跡である軌跡情報が複数記憶されており、ダミー操作生成部１０３は、使用する軌跡をランダムに選択したうえで、選択した軌跡に対応する操作情報を生成する。なお、ダミー操作生成部１０３に記憶される複数の軌跡情報は、どのようにして生成されても良い。例えば、情報入力装置１００の設計者があらかじめ軌跡情報を生成してダミー操作生成部１０３に記憶させても良い。また、情報入力装置１００の利用者が設定情報として軌跡情報を入力してダミー操作生成部１０３に記憶させても良い。あるいは、情報入力装置１００に対して利用者が過去に入力した操作情報を、ダミー操作生成部１０３に軌跡情報として記憶しても良い。
【００３６】
表示制御部１０４は、二つの機能を有している。一つは、操作取得部１０２およびダミー操作生成部１０３から操作情報あるいはダミー操作情報を取得し、各々の操作情報に基づいて表示を生成する機能である。例えば操作内容がマウスの移動であった場合、取得した軌跡に従ってマウスポインタを移動させる表示を生成する。同様に、ダミー操作情報に対応する表示も生成する。
もう一つは、生成した表示を合成して表示装置に出力する機能である。これにより、表示装置の画面上では、利用者の操作に係る本物のマウスポインタ（操作情報に対応する表示）とダミーのマウスポインタ（ダミー操作情報に対応する表示）が同時に表示される。
なお、本実施形態においては、本物とダミーのマウスポインタは、移動の軌跡が異なるだけであり、その外観（形状、色彩等）は同一とする。
【００３７】
表示装置２００は、情報入力装置１００に接続され、生成された表示を利用者に提示する手段であり、本実施形態においてはディスプレイ装置である。
【００３８】
<処理フロー>
本実施形態に係る情報入力装置が行う処理の詳細を、情報入力装置１００の処理フローチャートである図３を参照しながら説明する。
【００３９】
利用者が、入力デバイス１０１を通して入力操作を行うと、操作取得部１０２が操作の
内容である操作情報を取得する（Ｓ１１）。本実施形態の場合、利用者はマウスポインタを移動させることで画面に表示された文字を選択するという操作を行うため、操作取得部１０２は、マウスポインタの移動方向および移動量を操作情報として取得することができる。なお、操作取得部１０２は、マウスが移動したというイベントが発生するごとに操作情報の取得を行うため、一回のマウス操作で複数個の操作情報が取得される。操作情報は、取得されるごとにダミー操作生成部１０３および表示制御部１０４へ送信される。
【００４０】
続いて表示制御部１０４は、受信した操作情報に基づいて、対応する第一の表示を生成する（Ｓ１２）。すなわち、表示装置に対する、マウスポインタを移動させながら描画を行うという信号が複数回生成される。
【００４１】
ステップＳ１２の動作と並行して、ダミー操作生成部１０３では、ダミー操作情報の生成が行われる（Ｓ１３）。
ダミー操作情報とは、前述したように、利用者が行った操作と類似するダミーの操作情報である。第一の実施形態では、ダミー操作生成部１０３は事前に記憶された軌跡情報を用いてダミー操作情報を生成する。図４は、ダミー操作生成部１０３に記憶された軌跡情報の例である。ダミー操作生成部１０３には、このような軌跡情報が複数記憶されており、ダミー操作生成部１０３は、ダミー操作情報を生成する際にいずれか一つをランダムに選択する。本例では、図４に示した軌跡４０１を用いてダミー操作情報を生成するものとする。つまり、軌跡４０１に沿ってポインタを移動させるための移動方向および移動量がダミー操作情報として生成され、表示制御部１０４へ逐次送信される。ダミー操作情報を生成する際のポインタの移動量は、利用者の操作によるマウスポインタの移動量と同等とすることが好ましい。
【００４２】
続いて表示制御部１０４が、ステップＳ１２と同様に、受信したダミー操作情報に基づいて対応する第二の表示を生成する（Ｓ１４）。すなわち、ダミーの軌跡である軌跡４０１に従ってマウスポインタを移動させるという信号が生成される。
【００４３】
続いて表示制御部１０４は、生成した二つの表示を合成し、表示装置２００に対する描画信号を生成して表示装置２００へ出力する（Ｓ１５）。これにより、利用者が操作を行っているマウスポインタと、生成されたダミーのマウスポインタが同一の画面に重なって描画される。
【００４４】
なお、ステップＳ１３によって生成されるダミー操作情報は複数個であってもよく、それぞれのダミー操作情報は異なる軌跡情報をもとに生成されるものであってもよい。この場合、ステップＳ１４で該当する数の第二の表示がそれぞれ生成され、ステップＳ１５で合成された結果、複数個のダミーポインタが画面に出力される。
【００４５】
画面の例を参照しながら具体的に説明する。図５は、利用者がマウスポインタの移動操作を行った場合の画面表示を説明する図である。なお、図５において、マウスポインタの色を変えているが、これは同一色のポインタが同一時刻に表示されることを示すためである。
操作開始時、マウスポインタが図５中（Ａ）の位置にあったとし、利用者がマウスを操作してポインタを（Ａ１）の位置に移動させたとする。このとき、操作取得部１０２から表示制御部１０４へは、実線で示した軌跡に該当する操作情報が逐次送信される。同時に、ダミー操作生成部１０３は、図４に示した軌跡４０１を用いてダミー操作情報を生成する。ダミー操作生成部１０３から表示制御部１０４へは、軌跡４０１のうち、利用者の操作による移動距離分に相当する、点線で示した軌跡に該当する操作情報が逐次送信される。
【００４６】
そして、表示制御部１０４が、実線の軌跡を用いて第一の表示を、点線の軌跡を用いて第二の表示を生成し、合成して表示装置に出力する。この結果、ポインタは（Ａ）の位置から二つに分かれ、（Ａ１）と（Ｂ１）の二箇所に移動する。つまり、位置（Ａ１）にある本物のポインタ５０１に対して、ダミーポインタ５０２は無関係な位置（Ｂ１）を指し示すこととなる。利用者がさらにマウスを移動させると、本物のポインタ５０１は操作に対応した位置に移動し、ダミーポインタ５０２は、ポインタ５０１が移動した距離の分だけ軌跡４０１を辿ってさらに移動する。
【００４７】
このように、第一の実施形態によると、画面上に同一形状をしたダミーポインタが表示されるため、画面を覗き見ている者にとっては、どれが本物のポインタであるか認識することができず、利用者が何を指し示そうとしているのかを知ることができない。一方、利用者は、自分が行った操作の通りに動いている、すなわち自分が行ったマウス操作の方向と移動の方向が一致しているポインタが本物であると容易に認識することができる。
【００４８】
以上に説明した実施形態を、インターネットバンキングのパスワード入力画面に適用した場合の表示例が図６である。当該画面では、画面に表示された文字を選択することによってパスワードを入力する。画面に表示される本物のポインタは一つであるが、複数のダミーポインタが画面内を異なる方向に移動するため、たとえ画面を覗き見たとしても、利用者がどの文字を指しているのかを把握することは極めて困難となる。
【００４９】
第一の実施形態では、マウスによってポインタを移動させる形態について述べたが、画面上のポインタを動かすことができれば、入力デバイスはマウスに限られない。例えば、タッチパッドであってもよいし、トラックポイント（登録商標）のようなポインティングスティックであってもよい。入力デバイスが、指の動きが少ないスティックタイプであれば、たとえ画面と同時に利用者の手元を盗撮したとしても、利用者がどこを指し示そうとしているのかを判別することはほぼ不可能となる。
【００５０】
また、携帯情報端末のようにタッチパネルのみを有し、画面上の座標を直接指定する機器であっても、画面上にポインタを追加することで第一の実施形態を適用することができる。この場合、例えばタッチパネルの一部分をタッチパッドとして使用し、ポインタの操作に用いてもよい。
【００５１】
なお、実施形態の説明では、あらかじめ記憶された軌跡を用いてダミー操作情報を生成したが、他の利用者が行った操作の内容を記憶しておき、当該操作内容を用いてダミー操作情報を生成してもよい。例えば、ある利用者が入力操作を行った際のポインタの軌跡を軌跡情報に追加し、別の利用者が装置を利用する際に使用してもよい。
【００５２】
（第二の実施形態）
第一の実施形態では、事前に記憶された軌跡情報を利用してダミー操作情報を生成したが、第二の実施形態では軌跡情報を用いず、利用者が行った操作に基づいてダミー操作情報を自動で生成する。すなわち、入力デバイスから入力される操作情報に基づいて、本物のマウスポインタの表示とダミーのマウスポインタの表示の両方を行う。第二の実施形態に係るシステム構成は、ダミー操作生成部１０３が軌跡情報を記憶していないこと以外は、第一の実施形態と同様である。また、以下で説明するステップ以外の動作は第一の実施形態と同様である。
【００５３】
第二の実施形態におけるダミー操作生成部１０３は、利用者が行った操作の内容を一部変更して、ダミー操作情報として出力する手段である。例えば、操作取得部１０２が取得した操作の内容が、「マウスポインタを１００ピクセル分上方向へ移動」するものであった場合、ダミー操作生成部１０３は「マウスポインタを１００ピクセル分右方向へ移動」
といったように、その操作内容を一部変更したものをダミー操作情報として出力する。
【００５４】
ステップＳ１３にて、ダミー操作生成部１０３が行うダミー操作情報の生成方法について説明する。本実施形態では、利用者が行った操作情報の一部をステップＳ１３にて書き換え、当該操作情報をダミー操作情報として用いる。書き換えは、具体的には下記のような方法によって行うことができる。
（１）操作情報がポインタの移動である場合、その移動方向を変更する
（２）操作情報がポインタの移動である場合、その移動方向ならびに移動距離を変更する（３）操作情報が座標の指定である場合、その座標を変更する
移動方向の変更は、たとえば利用者が行った操作の方向に特定の角度を加算することで行うことができる。また、移動距離の変更は、利用者が行った操作の移動距離に特定の係数を乗算することで行うことができる。このようにすることで、ダミーポインタの位置が利用者の操作とは無関係な場所を示すようになる。本実施形態では、上記（１）の方法を用いる。
【００５５】
図７は、利用者がマウスポインタの移動操作を行った場合の、ダミー操作情報の生成方法を説明する図である。なお、図７において、マウスポインタの色を変えているが、これは同一色のポインタが同一時刻に表示されることを示すためである。
利用者が操作を開始する際、マウスポインタが図７中（Ａ）の位置にあったとする。利用者が、マウスを上方向（０度方向）に操作してポインタを（Ａ１）の位置に移動させると、ダミー操作生成部１０３および表示制御部１０４には（Ａ）から（Ａ１）への移動経路が送信される。本例では、ダミー操作生成部１０３は、移動方向を時計回りに９０度分だけ変更したものをダミー操作情報として出力する。変更された移動方向は右方向（９０度方向）となるため、ダミー操作情報によるポインタの位置は（Ｂ１）となる。同様に、ポインタを右方向（９０度方向）に操作して（Ａ２）の位置に移動させると、ダミー操作情報による移動方向は下方向（１８０度方向）となるため、ポインタの位置は（Ｂ２）となる。
【００５６】
図８は、本実施形態を図６の例に適用した場合の表示例である。本例では、本物のポインタ８０１のほか、ダミーポインタを４つ生成し、それぞれの移動方向について別々の角度を加算する。これにより、５つのポインタが別々の方向に動くため、第三者が画面を見てもどれが本物のポインタであるかを判別することは困難となる。また、ダミーポインタは、本物のポインタと同一の方向に動くことがないため、利用者はどれが本物のポインタであるかを容易に判別することができる。
【００５７】
このように、第二の実施形態では、利用者が行った操作からダミーの軌跡情報を機械的に生成するため、全てのポインタが類似した挙動を示し、かつ、各ポインタがばらばらな位置を指し示すという特徴がある。
【００５８】
なお、図７の例では、本物のポインタの初期位置（Ａ）を開始位置としてダミーポインタの描画を始めたが、ダミーポインタの描画を開始する位置は、画面上のランダムな位置としてもよい。また、画面を領域で分割し、それぞれの領域において加算する角度や乗算する係数を変更してもよいし、所定の間隔で加算および乗算する値を変更してもよい。
【００５９】
（第三の実施形態）
第一および第二の実施形態は、利用者がマウスを操作することによって画面上のポインタを動かす形態であるが、第三の実施形態は、利用者がタッチパネルを操作することによって、画面に表示された仮想キーボードを押下する形態である。第三の実施形態に係るシステム構成は第二の実施形態と同様である。また、以下で説明するステップ以外の動作は第一の実施形態と同様である。
【００６０】
第三の実施形態における入力デバイス１０１は、操作画面に備えられたタッチパネルである。パネル上の任意の場所を指で押下することによって、操作画面上の位置を指定することができる。本実施形態では、タッチパネルである入力デバイス１０１を通して、暗証番号を入力する形態について説明する。図９は、表示装置２００を通して利用者に表示される暗証番号入力画面である。利用者は、表示された数字を押下することによって暗証番号の入力を行う。
【００６１】
本実施形態における処理ステップについて説明する。ステップＳ１１では、操作取得部１０２が、押下された画面上の位置を操作情報として取得する。ここでは仮に、利用者が３という数字を選択したとすると、「“３”キーに対応する位置が押下された」という操作情報が操作取得部１０２によって取得され、ダミー操作生成部１０３および表示制御部１０４に送信される。
【００６２】
続いて、ステップＳ１２では、表示制御部１０４が、受信した操作情報に基づいて対応する第一の表示を生成する。ここでは、押下された位置に対応する数字の表示をへこませるアニメーションを行うものとする。従って本例では、図９のように仮想キーボードの“３”を表すキー部分がへこんだ表示が、表示制御部１０４によって生成される。
【００６３】
ステップＳ１２の動作と並行して、ダミー操作生成部１０３では、ダミー操作情報の生成が行われる（Ｓ１３）。本実施形態では、ダミー操作生成部１０３が、利用者が指定した座標を変更することでダミー操作情報を生成する。ここでは、「押下されたキー以外のキーに対応する領域のうち、ランダムに決定された座標が押下された」というダミー操作情報を生成するものとする。これにより、例えば「“４”キーに対応する位置が押下された」というダミー操作情報が生成され、表示制御部１０４へ送信される。表示制御部１０４は、受信したダミー操作情報に基づいて、対応する第二の表示を生成する（Ｓ１４）。すなわち、仮想キーボードの“４”を表すキーの部分がへこんだ表示が生成される。
【００６４】
続いて表示制御部１０４は、生成した第一の表示および第二の表示を合成し、表示装置２００に対する描画信号を生成したうえで表示装置２００へ出力する（Ｓ１５）。これにより、図１０（ａ）に示したように、利用者が押下した“３”キーの他に、“４”キーも同時に押されたかのような表示が画面に描画される。
【００６５】
第三の実施形態では、利用者が画面上の座標を直接指定する入力形態において、指定された座標と異なる座標が指定されたというダミー操作情報を生成する。これにより、たとえ操作画面の表示データ（スクリーンショット）を攻撃者が取得したとしても、第一および第二の実施形態と同様に、利用者によって選択された文字を把握することが困難になる。
【００６６】
本実施形態においても、第一および第二の実施形態と同様に、複数のダミー操作情報を生成してもよい。例えば、利用者の操作に対して、それぞれ別の座標を指定する３つのダミー操作情報を生成した場合、その画面表示は図１０（ｂ）のようになり、スクリーンショットに基づく暗証番号の盗取を一層困難なものとすることができる。
【００６７】
なお、本実施形態では、操作に対応する表示として仮想キーボードの押下アニメーションを出力する例を挙げたが、例えば表示は選択箇所をハイライトするものであってもよいし、色を変更するものであってもよい。表示の形態は必要に応じて変更することができる。
【００６８】
（変形例）
各実施形態の説明は本発明を説明する上での例示であり、本発明は、発明の趣旨を逸脱しない範囲で適宜変更または組み合わせて実施することができる。例えば、第一の実施形態と第三の実施形態を組み合わせ、ダミーのマウスポインタを複数表示したうえで、数字を押下する際には数字の押下アニメーションを複数表示してもよい。
【００６９】
また、ダミー操作生成部１０３がダミー操作情報を生成する際は、ダミーポインタが所定の領域から外に出ないように制御してもよい。この所定の領域は、本物のマウスポインタが移動可能な領域（マウスポインタ移動領域）と同じにすることが好ましい。たとえば、マウスによる仮想キーボードの入力画面においては、マウスポインタおよびダミーポインタの移動領域を仮想キーボードの表示範囲と一致させること良い。ダミーポインタが仮想キーボードの範囲から外れ、何も無い場所で動いていると、当該ポインタは本物ではないと推測できてしまうが、このようにすることで真贋の判別がより困難となる。
【００７０】
ダミーポインタが所定の領域から外に出ないようにするための制御としては、以下の方法が考えられる。第１の方法は、所定の領域から外に出ようとするポインタを停止させる方法である。第２の方法は、所定の領域を外れて移動しようとするポインタの移動方向を反転させる方法である。すなわち、Ｘ座標の最大値を超えてＸを増やす方向に移動する場合には、例えば、Ｘを減らす方向に移動させるようにする。第３の方法は、領域の両端が接続されているものとみなして、ポインタをループさせる方法である。すなわち、Ｘ座標の最大値を超えてＸを増やす方向に移動する場合には、Ｘ座標の最小値の位置にポインタを出現させ、Ｘを増やす方向に移動させるようにする。
【００７１】
同様に、ダミーポインタが本来のポインタから離れすぎないように移動速度および方向を調節してもよい。このようにすることで、ダミーポインタが操作対象の領域から極端に離れることによる不自然さを無くすことができる。
【００７２】
また、表示制御部１０４は、適当なタイミングで画面上のポインタの位置をリセットし、あるいは新たに割り当て直してもよい。すなわち、ダミーポインタと本物のポインタを入れ替える、または全てのポインタを新たな位置で再描画する等の処理を行ってもよい。新たな位置は、全てのポインタについて同じ位置としても良いし、異なる位置としても良い。このような処理を行うタイミングは、例えば、一定時間ごと、ランダム時間ごと、入力デバイスから移動以外の操作情報（マウスのクリック入力など）を受け取ったタイミングなどとすることができる。例えば、暗証番号を入力する画面上に「確定」キーがあった場合、最終的に確定キーの上に来るポインタが本物であると推測できてしまうが、ポインタ位置のリセット処理を導入することで、リセット処理をまたいでの追跡は不可能となる。
【００７３】
上述の実施形態においては、本物のマウスポインタとダミーポインタの外観を同一のものとして説明したが、ダミーポインタの外観は本物のマウスポインタと異なっていても良い。例えば、ダミーポインタの形状を変えても良いし、色彩を変えても良いし、それら両方を変えても良い。このように区別することで利用者は本物のマウスポインタの追跡が容易になるという効果が得られる一方、第三者は本物がどれであるか分からないという効果も保たれる。このようにポインタの外観を変える場合には、第三者が追跡できないようにするために、適当なタイミングで本物のマウスポインタとダミーポインタの外観を変更することが好ましい。変更タイミングについては、上記の表示位置のリセットタイミングと同様のタイミングとすればよい。ポインタの外観変更は、ポインタの表示位置変更と組み合わせて採用しても良いし、単独で採用しても良い。両方の処理を採用する場合は、それぞれの変更処理を実施するタイミングを、同じタイミングとしても良いし、異なるタイミングとしても良い。
【符号の説明】
【００７４】
１００  入力装置
１０１  入力デバイス
１０２  操作取得部
１０３  ダミー操作生成部
１０４  表示制御部
２００  表示装置
【図１】
2015111319.tif 000003
【図２】
2015111319.tif 000004
【図３】
2015111319.tif 000005
【図４】
2015111319.tif 000006
【図５】
2015111319.tif 000007
【図６】
2015111319.tif 000008
【図７】
2015111319.tif 000009
【図８】
2015111319.tif 000010
【図９】
2015111319.tif 000011
【図１０】
2015111319.tif 000012
【図１１】
2015111319.tif 000013