情報処理学会 インタラクション 2018
IPSJ Interaction 2018

2A11
2018/3/5

複数ボタンの移動追跡困難性を利用した覗き見耐性を持つ暗証番号・パスワード入力手法の操作性改善
小林 心†1

小國 健†2 中川 正樹†1

概要：スマホなどの暗証番号・パスワード入力では，それを覗き見されるショルダーハッキングの問題がある．我々はその防止策として，ボタンに色や形などの属性を付与してから，キー表示を消し，すべてのボタンを移動させ，移動後に目的のボタンをタッチする方式を提案している．覗き見する人は多数のボタン移動を同時には追えないが，利用者は目的のボタンが分かっているので，単一のボタンだけ追って入力できる．本手法は強度最優先ではないが，既存の入力方式の延長で利用でき，サーバサイドの変更も不要である．評価実験により，覗き見に対して耐性があることが確認された．しかし，操作者が目的のキー移動を見逃してしまう問題があった．そこで，移動をプレイバックできる機能を追加した．本稿ではその評価を提示する．

Usability Improvement of an Anti-Shoulder-Hacking PIN
Code/Password Input Method exploiting Tracing Difficulty ofMultiple Button Movements
Kokoro KOBAYASHI†1

Tsuyoshi OGUNI†2

Masaki NAKAGAWA†1

Abstract: When a person inputs a PIN code or password to a smartphone, etc., there exists risk of shoulder hacking of the PIN
code or password to be stolen. To decrease the risk, we assign colors or shapes to buttons, remove codes from buttons, movethem simultaneously and let the user to touch the target button. Peepers can’t trace movements of all the buttons at the same time,
but the user only need to trace a single button and touch it. This method does not have the highest security, but it is easy to use
and free from change to a server side. However, there is a risk to miss the movement of the target button. Therefore, we add afunction to rewind and replay the movements. This paper presents the new function and its evaluation.

1. はじめにの利用を主に想定し，キーを入力する瞬間の覗き見に耐性があり，かつ，ビデオ撮影への耐性を犠牲にしても，認知近年，スマートフォン・タブレット端末の普及に伴い，的負荷が少なく，サーバサイドへの変更の必要性がない暗電車・バスの車内など，第三者の目に触れうる場所で，暗証番号・パスワード入力手法を提案してきた[8]．本方式は，証番号やパスワードを入力する機会は格段に増えている．

ボタンに色や形などの属性を付加してから，キーの表示をまた，コンビニエンスストアやショッピングセンターなど消し，すべてのボタンを移動させ，移動後に目的のボタンに ATM が設置されることも多くなっており，こちらも人をタッチすることでキーを選択することを基本とする．し

目につきやすい場所での暗証番号を入力する機会の増加にかし，操作者が目的とするボタンの移動を見失う問題があつながっている．

った．そこで，ボタン移動を再生する機能を追加した．結暗証番号・パスワードを入力する際に，第三者に覗き見されることを，ショルダーハッキング（あるいはショルダ果として，盗み見のリスクを若干増加させるが，操作エラーをなくすることができた．

ーサーフィン）という．ショルダーハッキングが行われると，暗証番号・パスワードが推測されたり盗難されたりする恐れがあり，第三者に知られてしまうと，利用者の情報や資産を守ることができなくなってしまう．
これまでに，このショルダーハッキングに対応するために，様々な技術が研究されてきた[1～7]． 総じて，新たな

2. 基本手法
基本手法では，初期状態として一般的なキーボードと似た形式で表示されたボタンに，対応する文字または数字を表示する．

情報を追加したり，別の記憶や頭の中での計算を要するな

誰もいない場所であれば，キーを直接タッチして文字・どして利用者の認知的負荷を増したり，システムへの変更

数字を入力してもよいが，人目が気になる場所であれば，を要したりするため，導入がためらわれるものが多い．

キー配列をシャッフルする．すると，すべてのキーの表示

このことから，我々は，スマートフォンやタブレットで†1 東京農工大学工学府情報工学専攻
Department of Computer and Information Sciences, Tokyo University ofAgriculture and Technology†2 NTT データ
NTT DATA© 2018 Information Processing Society of Japanが消えてボタンが移動する．覗き見する人は，多数のボタン移動を同時には追えないが，利用者は目的の文字・数字が分かっているので，単一のボタンだけ追って，それを入力する（図１）．カメラで録画していない限り，非常に安価

565

情報処理学会 インタラクション 2018
IPSJ Interaction 2018

2A11
2018/3/5

図１．初期画面⇒シャッフル（ボタン内数字を消し，なめらかに移動）⇒目的ボタン押下
ボタンを見失った場合は [retry] ボタンを押す

図２．多色・多形方式初期画面⇒シャッフル（ボタン内数字を消し，なめらかに移動）⇒目的ボタン押下

図３．プレイバック機能
図２で移動した後，ボタンを左右にドラックすることで自由にプレイバックすることができる© 2018 Information Processing Society of Japan566

情報処理学会 インタラクション 2018
IPSJ Interaction 2018

2A11
2018/3/5

でセキュアに暗証番号を入力できる．この変形として，色，実験を行った．実験で用いる暗証番号・パスワードはキー形，大きさをボタンにつけておいて，表示を消し，位置をボード・被験者ごとにランダムに生成した．テンキーで用変えた後に入力させること方法も併せて提案する（図２）．

いる暗証番号は 4 桁の数字列，QWERTY 拡張で用いるパス

このとき，移動を表示させなければ入力の時間を短くでき

ワードは 4 文字の英数字列とした．計測には 7 インチ・1024る．この動作を 1 文字ごとに繰り返すことで 2 文字以上のx 600 のタブレット PC を横長の向きにして使用した．実験

暗証番号・パスワードを入力できる．

は，23 歳から 25 歳までの男性 4 名に対し行った．

本方式は強度最優先ではない（たとえば録画には耐性がない）が，既存の暗証番号・パスワード入力の延長で利用でき，サーバ側のプログラム変更も不要である．

4.2 実験手順
提案手法の各キーボードに対し，覗き見の可否，入力の成否，入力時間などを計測した．キーボードの順番による

3. 操作性改善

偏りをなくすため，キーボードの順番は被験者ごとにランダムに行った．

この手法では，移動を見逃した場合にはリトライをして各キーボードでは同じ暗証番号・パスワードを 3 回入力

移動をやり直す必要があり，移動速度の調整や見直しが不してもらい，覗き見者は各回でどこまで覗き見をすること可能であった．そこで，移動を指示するボタンがスライダができたかを記録してもらった．

を兼ね，移動中または移動後にスライダを操作することで今回，すべての文字で移動を見逃した場合を仮定し，実移動を戻したり進めたりできるようにした．スライダの左験を行った．まず，最初の移動を見逃したこと想定して，端が移動前，右端が移動後と対応しており，スライダを移利用者は移動を見ないようにし，覗き見者だけが移動を見動させることで対応した任意の位置に移動させることがでた状態で，ボタンを最後まで移動させる．次に利用者と覗きる．（図３）

き見者両方がキーボードを見ながら，利用者がスライダを使ってボタンの移動を確認し，移動後のボタンを押して文4. 評価実験
本章では，提案手法の覗き見強度や利用者の負荷を測定するための評価実験について述べる．
4.1 評価実験の構成
スライダにより移動を行うことでどの程度覗き見が可能となるかを測定することと，スライダを導入したことによる利用者の負荷を測定することである．本実験ではボタンやキーボードの種類が異なる，4 種類のテンキー・キーボードを準備した．
表 1 実験用キーボード一覧

実験No キーボード ボタン色 ボタン形状
1同一色
円形
テンキー
2多色
10形状
3同一色
円形
QWERTY
4多色10形状
表 1 の多色では，特定の明度・彩度において，色相を等間隔に分割し，各ボタンにランダムに割り振っている．また，ボタン形状の 10 形状には，円形・上向き三角形・下向字を入力することとした．これは，覗き見者にはもっとも有利な条件であり，また，覗き見の距離も 30cm 程度とかなり近い位置から常に覗き込んでいるため，これを覗き見可能性の上限と考えることとした．
4.3 実験結果
実験結果を次に要約する．
4.3.1 入力成功文字数とリトライ回数
今回の実験では，入力に失敗することはなかった．また，実験の性質上リトライも発生しなかった．
4.3.2 入力時間
各キーボードにおける，1 文字あたりのスライダ操作開始から入力までの時間を表 2 に示す．
表 2 入力時間（秒）

実験No
1234

入力時間
8.4
4.9
12.8
8.5

き三角形・正方形・ひし形・五角形・六角形・八角形・角丸・星型を用いている．これらは基本手法と同一とし，比較が可能となるようにした．
実験では，被験者を二人一組のペアとし，一人を利用者，一度のプレイバックに対し平均 8.5 秒ほどの時間がかかることが示された．

もう一人を覗き見者とし，キーボード 1 種類ごとに交互に© 2018 Information Processing Society of Japan567

情報処理学会 インタラクション 2018
IPSJ Interaction 2018

2A11
2018/3/5

4.3.3 覗き見成功率と 4 文字覗き見成功率

から，プレイバックの多用は大きな耐性の低下を招くこと

各キーボードにおける，平均の覗き見成功文字数を表 3に示す．

も確認された．
入力時間については，１回プレイバックを行うことでテンキーでは約 8 秒，キーボードでは最大 13 秒ほど時間がか

表 3 覗き見成功文字数（文字）実験No1234

プレイバックあり
1回目 2回目 3回目
0.00
0.50
2.25
0.75
1.75
2.50
0.00
0.00
0.25
0.00
0.25
0.50

かることが判明しているが，入力失敗に伴う再入力にはテなし（基本研究[8]）ンキーでは約 17 秒，キーボードでは約 28 秒かかることか

1回目

2回目

3回目

ら，これらのリスクをなくすためには必要なコストである

1.20

2.00

1.60と考えている．また，プレイバックを利用するためのシャ

0.83

1.50

1.83

ッフルボタンが小さすぎて，細かな操作が難しかったこと

0.00

0.25

0.00

も時間がかかっている要因となっているため，さらなる改0.00

0.20

0.00

テンキーでは 3 回の入力で最大で 3 文字，平均 2.5 文字程度覗き見に成功した．また，キーボードでは最大で 2 文字，平均 0.5 文字程度の覗き見に成功した．
なお，今回の実験では 4 文字すべてを覗き見られ，暗証番号・パスワードが盗まれることはなかった．

善により今後の解決すべき課題とした．

6. おわりに
本稿では，覗き見耐性を持つ暗証番号・パスワード入力
手法に対する操作性の改善を提案した．最初に，基本手法について，その利点と問題点をまとめた．次に，移動を見逃してしまう問題に対する対策を提示した．続いて，対策を施したことによる覗き見強度と，ユーザ負荷に対し評価

4.3.4 被験者の評価被験者からは，ボタン色が同一色のみの場合に入力・覗実験を行った．最後に，評価実験についてまとめ，操作性き見ともに難しいという意見が多く見受けられた．また，の改善を施した場合でも，2 回までの覗き見に対しては大移動の感度が高すぎるという操作性のさらなる改善を求めきな耐性の低下を招かず，かつユーザに過度な負荷をかける意見もあった．

ないことが確認された．
本稿の改善により，一定の覗き見耐性を保ちつつ，操作性が改善されることが確認された．今後は，覗き見耐性を5. 考察維持しつつ，さらなるユーザ負荷の軽減が課題となる．

本実験により，提案手法を用いると最大で 16.8%発生していた入力の失敗及び最大 1.17 回発生していたリトライが 0 となることが確認された．これにより，提案する操作性の改善手法が有用であることが確認された．

謝辞
評価実験に参加頂いた方々に深謝します．

操作性の改善に対し，3 回の覗き見で 1 文字あたり最大17%程度覗き見成功率が増加する結果となった（表 4）．
表 4 覗き見成功文字数の増減率（％）

実験
No
1234

覗き見成功文字数の増減
1回目
2回目
3回目
-30.0-37.5
16.3
-2.0
6.3
16.8
0.0-6.3
6.3
0.0
1.3
12.5

しかしながら，2 回までの覗き見では覗き見成功文字数の増加は 6%程度ととどまっており，これは基本手法の 2回までの覗き見に耐えるという実験結果と同様の結果となった．
これらの結果より，操作性の改善を施した場合でも，2回までの覗き見に対し耐性を有することが確認された．一方，3 度の覗き見に対する強度は大きく低下していること© 2018 Information Processing Society of Japan

参考文献[1] Tandy Willeby：Secure key entry using a graphical user interface,
US20020188872 A1(US 09/874,274).
[2] 田中進，高橋信介：暗証番号入力装置及び暗唱番号入力方法，
特願 2002-134808 (特開 2003-330888）．
[3] 桜井鐘冶，高橋渉：モバイル個人認証方式の提案と実装，情報処理学会研究報告コンピュータセキュリティ，No.122,
pp.49-54, 2002-12-20.
[4] 牧田和久：パスワード入力装置及びパスワード入力方法，特願2005-340699 (特開 2007-148658）．
[5] 高田哲司：フェイクポインタによる暗証番号入力装置及び暗唱番号入力方法，特願 2007-175073（特開 2008-33924）．
[6] 高田哲司：fakePointer：映像記録による覗き見攻撃にも安全な認証手法，情報処理学会論文誌，Vol.49, No.9, pp.3051-3061,
2008-09-15.
[7] 柿沼泰，丸山一貴：画像における色の近さを用いたスマートフォン画面の認証方式，情報処理学会，第 76 回全国大会講演論
文集，No.4, pp121-12, 2014-03-11.
[8] 小林 心，小國 健，中川 正樹：複数ボタンの移動追跡困難性を利用した覗き見耐性を持つ暗証番号・パスワード入力手法，
コンピュータセキュリティシンポジウム 2017，pp.728-733 ,2017.10.23-25

568