ShownPass: 表示されたパスワード を用いたアクセス制御
綾塚 祐二

河野 通宗

暦本 純一

ソニーコンピュータサイエンス研究所
インタラクションラボラト リー
要旨
アクセス制御は、いつでもどこでもネットワークが使えるような環境では重要な課題である。
既存のアクセス制御手法は、主として予め登録された端末やユーザを認証するという考えに基づいていたため、その場にあるリソースの利用許可を訪問者に対して与えるといったようなことは手間が掛かる。我々は、リソースのそばに時刻とともに変化するパスワード を表示し 、リソースの近くにいるユーザのみがそれを利用できるようにするという手法を提案する。
この手法は特殊なハード ウェアなどは必要とせずに、パスワード が見える場所に居るかど うかという物理的な制約に基づいたアクセス制御を簡単に行うことができる。

ShownPass: an Access Control with a Displayed Password
Yuji AYATSUKA, Michimune KOHNO, Jun REKIMOTO
Interaction Laboratory,
Sony Computer Science Laboratories
Abstract
Access control is one of the most important issue with ubiquitous networking environment. Traditional access control methods are mainly considering authentication of registered user or device.
Therefore, it is troublesome to allow a visitor to use a networked resource in an office, without
accessiblity to other resources. We propose a new access control method that employs alternative
passwords displayed beside a resource. A user who can see the password is allowed to use theresource. This method can be implemented without any special equipment like a sensor.

–1–1 はじめにえ、特殊なハード ウェアを用いることなくそのような利用許可を容易に実現する方法を提案する。具体的には、ネットワーク環境が整備されるにつれ 、日常の様々なリソース自体もしくはその近傍に、数分程度の一定時間場所からのネットワークアクセスが極めて容易になってで自動的に変化するパスワード を表示する部分を設け、きた。IEEE802.11 などの規格の無線によるネットワー

そのパスワード を用いることによりそのリソースにアク接続も普及し 、オフィス環境でも各人がノート型 PCクセスができるようにする。すなわち、物理的にリソーを持ち歩き、会議室などからもネットワーク上のデータスの近くにいれば容易に知ることができるが、そうでなを参照することなどが当然のように行われるようになっければ 知ることのできない情報を基準にしてリソースてきている。そのような環境に馴れたユーザが 、訪問先の利用を許可する。パスワード が一定時間ごとに変化などでも同じようにネットワークにアクセスしたいといすることにより、そのリソースを一度利用したユーザでう要望を持つのは自然な成り行きである。

も、その場を離れた後は利用が不可能になる。

しかし 、ネットワークが普及した環境ではセキュリ

以下の節では、この手法の詳細と特性を論じ 、いくつティやアクセス制御のことも充分に考慮しなければな

かの実装例を示す。

らない (文献 [5] でユビキタスコンピューティングや仮想現実感を用いたインタフェースに関する様々なセキュ

2 ShownPass

リティの問題が分析されている)。例えば 、オフィスでは 、訪問者がそこから インターネットへアクセスすることは構わないが 、オフィス内の他の計算機などネット

従来、ネットワーク上のリソースに対するアクセス制

ワーク上のリソースに自由にアクセスできる状態にし御は主に「予め登録されたユーザ・端末に対してアクセてしまうことは好ましくないであろう。携帯電話などをスを許可する」という方向で考えられてきた。登録は人利用したネットワークアクセスなどの手段もあるため、手を介して行われ 、また登録の解除も人手を介して行わ

訪問者には LAN 内へのネットワークアクセスを提供しれる。そのため、「一時的な利用の許可」を頻繁に行うないという選択をすることは、より安全性を求めるためようなことには向いていない。また、アクセスが LANの内側からか外側からかといった、ネットワーク上でのにもやむを得ないことが多い。
その結果、例えば 、ユーザが訪問先で自分の端末にあトポロジーに基づいた制御も行われるが、これは「物理る資料を印刷したいと思ったときにも、そこにあるプリ的には近接しているが 、まったく別のネットワークに接ンタを直接使うことはできないという事態が生じる。そ続している端末」に対応することができない。のため、ユーザはメモリカード などの媒体を使ってデー「 一時的な利用の許可」を与えたい場合とその対象タを訪問先の人に渡し 、印刷してもらうことになる。となるリソースを考えると、離れた場所からネットワー

このような状況は 、訪問者に対し 、その訪問期間のク越しにサーバへのログ インを許すというようなこと

み、特定のリソースへのアクセスを許すことのできるよりも、前節で挙げたような、訪問者にプリンタなどの簡便な手段があれば改善することができる。ネットワー

物理的出力デバイスの利用を許すという場合のほうがクアドレスなど 端末の ID を利用した制限やパスワード多いであろう。つまり、リソースの一時的な利用を許可による制限、訪問者用の独立した LAN のセグ メントをしたいユーザは 、既に物理的にそのリソースの近くに用意することなどで解決することもできるが 、それにいることが多いと考えられる。加えて、物理的にリソーはコストが掛かる。前者では、訪問者があるごとに端末スに近づくことを許されているユーザには 、その使用の ID やパスワード を登録し 、訪問が終了したら削除すを許可して構わないことが多いと考えられる。そこで、るということを繰り返さねばならない。また後者では、この物理的な位置関係を利用して、リソースの近くにい独立したセグ メントを用意し 、そこに訪問者用のリソーるときのみアクセス許可することを考える。

スを用意しなければならない。

我々は、リソースに対してリクエストを出すユーザが物理的に近くにいることをリソースに保証するための

我々は、この訪問者のような例の場合、「ユーザがリソースに物理的に接近することが許されている」こと手段として、リソース自体もしくはその近傍にパスワーと「そのユーザに (一時的に) そのリソースの利用が許ド を表示し 、そのパスワード をユーザが端末に入力し 、されている」ことがおおよそ一致する場合が多いと考リクエストに添えるという手法を提案する。すなわち、–2–

伝え認証を行った後、そのリソース向けの通常のaddress: print@foo.bar.com
password: 012345

プロトコルでデータのやりとりを行う。

LAN

リソースへ送られるデータの一部に付加する: 送られDisplay

るデータに 、コメントなど の付加的な情報としてsee

パスワード を付加しておく。
User'sTerminal

いずれの場合も、リソースはユーザが送付したパスワー
ドと現在表示しているパスワードを比較し 、合っていれResource

ば ½ その後の処理を続け、違っていればそのリクエスト
RequestTo: print@foo.bar.com
Password: 0123_

を却下する。パスワードを直接送らず、それを元にしたハッシュ値などを送ることも考えられる。
パスワードは、ユーザが見て端末に入力するので、あInternetまり長い文字列ではないほうが望ましい。数分といった時間間隔で変更されるので、破られにくいように長くすrequestる必要もない。数桁の数字、もしくは英数字で充分なこAnother Networkとがほとんどであろう。

図 1: ShownPass の概念図

2.2 適用範囲
パスワードを見ることのできるユーザに対して、リソー

ShownPass は訪問者のようなゲストユーザに一時的なリソースの利用許可、特に一回のリクエストのみの許スの利用を許すという手法である。パスワードは一定時間 (たとえば 数分) ごとに変化させ、過去のパスワード可のようなものを与えるような場合に特に有効である。

は使えないようにすることで、その場を去ったユーザはパスワード の表示をリソースの物理的な実体と関連付自動的にそのリソースが使えなくなる。逆に、パスワー

けた状態で行うことにより、物理的な空間に応じたアクドを見ることができれば 、ユーザは全く別のネットワー

セス制御、たとえば会議室内のリソースのみ利用を許す

クからリソースを利用することもできる。

といったことが簡単に実現できる。これは、ネットワー

この手法の特徴的な点は 、通常ならばなるべく秘諾

ク上でのユーザ登録など の管理のみで行おうとするとされるべきパスワードを、オフィス外などからは見えな非常に繁雑な手間を要する。

いような場所とはいえおおっぴらに表示しておく、とい

ShownPass と同時に他のアクセス制御、認証を用いることもできる。そのオフィスに所属するユーザの利便うところである。そこで 、この手法を “ShownPass” と呼ぶことにする。リソース自体、もしくはその近傍にパ性を考えると、LAN 内からのアクセスや登録された端スワード を表示する部分さえあれば 、付加的なハードウェアを必要としないということも大きな特徴である。

末からのアクセスはパスワード 無しで受け付けるのがよいであろう。また、場合によっては逆に制限を強くしそのため、既存の各種のリソースを既存のさまざまな端て、ユーザや端末の登録と ShownPass で提示されるパ末から ShownPass を用いて利用することができる。

スワード の両方を必要とするリソースを置くことも考

図 1 はこの手法の概念を表した模式図である。このえられる。

図では、ユーザがリソースに対してリクエストを出すたShownPass は、物理的にリソースの近くへ来ることがめのアドレスもパスワード とともに表示している。

可能である時点でセキュリティの問題はある程度クリアされているという前提に基づいているので、それが成り2.1 リソースへのパスワード の提示方法立たない場合には単体で適用すべきではない。たとえばユーザが リソースへのリクエストの際にパスワードパスワード を見ることの可能な位置にカメラなどが取を添える方法は二通り考えられる。

りつけられていて、それが外部から自由に見られるので½ 実用上は、ユーザがパスワード を見てからリクエストがリソースに届くまでの間にパスワードが次のものに変わってしまう場合を考慮して、一つ前のパスワード までは有効とするのがよいであろう。

通信の開始時に伝える: TCP/IP などでリソースに接続した直後に 、そのコネクション上でパスワード を–3–

anothernetwork

requestInternet

User Terminal

input

see
Printer

Password
Display

Password
Generator

displayprint

LANcheck

図 2: ShownPass を用いたプ リンタ
Mail Server

Print
ServerPassword
Matcher

図 4: ShownPass を用いたプリンタの構成図
ワードはフォームデータの一部として入力するようにす
図 3: プ リンタへの印刷要求のメイルればよい。サーバへは 、URL の引数部分の一部として埋め込むか、ヘッダの一部として渡すことができる。

あれば 、ShownPass は全く意味をなさない。逆に、表示

パスワード の生成、表示やその照合は、リソース自体される場所や、リソースへ渡す方法など 、パスワード のが行ってもよいし 、他の計算機がその部分を受け持ち、取り扱いに留意すれば 、この手法は比較的高度なセキュ認証されたもののみをリソースに送るようにしてもよ

リティを要求されるものに対して用いることもできる。

い。以下の例では、その両方の場合を紹介する。

その際にはもちろん、求められる安全性に応じて、他の認証や送られるデータの暗号化など の技術を併用すべ

3.1 プリンタきである。

図 2 は、ShownPass をプ リンタに適用した例である。

3

パスワード の生成や照合は他の計算機が行い、表示は実装

プリンタのそばに置いた PDA (PocketPC) により行って我々は、ShownPass を用いたシステムとして、電子メいる。この PDA は IEEE802.11b で LAN に接続されてイルによりリソースへリクエストを送り、件名として正おり、ウェブブラウザを用いてパスワードを表示していしいパスワード が記されていればそのリクエストが処る。PDA には メイルアドレ スも表示されており、ユー理される、というものを作成した。リソースへ送るデー

ザはこのアドレ スに、PDF (Portable Document Format)

タ本体は、本文もしくは添付ファイルとして送る。メイ

ファイルを添付し件名にパスワードを記したメイルを送ルを用いることにより、既存の端末をそのまま付加的なることにより (図 3) 、このプリンタから印刷を行うことハード ウェアやソフトウェア無しに利用することができができる。パスワードは 3 分ごとに変わる、6 桁の数字る。また携帯電話のような、LAN に直接接続することである。LAN 内部からはもちろん通常通りにこのプ リができない端末からも利用することができる。

ンタを使用することができる。

ウェブページのフォームと CGI 、HTTP を用いたファこのシステムの具体的な構成は図 4 のようになってイルのアップロード [1] などを用いて同様な使い勝手のいる。メイルサーバ (ここでは、PC の Linux 上で動くシステムを構築することもできる。その場合にはパス

qmail を利用している) の、メイルが届く毎に設定した–4–

図 5: ShownPass を用いた画像付き掲示板

図 6: カメラ付きの携帯電話から掲示板に投稿するプログラムを起動する機能を用い、パスワード 照合プロ

AnotherNetwork

グラムを起動している。照合プログラムはパスワード 管

requestInternet

理プログラムと通信して件名に記されているパスワードが有効であるかど うかを照合し 、有効であれば添付されたデータをプリンタに印刷するプログラムを起動する。
この例の場合、リクエストが受理されたことはプリンUser Terminal
input

タから印刷が開始されることで容易に知ることができseeる。一方、パスワードが違い、リクエストが却下された

Networked
Bulletin
Board

ときはそのままでは何も起こらず、リクエストの到達がLAN遅延しているのと区別がつかない。メイルでエラーメッ

polling

セージを送り返したり、Web ページを利用する場合は、結果としてエラーを表示するページを返したりすること

Mail Serverが当然考えられるが、この実装ではパスワードを表示するディスプレ イがエラーも表示する。そうすることによ

図 7: ShownPass を利用した掲示板の構成図

り、宛先のアドレスが間違っていたのではないことが確認できる。また、エラー表示もその場にいないと判らないということは、セキュリティ上も望ましいであろう。

ノックを検出している) を行ったときに一定時間表示するようにしている。本文に文章を書き、そして添付ファイルとして画像を付け、プリンタの場合と同じように件

3.2 掲示板

名にパスワード (この例では 4 桁の数字及び * と # の記

図 5 は我々のオフィスで用いている画像付き掲示板号) を記し表示されているアドレスにメイルを送ると 、の例である。ユーザはカメラ付き端末で撮った写真やそ投稿が完了する。図 6 はカメラ付きの携帯電話から投の他の画像ファイルに言葉を添えて投稿することができ稿しようとしている様子である。

る。専用の端末からの投稿に加えて、掲示板の前にいる掲示板のプ ログラムは PC の Windows の上で動いてユーザに対しては自身のカメラ付き携帯電話などからいるアプリケーションで、定期的に (もちろん、パスワーの投稿を許している。

ド の更新よりは短い間隔で ) 表示されているアドレスに

この例の場合は掲示板のプログラム自体がパスワー対応したメイルのスプールにアクセスしている。メイル

ド の生成・表示・照合を管理している。通常の状態ではが届いていると件名を調べ、有効なパスワードが記されパスワードは表示されておらず、ユーザが物理的なリクていればその投稿を受理し 、それ 以外のメイルは削除

エスト (この例では、掲示板を表示している壁に対するする。図 7 がシステムの構成図である。この場合はリ–5–

Communication
ChannelDeviceA

DeviceB
Authentication
ChannelUser's Terminal

Resource

data

data

checksum

checksumencrypt

physicalspace

passworddecrypt

図 8: 通信チャンネルと認証チャネルを用いた通信のモ
デル : 多くの場合、通信チャネルのほうに広い帯域の通encrypteddata

信路を、認証チャネルのほうには何らかの制限の強い通network

encrypted
data信路を用いる
図 9: 表示されたパスワード で暗号化を行う場合ソース自身がパスワード の生成・表示・照合を管理しているので構成がシンプルになっている。

ブページで入力すると、懸賞に応募できる (パスワードは一回限り有効) という例も増えてきている。これらは4それぞれ、予約した本人であることやその菓子を買った議論と比較人 (もしくはその権利を譲られた人) であることを認証するための手法である。より ShownPass に近い例とし

この節では、ShownPass の特性を考察し 、またそのバては 、テレビ 番組やラジオ番組の懸賞に郵便はがきをリエーションや他のシステムなどとの比較を述べる。

使って応募する際に、番組中で発表されるキーワードが必要であることが多いということが挙げられる¾ 。

4.1 隔離された別の通信路を用いた認証
ShownPass における重要なポイントは 、通信のための正しい鍵 (パスワード ) を通常の通信路とは隔離され4.2 暗号化た別の通信路を使って渡しているという点にある。そ

本稿で紹介した実装例では、リクエストを送る端末側の「隔離された別の通信路」が物理的に制約の強い (リに付加的なソフトウェアを必要としないよう、表示されソースの近くにいないと使えない) ものであるというこたパスワードをそのまま電子メイルに記すようにしていとを利用してアクセス制御を行っているのである。我々る。しかし 、より安全にするためには、パスワードがそは [8] において「通常の通信用の通信路 (通信チャネル,のままの形でネットワーク上を流れるのは避けたほうがCommunication Channel) 」と「認証用の通信路 (認証チャネル , Authentication Channel) 」を別々に用意し、認証チャよい。そのためには、公開鍵暗号による電子メイル自体の暗号化や、HTTP ベースのシステムにして HTTPS[2]

ネルには何らかの形で人間が介在することによりセキュを利用することもできるが 、ShownPass で表示されたパリティとユーザビ リティを両立させるというモデル (図スワード 自体を暗号化の鍵として使うこともできる。

8) を提案している。ShownPass は、認証チャネル側に大きく人間が介在し特殊なハード ウェアを必要としない、のハッシュ値を用意する。そして、それらをまとめて、このモデルの一応用例と言える。

表示されたパスワード で暗号化し リソースに送る。そある経路を通じてパスワード を見せる、あるいは聞まず、リクエストのためのデータの本体とそのデータれを受け取ったリソースは、表示しているパスワードでかせるなどにより、別の経路でのアクセス制御を行う

復号し 、データのハッシュ値を計算し 、復号されたハッことは、実世界では日常的に行われていることである。

シュ値と一致すれば 、正しいリクエストとして処理を行

たとえば 、コンサートなどのチケットの販売で、電話でう (図 9) 。この過程においてパスワード 自体は一切ネッ

申し込み、予約が完了すると予約番号が音声で流れ 、発トワーク上を流れない。

券所に行きその予約番号を伝えると発券が行われると¾ この例や菓子の例の場合は、アクセス制御が主目的ではなくキーワードが発表されるまで番組を見させる・聞かせるため、菓子を買わせるためという側面が強い。

いうシステムが使われている。また、菓子などの箱の内側にパスワードが記されていて、そのパスワード をウェ–6–

4.3 自動的に変化するパスワード

パスワード の情報も含めることにより、ShownPass を同時に利用することも可能である。この場合、ユーザが時間とともに有効なパスワード が変わっていくとい自分でパスワード を入力する手間を省くことができる。

う点は、市販されているワンタイムキーパッドを用いた二次元コード 化されたパスワード とともに通常の文字認証システムと似ている。このシステムでは、パッド 側列としてもパスワードを表示しておけば 、カメラ付きでと認証を受け付ける側が時刻で同期して同じパスワーはない端末からの利用も行える。

ドを生成するようになっており、ユーザが正しいパッドを持っていることを保証することができる。これは、ア4.5 物理的な場所を限定するアクセス制御

ルゴ リズムと種となるパスワード 及び時刻を揃えることにより、仮想的な「認証チャネル」を確立しているとあるデータに対しアクセスできる場所及び 時間を制見なすことができる。ShownPass はこのパッドをリソー限するというアイディアと実装が SpaceTag[7] で提案さスのそばに設置しておくという状態に近い。それによれている。また、携帯電話のサービスなどで、ユーザのり、「ユーザが正しいパッド を持っている」という物理いる場所に応じた情報を提供するようなことが行われ的制約の替わりに 、「ユーザがそのリソースのそばにい始めている。これらは GPS などを利用して得られる大る」という物理的制約を保証している。

域的な位置を元にデータを提示することが想定されてなお、ShownPass の場合はパスワード を一定時間でいるが、赤外線を発するビーコンを用いるなどの屋内で変更するのではなく、ユーザから (物理的な) 要求があの位置認識技術を用い、提示され るデータとしてパスるごとに一定時間内に一回限り有効なパスワード を生ワードを与えられるようにすれば 、ShownPass と同じよ成するようにしてもよい。そうすることにより、遠隔地うなことが実現できる。

からたまたま正しいパスワード を当ててし まう確率は

Pick-and-Drop[4] や mediaBlocks[6] のような、計算機上のデータをあたかも物理的な実体かのごとく扱う実激減し 、また、有効時間を長めに取り、そこへ来た人にはその日のうちは遠隔地からの利用を許す、といった応

世界指向ユーザインタフェースも、本質的に、物理的な用の仕方も可能になる。

場所が限定されたアクセスを提供できる。しかしこれらは特別なハード ウェアを利用しており、現在の一般的4.4 「見る」ことを利用した機器制御な端末などで利用することはできない。また、広くネッ

パスワード を「表示する」ということは、ユーザからトワークを跨った状態で利用するためには、別途セキュそれが「見える」「見えない」でアクセス制御ができるリティの問題を考慮する必要がある。

ので、管理する側・利用する側の双方にとって直感的に判りやすい。表示を一時的に止めたり隠したりすること

4.6 近接通信を用いる場合との比較で、管理する側は容易に特定のリソースの利用を禁止することもでき、その確認も容易である。利用する側も、ユーザの 端末と リソースとの間の通信手段とし て利用が許されているリソースがどれであるか、認識がしBluetooth[3] などの近接通信を用いることにより、リソースの近くにいる場合のみそれを利用可能にすることもやすい。また、3 節で述べたように、リクエストの結果が物理的に確認できることも重要である。パスワードが考えられる。たとえば 、Bluetooth を用いるならば 、そ見える位置であれば 、結果の物理的な確認も容易であろの電波の届く範囲が自然にその利用可能な範囲となる。

う。間違って他のプリンタに出力してしまうことを防止

しかし 、電波の届く範囲は直感的に認識するのが難しく(壁を越えることもある) 、確認にも手間が掛かり、制御することもできる。
「見える」ということを直感的なアクセスのために使が難しい。また、範囲内に複数の (特に同種の) リソー

うというアイデ ィアは、Gaze-Link[9] でも用いている。

スがある場合には、利用したいものを識別する方法を用

Gaze-Link は 、リソースに張り付けた二次元コード を、意する必要がある。そして、ユーザの端末側もリソースカメラ付きの端末で認識することにより、目的のリソーが用意しているのと同じ 種類の近接通信手段を備えてスを識別し 、これらの端末とリソースのコネクションをいる必要がある。

確立するという手法である。これを拡張し 、二次元コー

ShownPass の場合は 、パスワード 表示が見える範囲が利用可能な範囲なので、判りやすく、確認も容易であド を表示デバ イスに表示し 、機器の識別情報に加えて–7–

5 まとめる。また、リソースとパスワード 表示が対になっているので、リソースの識別も容易である。そして、端末やリソースが備えている通信手段によらず、既に多くの機器本稿では 、たとえば 訪問者に対してプ リンタの利用で使われているソフトウェアを使って利用できる。

を許可するといった、あるユーザに対し一時的にネットワーク上の特定のリソースの利用を許可するような場

さらには、人間を介するということを利用して、柔軟合に適した、ShownPass と呼ぶ手法を提案した。リソーな運用を簡単に行うこともできる。たとえば 、ユーザがスの近くに時刻とともに変化するパスワード を表示し電話でリクエストを送る先のアドレ スとパスワード をておき、そのパスワード を添えたリクエストのみが処他の人に伝え、ユーザのいる場所のプリンタから直接資理されるようにすることにより、リソースの近くにいる料を出力してもらうことも可能である。

ユーザのみがそのリソースを利用できるようにすることができる。ユーザは、物理的にリソースの近くにいればまったく別のネットワークに接続されている機器から4.7 リソースに対し 物理的な操作を要求するでもそのリソースを利用できる。ShownPass を実装した例として、電子メイルを用いてリクエストを行うプリンリソースが提示するパスワード をユーザが自身の端タと掲示板を紹介した。

末から入力するのではなく、逆にユーザが生成したパス

今後は、他の実装例も開発し 、実際の利用における利ワードをリソース側にキーボード などで入力し 、それを便性や有効性を検証していく予定である。また、Shown-ネットワーク経由のリクエストにも添えて伝えることにより、ShownPass と同様な機能を実現することもでき

Pass で用いているような、物理的もし くは何らかの意
味で制約のある「隔離された別の通信路」を利用した他る。この場合、「見える」だけではなく、「物理的に操作の応用も探求していく予定である。

できる」必要があるため、より制限の厳しい方法であると考えられる。

参考文献

掲示板の例のように物理的な要求を元にパスワードを表示する方法はこれらの中間的な方法である。すな[1] RFC 1867. Form based file upload.

わち、「見る」ために「物理的な操作」を要求している。

[2] RFC 2818. Http over tls.

リソース側にパスワード を入力するようにしたほうが 、[3] Bluetooth. http://www.bluetooth.com.

パスワード を表示する必要がないのでより安全ではあ[4] J. Rekimoto. Pick-and-drop: A direct manipulation techniquefor multiple computer environments. In UIST ’97, pp. 31–39,
October 1997.

るが 、利便性や適用可能なリソースなどを考慮すると、ShownPass を用いるほうが実用的であろう。

[5] F. Stajano. Security for Ubiquitous Computing. Wiley, 2002.
[6] B. Ullmer, H. Ishii, and D. Glas. mediaBlocks: Physical Containers,Transports, and Controls for Online Media. In SIGGRAPH ’98 Proceedings, pp. 379–386, 1998.

4.8 その他の物理的な制限による制御[7] 垂水浩幸, 森下健, 中尾恵, 上林弥彦. 時空間限定型オブジェ
クトシステム：spacetag. インタラクティブシステムとソフトウェア VI 日本ソフトウェア科学会 WISS’98, pp. 1–10.
日本ソフトウェア科学会, 近代科学社, December 1998.

データのアクセスやソフトウェアの利用などに物理的な制限を加える手法として 、ハード ウェアキーもし
くはド ングルと呼ばれる装置を利用する方法が使われ[8] 河野通宗, 長健二朗, 綾塚祐二, 暦本純一. ユーザインタ
フェースを活用したセキュリティモデル . インターネット
コンファレンス 2002 論文集, pp. 43–51. 日本ソフトウェア科学会, November 2002.ている。この物理的なキーを一時的に貸し 出すことにより、一時的なアクセス許可を与えることが考えられるが 、キーを物理的に管理し 、紛失などに対応しなければならないという手間が発生する。また 、その物理的なキーを使える端末は種類が限られてしまうであろう。

ShownPass のようにキーとなる部分が単なるデータであり自動的に変化するものであれば 、そのような手間は生じないし 、幅広い種類の端末を利用することができる。

–8–[9] 綾塚祐二, 松下伸行, 暦本純一. 実世界指向ユーザインタ
フェースにおける「見ているものに接続する」というメタファ . 情報処理学会論文誌, Vol. 42, No. 6, pp. 1330–1337,
June 2001.