Vol. 44

No. 8

情報処理学会論文誌

Aug. 2003

あわせ絵: 画像登録と利用通知を用いた正候補選択方式による画像認証方式の強化法
高 田 哲 司†小 池 英 樹††複数画像から正候補を選択する方式による画像認証が知識/記憶照合による認証方式の人間に起因する問題点を改善する方法として注目されている．しかしその一方で，システムが提供する画像のみを使用している，記憶すべき画像の枚数が多い，パスワードとなる画像が必ず提示されるなどの問題が残されている．そこで本研究では画像登録と利用通知という機能を導入するとともに「照合すべき画像が提示画像群に存在しない」という事象を意図的に導入することで，既存の画像認証における問
題点を改善する方法を提案する．これによりユーザの記憶に対する負担を軽減可能にするとともに，画像認証に対する攻撃への安全性を確保することも可能になる．この提案に基づき，我々が開発したカメラ付き携帯電話の利用を対象とした画像認証システム「あわせ絵」についても紹介する．

Awase-E: the method enables an image-based authentication
to be more secure and familiar for users with providing
image registration and user notiﬁcation
Tetsuji TAKADA† and Hideki KOIKE††
We propose the method that makes image-based authentication to be more secure and familiar to users. We introduce a novel image-based authentication system, called “Awase-E”,
based on the methods. Current image-based authentications have some problems: using artiﬁcial images, necessary for memorizing some but not a few images and presenting password
images at all time. In order to improve them, we introduce “image registration” and “notiﬁcation to users” into image-based authentication. It makes possible to reduce the load tohuman memory and build a security against some types of attacks.

らない」ということである．画像認証は，認証時に人1. は じ め に間が行うべき行為を「文字列を思い出す」から「画像アカウント/パスワードによる認証方法の問題を改を認識する」という行為に変換することにより，ユー善する方法として画像を用いた認証方式 (以降，画像

ザに課される記憶負担を軽減し，その問題の改善を可認証と呼ぶ) が提案されている1) ．この認証方式は既存能にしている．

の知識/記憶による認証方式において最大の問題点でしかし提案されている画像認証は，いくつかの問題あった「人間に起因する問題」に着目し，その改善方が残されている．そこで本論文では，既存の画像認証法を提案したものとして注目を集めている．人間に起の問題点を整理するとともに，それらの問題を改善す因する問題とは，認証における安全性を維持するためる方法として「画像登録」と「利用通知」という枠組に人間にとって不得意であり，簡単には遂行できないみを導入するとともに「照合すべきパスワード画像が作業を強制している点である．具体的に言うと「意味含まれない」という画像提示法を利用する方法を提案のない文字列を記憶しなければならないとともに，認する．さらに我々は，この提案を基にカメラ付き携帯

証時にはそれを間違いなく完全に思い出せなければな

電話での利用を対象として開発した画像認証システム「あわせ絵」について紹介する．
本論文では，2 章で画像認証とその問題点を整理す† 電気通信大学 サテライトベンチャビジネスラボラトリ
Satellite Venture Business Laboratory, University ofElectro-Communications†† 電気通信大学 大学院 情報システム学研究科
The Graduate School of Information Systems, University of Electro-Communications

るとともに，それらに対する改善方法を提案し，3 章
ではその提案を基にカメラ付き携帯電話での利用を対象として開発した画像認証システム「あわせ絵」について紹介する．4 章では，考察として提案方法の利点，
1

情報処理学会論文誌

2

Aug. 2003

選択することで認証を行う．これによりパスワード情報の記憶ならびに想起を容易にするとともに望ましくないパスワードを使用不可能にする，さらに認証時の作業を簡易化するなどの利点が得られ，結果として人間に起因する認証システム上望ましくない行為の回避を可能としている．

2.2 画像認証における問題点
画像認証は記憶/知識による認証方式の問題点を改善しうる方法である．しかし，画像認証には以下に挙げるような問題点が残されている．
一つめはユーザとは無関係な人工画像2) の利用であ
http://www.sims.berkeley.edu/~rachna/dejavu/

図 1 Deja Vu の画面イメージ
Fig. 1 A screen image of Deja Vu

る．人間にとって画像は文字列よりもその記憶や想起が容易であるという特性を持つ．しかし既存の画像認証は，認証システムが一方的に提供するユーザとはなんの関係のない画像を利用している．これでは画像と安全性，今後の課題について述べる．

はいえ，ランダムなパスワードの使用を強制されてい2. 画像認証の問題点とその改善法
2.1 知識/記憶に基づく認証方式と画像認証る状況と同様であるといえ，前述の利点を享受できているとはいえない．
二つめはパスワード画像の追加や変更が困難なこと

認証とは，ある操作を実行する際にその操作者が該である．既存の画像認証は画像の追加を許していな

当操作を行う正当な権利を持つ者であることを確認す

かったり，その方法がユーザにとって容易でないことるための技術である．既存の認証方法は照合方法に基が多い．また意味のない画像を利用しているため，パづき以下の三種類に分類できる．

スワード画像の決定は容易ではなく，またその記憶に対する負荷も大きい．したがってパスワード画像は更表 1 認証方法の区分
Table 1 The three major authentication methods
方法

例

所有物による方法
知識/記憶による方法

IC Card, 鍵
アカウント + パスワード，
暗証番号 (PIN)
指紋, 虹彩, 筆跡

生体情報による方法

新されにくい状況にあるといえる．
三つ目は記憶すべきパスワード画像数の多さである．
画像認証ではその多くが安全性を確保するため複数枚の画像を照合することで認証を行う．しかし，記憶すべき画像の枚数が多くなればなるほど，画像とはいえ，それらすべての記憶が困難になる．結果として既存のパスワードによる認証と同様の問題を生じさせる恐れ

この中で「知識/記憶による方法」は他の二つの方法と比較して利点も多く

5)6)

がある．

，現在も多方面で利用さ

最後はパスワード画像を提示することに起因する問れている．しかしその一方で，この方法には大きな問題の存在である．画像認証が既存のパスワード認証と題がある．それはユーザである人間にとって，その実異なる点は，認証時に照合する情報が必ず提示される行が容易ではない行為を強いることである．それが結という点である．これは “Intersection Attack” と呼果として認証システムの安全性を損なうような種々のばれる脅威を生じさせる事が知られており，なんらか行為をユーザにさせてしまう原因となっている．このの対策が必要である．Intersection Attack の詳細は

1)

ような問題の解決を試みたのが Deja Vu (図 1) に代

4.2 章で述べる．

表される正候補選択方式による画像認証である．画像

2.3 画像認証の問題を改善する四つの提案

認証と呼ばれる認証方式は他にも提案されているが8) ，前節の考察をふまえ，我々は画像認証における問題

以降，本論文で画像認証とは上記の方式に基づく画像認証を指すものとする．

点を改善するための四つの提案を行う．
一つ目は利用可能な画像の制約を撤廃することであ

本方式による画像認証は画像をパスワードとして利る．これは画像を利用することによる人間の記憶負担用し (以降，パスワード画像という)，複数提示された軽減の利点を最大限享受可能にするためである．人間

画像の中から事前に決定しておいたパスワード画像をは画像等の視覚的な情報を記憶する能力に長けているVol. 44No. 83

図 2 あわせ絵の認証方法 (N=4, P=9)
Fig. 2 Detailed authentication method in Awase-E

が，画像であればなんでもよいというわけではない．

と，パスワード画像が一枚も含まれない場合もある．

さらに人間は，エピソード記憶と呼ばれる自分の体験

また提示される画像の位置はパスワード画像およびおに基づいた情報が最も忘れにくく，かつ思い出しやす

とり画像ともにランダムである．つまりパスワード画いと言われている5) ．この特性を画像認証で利用する像が決まった位置に表示され続けるということはない．

ため，現実世界の写真を利用可能にすることが望まし

なお “おとり画像” とは照合時に提示される画像のうい．したがって画像認証にて使用する画像を特定の画

ち，パスワード画像でないものを指す．ユーザは各照像種に限定しないことが必要であると考える．

合段階で提示された画像を認識し，その中に自分が事

二つ目は認証システムで使用する画像をユーザが登前に決定しておいたパスワード画像が含まれていれば録可能にすることである．これも前述のエピソード記

その画像を選択し、パスワード画像が含まれていなけ

憶に基づく画像を画像認証で利用可能にするために必れば「パスワード画像なし」を選択する．

要である．そのためにも画像登録は，ユーザ自身で簡単に実行可能であることが必要条件となる．

この「パスワード画像なし」という選択肢を導入することにより，照合回数を維持したままユーザが覚え

三つ目は「認証時に必ずパスワード画像が提示されるべきパスワード画像枚数を減らすことが可能になる．

る」という原則をなくすことである．つまり認証シス

また各照合においてパスワード画像を最大で一枚しかテムが照合時に提示する画像群の中にパスワード画像

提示しない理由は，携帯端末等からの利用も考慮したが一枚も含まれないという組み合わせを故意に発生さものである．つまり照合時に提示できる全画像枚数 (Pせることである．これにより特定の攻撃法に対する安枚) を増やせないという条件の下で，第三者が偶然に全性を確保する．

よりパスワード画像を正しく選択してしまう確率を下

四つ目はユーザが記憶しなければならないパスワー

げるためである．なお本認証方法では，各ユーザのパド画像数を削減可能にすることである．これもユーザ

スワード画像の枚数は一枚以上という制約の下で可変の記憶に対する負担を軽減するために必要である．

とする．

これらの提案を実現させ，かつ認証における安全性を確保するため，我々は以下のような認証方法を提案
する (図 2)．

3. 画像認証システム: あわせ絵
我々は前章の提案を基に，カメラ付き携帯電話での1 回の認証は N 回の照合作業からなる．認証は N

利用を前提とした画像認証システム「あわせ絵」を開回の照合作業がすべて正解であった場合にのみ認証さ発した．カメラ付き携帯電話の利用を前提にした理由れるものとする．各照合作業では，画面に P 枚の画は大きく二つある．

像が提示される．この P 枚の画像の中に最大で 1 枚

一つは入力方法が貧弱である携帯電話や PDA に適のパスワード画像が含まれるものとする．いいかえる

した認証方式だと考えるからである．これらの機器の情報処理学会論文誌

4

Aug. 2003

入力デバイスは，テンキーや非常に小さなキーボード

ザに能動的に通知する方法であり，通知対象の行為がであるため，快適かつ適度な速度で文字入力を行える

発生するたびにその旨をユーザに E-mail で通知する．

とはいえない．この状況において既存のアカウント/

受動的通知は，ユーザからの要求に従い過去の利用履

パスワード認証は極めて使いにくいといえる．しかし歴を提供する方法であり，現在時刻より過去一定期間

画像認証の場合，ユーザに必要とされる行為は「文字における利用履歴を Web ページとして提供する．

入力」から「画像選択」になるため，これらの機器でも容易に操作可能となるからである．

3.1 システム構成
あわせ絵は認証処理を司る認証サーバと認証する

もう一つはカメラ付き携帯電話の普及により，ユー

ユーザの操作端末とのサーバ/クライアント構成にな

ザは自身の知識や体験に基づく写真を取得し，かつそる．また本システムはサーバ/クライアント間のやりれをその場ですぐに他の計算機へ送付することが容易

とりに Web ページと E-mail の双方を用いる．またに実行可能だからである．これによりエピソード記憶Web による両者間の通信は暗号によって保護され，そとなるような画像の取得と，そのような画像の認証シの盗聴は困難であるとする．以下ではあわせ絵におけステムにでの利用が容易に実現可能だからである．

る四大機能についてより詳細に説明する．

そこで我々は画像認証システム “あわせ絵” を開発

画像登録した．これは既存の認証方式に実装されている「照合画像登録とは認証時に提示される画像を認証サーバ

情報設定」と「認証」の二機能に「画像登録」と「利に追加登録する機能である (図 4)．この機能は E-mail用通知」の機能を組み合わせたものになる (図 3)．なを用いて行なわれる．カメラ付き携帯電話で撮影した

お「照合情報設定」とはパスワード情報を決定する行

画像を E-mail に添付し，認証サーバに送付すること為であり，「認証」とは実際に認証をする行為である．

でその画像が認証サーバに追加登録される．
認証サーバ

照合情報設定
既存の
認証方法

認証
認証サーバ

付画像付き)

ユーザ端末

画像登録

画像登録
登録画像確認用Webページ作成

一定時間後

照合情報設定画像登録要求 (添登録完了通知 (登録画像確認用UR
L含む)

登録画像閲覧

登録画像確認用
Web page削除

認証
認証サーバ

利用通知

ユーザ端末
(携帯端末)

図 3 あわせ絵の機能群と既存の認証方法との比較
Fig. 3 The four modules on “Awase-E” and incomparison with current authentications

画像取得

登録画像確認E-mail
Web

時
間
t

あわせ絵の
認証方法

ユーザ端末

図 4 画像登録の処理詳細
Fig. 4 Process Flow about Image Registration

なお本処理は処理が正常に行われたことを知るための確認作業が必ず発生する．画像登録が正常に処理されると認証サーバから URL の書かれた E-mail が届「画像登録」とは認証システムに画像を “追加登録”

く．この URL で指定された Web ページにアクセスする機能である．つまり認証システムに画像を登録す

すると，自分が登録した画像を自身の端末で見ることるためのインタフェースであるといえる．この機能にができる．これは二つの点で重要である．

よりユーザはいつでも任意の画像を認証システムに登一つは登録した画像が自分の携帯端末上でどのよう録することができる．登録された画像は，パスワードに見えるかを実際に認証で使用する前に確認するため

画像およびおとり画像として照合時に利用される．

である．照合作業時に提示される画像は縮小された画「利用通知」とは画像登録や認証試行の発生および像となる．また照合作業時の画像がユーザの持っていその結果，ならびに照合情報設定の各行為が発生した

た画像の印象とは大きく異なることもありうる．これことをユーザに通知する機能である．つまりユーザにらを考慮し，登録した画像を認証時と同じ表示法で事利用状況を通知するインタフェースであるといえる．

前に見ておくことは重要である．

本機能では，能動的通知と受動的通知の二種類の通知

もう一つは登録した画像を事前に見て「印象づけて」

方法を提供する．能動的通知は認証システムからユーおくことである．これはパスワード画像としての利用

Vol. 44

No. 8

5
認証サーバ

を前提とした場合に画像の記憶ならびにその想起を支援するために必要な作業である．また本機能により，認証用Webページ作成

この目的のために生成された確認用 Web ページは，安認証用Webページの

全性確保のため一定時間後には自動的に削除される．
認証処理

照合情報設定像群から自分のパスワード画像を決定する機能である(図 5)．
認証サーバ

ユーザ端末
照合情報設定要求

照合情報設定要求
照合情報設定用
Webページ作成

認証

照合情報設定処理

照合情報設定作業

Webページ削除

認証作業

認証作業
E-mailWeb

Webページ削除

時
間

図 6 認証処理の詳細
Fig. 6 Process Flow about Authentication

認証方法は 2.3 章で説明した方法であるが，携帯電話での利用を念頭におき，照合時に提示される画像の
全枚数 (=P) は 9 枚としている．照合作業で各ユーザ照合情報設定用W
ebページのURL通知

認証処理

URL通知

t

照合情報設定とは，認証サーバに登録されている画

認証要求

認証要求

第三者が正当なユーザになりすまして画像を登録した
ことを知ることも可能になるという利点もある．なお

ユーザ端末

は，自分のパスワード画像を選択するか「パスワード
認証作業

認証に
成功したら

のような照合を複数回繰り返し，全ての選択が正しけ
照合情報設定作業時間tE-mailWeb

画像が含まれていない」という選択肢を選択する．こ図 5 照合情報設定処理の詳細
Fig. 5 Process Flow about Setting a Password Image

れば認証されることになる．
利用通知
通知とは画像登録，照合情報設定ならびに認証が行われたことを正当なユーザに通知する機能である(図 7)．
この作業は E-mail と Web ページの双方を用いて行う．なお第三者によるなりすましを防ぐため，この作業を行う前に事前にユーザ認証を行うことは必須事

認証サーバ
通知対象
事象発生

ユーザ端末
事象発生通知時間
t項とする．認証に成功すると，認証サーバに登録され能動的通知ている画像がユーザに提示されるので，ユーザはその中からパスワード画像を決定する．ユーザにパスワー
ド画像の候補として提示する画像は，二つの条件にて制約を課すことが可能である．一つは自分が登録した

認証サーバ
利用状況確認用Webページ生成

画像のみを提示する方法であり，もう一つは登録時刻に基づき，最近登録した画像から順に提示していく方法である．

この作業は Web ページと E-mail の双方を用いて行

利用状況確認用U

RL通知
利用状況確認

Webによる利用状況閲覧
Webページ削除
E-mailWeb

証

認証とは実際に認証を行う機能である (図 6)．

利用状況確認要求

受動的通知

時
間
t

認

ユーザ端末
利用状況確認要求

図 7 利用通知処理の詳細
Fig. 7 Process Flow about User Notiﬁcationう．認証を行おうとするユーザは，まずはじめに認証
サーバへ認証要求の E-mail を送付する．すると認証

利用通知の対象となっている事象は以下の通りであサーバから URL の書かれた E-mail が返信される．こる．これは単に認証試行の発生を通知して不正行為の URL は認証用 Web ページへのリンクであり，そのの発生を知るだけでなく，その不正行為の結果をも調

リンクによって指定された Web ページへアクセスし査可能にするとともに，認証にかかわる多くの事象をてはじめて実際に認証作業を始めることになる．なお，ユーザに通知することによって，自身に対する脅威のあわせ絵におけるアカウント名は E-mail アドレスを存在を認識するとともに，より早い段階での対応を可用いており，認証要求によって送られてくる E-mail能にする．

から抽出している．したがって認証時にアカウント名• 画像登録を入力する必要はない．

• 照合情報設定

情報処理学会論文誌

6

Aug. 2003• 認証試行の発生 (認証作業の始まり)

登録機能の導入により認証システムの持つ画像数は漸• 認証結果 (認証が成功したか失敗したか)増するため，そのような問題は発生しないといえる．

• 受動的利用通知 (Web ページによる利用状況確認)

次に利用通知による安全性強化点について述べる．

通知は Web ページと E-mail の双方を用いて行わ

それは「自身の権限が自分によってのみ利用されていれる．通知には能動的通知と受動的通知の二つの方法

るかを自分自身で確認できる」ようになることである．

が用意されている．能動的通知は E-mail を用いて行つまり不正行為の有無を自分で確認できるようになる

われ，通知対象である行為が発生するたびにその旨をのである．

当該ユーザに E-mail で通知する．受動的通知は Web

既存の認証システムは確率的な評価方法による安全ページを用いて行われ，ユーザの要求に応じて現在時性に依存し，上記のような事象に対する対策手段を提刻から過去一定時間前までの全ての通知対象行為の発供してこなかった．そのため第三者によってなりすま

生履歴を Web ページとして提供する．

され，ユーザの権限が侵害されたとしてもユーザはそ

4. 考

察

本章では画像認証システム「あわせ絵」の利点と安全性，そして今後の課題について述べる．

4.1 利

点

画像認証システム「あわせ絵」には大きく二つの利点がある．
一つはユーザの記憶への負担が最小限に押さえられるということである．この利点は画像認証で使用する

れを知ることすらできず，結果として第三者によって悪用され，なんらかのきっかけで後にそれを知るという好ましくない状況を作り出してきたと言える．
今日、認証システムにおける攻撃や悪用の検知をシ
ステム管理者に依存するという行為はもはや現実的でないといえ4) ，今後は各ユーザに対してその手段を提供することが重要であると言える．このことからあわせ絵の利用通知機能は上記の役割を果たしうる手段の一つとして重要であると言える．

画像種の制約の撤廃と，認証のためにユーザが覚える

またこの機能は攻撃者に対する抑止力を発生させるべき画像数の削減可能化によるものである．これらに効果を持つともいえる．第三者によるなりすまし行為

より既存の画像認証よりもユーザの記憶への負担を軽は，その行為の成否にかかわらず正規のユーザに通知

減可能にしており，結果として人間に起因した認証にされることになる．正規ユーザはその通知と自身の行おける種々の望ましくない行為の回避が可能になる．

動記憶を擦り合わせれば，それが正当な利用か第三者

なお写真の利用とその安全性については 4.2 章で述による悪用かは即座に判断可能だからである．

べる．
もう一つは「画像登録」と「利用通知」による認証システムの安全性強化である．
まず画像登録による安全性改善点について二点述べる．一つはパスワード画像の更新頻度が向上すると考えられることである．画像登録が可能になることでユーザは好きな写真をパスワード画像として使用した
いと思うようになると考える．つまり画像登録がユー
ザ自身によるパスワード画像の更新を動機づけている

なお最後に，本認証方式は特定のハードウェアやOperating System には依存していない．したがってカメラ付き携帯電話での利用を推奨しているが，E-

mail と Web が使用できる計算機ならば本認証方法を利用することは可能である．

4.2 安 全 性
ここではあわせ絵の認証システムとしての安全性について議論する．
確率的な安全性評価と言うことができる．またこれによりパスワード画像

本節ではあわせ絵の確率的評価に基づく安全性につの作成やその決定時間を短縮できるという利点も生まいて，4 桁数字によるパスワード認証と比較する．比れる．これらは既存の知識/記憶による認証方法では較のため，あわせ絵における照合回数 (=N) は 4 回

その実現が極めて困難であった問題である．

とし，照合時の提示画像枚数 (=P) は 9 枚とする．

もう一つは認証システムが持つ全画像数が増加する

4 桁数字によるパスワードの場合，その組み合わせことである．これは認証システムのパスワード空間が1と数は 104 = 10000 個となるためその確率は 10000

拡大することと等価であるといえ，結果として認証シなる．あわせ絵の場合は，選択肢が照合時に提示されステムの安全性に寄与すると考えられる．画像認証はた画像 9 枚と「パスワード画像なし」のあわせて 10

照合情報が画像であるため概念的には広大なパスワー個となり数字入力における場合と同等である．またド空間を持つものの，実際には認証システムが保持す照合回数も 4 回としているのでその組み合わせ数はる画像数に制約されていた．しかしあわせ絵では画像

104 = 10000 個となる．しかし，あわせ絵は最低 1 つVol. 44

No. 8

7のパスワード画像を持つという制約があるため、4 回

二つめは Observation 攻撃である．この攻撃は認証の照合作業すべてにおいて「パスワード画像なし」と作業をのぞき見し，パスワードとなっている画像を知いう選択肢は除外される．したがって組み合わせ数はる方法である．あわせ絵では画像をキー入力で直接選

1
一つ減って 9999 個となり，その確率は 9999となる．

択可能にするとともに，画像選択時には候補画像群がこの結果から，上記の条件によるあわせ絵の認証は，まったく見えない画面構成にするという対策を行う．

4 桁数字の入力によるパスワード認証とほぼ同等の安

後者の対策方法には二つの実現法を考えている．一つ全性を持つといえる．

は一画面内に提示画像群表示領域とあわせ絵選択領域

またあわせ絵では確率的評価を高めることが可能なが存在するものの，それらの間に意図的な空白領域をのは自明である．それは照合回数 (N) ならびに照合作成し，機器の画面表示領域では双方の表示領域を同時の画像提示枚数 (P) を増やすことが可能だからで時に閲覧できないようにする方法である．もう一つはある．

二つの表示領域を独立した画面として構成する方法で写真の利用と安全性ある．これらはユーザが使用する端末機器に応じて使

本節では画像認証における写真の利用とその安全性

いわけるものとする．またプライバシーフィルタの利について四つの点において人工画像と比較検討する．

用といった物理的な対策も有効であると考えている．

一つめは画像の認識ならびに想起の容易さである．

三つめは Educated Guess 攻撃である．これは特定

これは写真のほうが好ましいと言え，認識についてはユーザに関する情報を持つ第三者がその情報を使ってこれを裏づける評価結果も得られている1) ．

パスワード画像を推測し，なりすましを成功させる攻二つめは書き留めやすさである．この点について撃である．あわせ絵におけるこの脅威への対策は画像

我々は，以下の二つの理由から大きな差はないと考え登録により実現されている．画像登録によりユーザがる．一つは言葉だけで画像が特定できるとは限らない

登録した画像は時間とともに増加する．すると照合時ことである．これは画像の意味や外見に依存すると思にはユーザによって登録された画像が複数枚出現する

われるからである．もう一つは絵として「描き留める」

ようになる．このため既知の情報に基づきパスワードということが考えられるからである．つまり絵として画像を推測したとしても，複数の画像がそれに該当し、描き留めたり，印刷してしまう可能性を考慮すると，一つの画像に絞りこむことが困難になると考えられる

この脅威に対する安全性に大きな差があるとは考えにからである．

くいからである．

さらに我々はもう一つの対策法として画像提示法を

三つめは第三者による推測しやすさである．これは利用した手法を提案する．それは提示画像群にパス

人工画像の方が好ましいといえる．写真を利用した場

ワード画像と意味的または内容的に類似した画像を意

合，ユーザは自分になんらかの関連がある画像をパス図的に提示する方法である．これにより推測によるパワード画像として選ぶからである．これはそのユーザ

スワード画像の特定をより困難にするを知る第三者にとってもパスワード画像を推測しやす

最後は Intersection 攻撃である．この攻撃はこの方いという状況を作り出すことになる．この問題に対す式の画像認証に特有のもので「パスワード画像が必ずる対策法は次節で述べる．

提示される」という前提を悪用したものである．認証

種々の攻撃法とその対策試行を繰り返し，提示された画像群の積集合を求める

本節では画像認証に対して行われると考えられる四とパスワード画像が特定できるという攻撃方法であり，種の攻撃方法とあわせ絵における安全性について議論

極端な条件の場合，二回の認証試行でパスワード画像

する．

が露呈する．

一つめの攻撃手法は Brute-force 攻撃である．前述

あわせ絵はこれに対する安全性を確保している．なの通り，あわせ絵は既存のアカウント/パスワードにぜならば照合時に「パスワードが含まれない」というよる認証とほぼ同等の確率的な安全性をもつ．またあ

事象を意図的に利用することで，この攻撃成立の前提

わせ絵における認証作業は，電子メールによる認証要条件が成立しないようにしているからである．またこ求の送付から始まり，その返信にある URL の Web

れと類似した攻撃方法に出現頻度抽出によるパスワー

ページにアクセスすることによって認証作業を始めら

ド画像の同定攻撃が考えられる．これに対し我々は「優れる仕組みになっている．したがって繰り返し認証作

先度付きおとり画像群の作成」という対策手法を提案

業を行うのは困難である．したがって Brute-force 攻する．この方法はパスワード画像の数倍程度の枚数の撃が行いにくい仕組みとなっている．

おとり画像を用意し，それらを優先的におとり画像と

情報処理学会論文誌

8

して照合時に提示する．それにより，それらの出現頻Aug. 2003

証サーバへの負荷について考察する．

度を意図的にパスワード画像と同程度にすることで，まずファイルシステムサイズについて述べる．あわそのような攻撃によるパスワード画像の特定を困難にせ絵では認証時に必要な画像を保持するために大容する．

量のファイルシステムが必要となる．現在のプロトタ

安全性とユーザビリティ

イプに基づき試算をする．画像一枚のファイルサイズ

一般にセキュリティと利便性，つまりユーザビリティが平均 5Kbyte になるため，ユーザ数を 100 万人とは相反するものであると認識されており，認証に関す

し，各ユーザが 30 枚の画像を登録可能にした場合，る人為的問題の原因もそこにある．

150Gbyte もの容量を持つファイルシステムが必要となる．
次に一回の認証行為で必要となるデータ転送量について試算する．既存のアカウント/パスワード方式では多く見積もっても 1Kbyte には及ばないと考えられる．
これに対しあわせ絵では認証方法を以下のような条件で試算する．1) 携帯電話を通じて認証を行う．つまり
画像は認証サーバにて縮小される．したがって，画像一枚あたりのファイルサイズは 5Kbyte から 1Kbyteに削減される．2) 4 回の照合作業をもって 1 回の認証とする．つまり 9 枚の画像と認証用 Web ページ本
体を最低 4 回ダウンロードすることになる．この認証

図 8 安全性とユーザビリティ
Fig. 8 The relation between safety and usability

用 Web ページのファイルサイズは，プロトタイプの実装で 1Kbyte である．したがって照合作業 1 回あたりのダウンロードデータ量は画像 9 枚と認証用 Web

既存のセキュリティシステムは図 8 の 1 または 2

ページで合計 10Kbyte となる．これを最低でも 4 回の状態であると言われてきた．1 の状態は安全である

ダウンロードすることになるので，1 回の認証で必要が利便性の低い状態であり，2 は利便性は高いが安全なデータ転送量は最低で 40Kbyte となり，既存のア性は低いという状態である．この両者は決して両立せ

カウント/パスワード方式の 40 倍以上となる．

ず，反比例グラフとして表されていた．しかしあわせ

最後に認証サーバへの処理負荷の増大であるが，あ絵ではユーザの負担軽減に主眼を置き，既存のセキュ

わせ絵の処理はユーザからの要求に応じて動的に Web

リティシステムにユーザインタフェースを提供するこ

ページを作成するだけであるため，現時点では目立っとで，3 の状態のように利便性を損なうことなく安全た処理負荷の増大は認められない．ただし処理負荷に性を高めることを可能にした．

ついては，多数のユーザが利用する環境を構築し運用

このように安全性を損なうことなく，人的問題点に評価を行うことが必要であり，今後の課題である．

注目してユーザがより安全にセキュリティシステムを

これらの要件は実装によって大きく変動する可能性

使用可能にするようなインタフェースを提供することがある．また実装以外にもハードウェアの利用やシスは重要である．なぜならば，これによってユーザの権

テム構築時の工夫によりその改善や特定の問題の回避

利をユーザ自身で管理/制御可能にするからである．つが可能になる可能性もある．よって実環境における評

まり一部のシステム管理者やシステムの仕組みによっ価の必要性とともに，実運用に向けたシステム要件のてその安全性を保証して “もらう” のではなく，各ユー

策定は今後の課題である．

ザにもその安全性を維持し監査できるようにする仕組

4.4 関 連 研 究

みを提供することが重要なのである．あわせ絵は認証関連研究について述べる．Deja Vu1) は，正誤候補システムという分野においてこの概念4) を導入したシが提示された中から正候補を選択するという画像認証

ステムとして有用であると言える．

を提案した論文として著名である．この論文とあわせ4.3 動作環境の必要要件

絵の差異についてはこれまで述べてきた通りであるが，本システムを運用するために必要な動作環境は，既あわせ絵は Deja Vu に存在する問題点に着目し，その存の認証システムと比較してかなり高い要件になる．

改善法を提案するとともに安全性とユーザビリティの

ここではファイルシステムサイズ，データ転送量，認両立を実現したという点で大きく異なる．Angeli らのVol. 44No. 8

9論文3) では Deja Vu の枠組みに対して写真を適用し，果としてユーザに画像登録を躊躇させるという悪循環

ATM のインタフェースを想定して評価実験を行ったを生むことになる．これは既存のパスワード認証にお論文である．しかし Deja Vu の問題点については注いて「ユーザがパスワードを更新しない」という人的目していない．勝田らの論文7) では，Deja Vu1) の枠問題を画像認証に内在させることになる．これに対し組みを Web 上に実現するとともに，携帯端末での利あわせ絵の画像登録は，単に画像を認証システムに登用とシングルサインオンを考慮に入れた実装を行って録するだけであり，それに対してユーザに何らかの負いるが，Deja Vu に存在する問題点には注目していな担を強いることはない．これらのことから，あわせ絵

い．國米らの論文6) も 2 次元バーコートを利用し，その画像登録は既存システムの “好みの画像を使用可能”の応用例について述べているものの，それは Deja Vuとは大きく一線を画すものであると言える．

の枠組みと同じである．また Deja Vu の問題点には

次は「利用通知」である．これも既存の発明10) で提注目していない．鹿島らの論文8) は，安全性強化には案されている不正行為の通知方法と同等であると考え組み合わせが重要であることに注目し，パスワードのられる．この発明における不正行為の通知方法とは次安全性を強化するために画像を導入し，その特定位置の通りである．ユーザがネットワークを通じて商品購をパスワードの一部として利用したシステムである．

入要求を行うと，安全な通信路を使ってユーザの端末

したがって我々の意味する画像認証とは異なり，画像にワンタイムパスワードを送付してくるというものでを利用した認証方式の安全性強化法であると言える．

ある．つまり本人でない第三者がなりすまして商品購よって一概に比較ができないが，この手法も安全性は入要求を行うと，商品購入要求をしていない正規ユー

向上するものの，人的問題の改善は図られておらず，

ザにワンタイムパスワードが送付されてくることから安全性とユーザビリティの両立にはなっていないと言それは正規ユーザの知るところとなる．というものでえる．

ある．しかし，あわせ絵の利用通知は以下の二点で上次に本論文にて提案した改善方法と関連する研究についてふれ，その差異について述べる．

記の方法とは異なる．
一つは所有物に依存しないということである．上記

8)や商の方法では通知先がユーザの特定端末に限定されてい用製品9) でも “ユーザの好みの画像をパスワード画像「画像登録」について述べる．鹿島らの論文る．したがってその端末が盗難，紛失，破損した場合として設定できる” とあり，同等の機能を持つ既存のは不正行為の発生を知ることができなくなる．これにシステムは存在する．しかし，それらとあわせ絵の画

対しあわせ絵では同様の処理を実現している能動的通像登録は異なる．それはあわせ絵の画像登録はインタ知のほかに受動的通知も行っており，所有物 (もしくフェースとして実装されていることであり，ユーザには通知先) には依存していない．したがって前述のよよる画像登録を簡単に実行可能にしていることと，画うな不測の事態になったとしても利用通知は利用可能

像登録機能により登録した画像が必ずパスワード画像

である．また利用通知は，本来の認証行為とは独立しになるものでないという点で異なる．画像登録が簡単て機能するため，仮に何らかの不都合により正規ユーに行えることは正候補選択方式による画像認証におけザとして認証できなくなったとしても利用通知は利用る安全性の向上のために重要である．画像を登録する可能であり，その逆もまた真である．

という行為は，おとり画像数の増加やパスワード画像

二つ目は広範な情報提供である．上記の発明では不の更新，画像認証におけるさらなる安全対策の実現の正行為の “発生” のみを通知するが，あわせ絵の利用ための基礎となっているからである．

通知はより広範な情報を通知する．これは不正侵入検また他のシステムでは，“可能” という記述だけでそ知の分野で言われている対策手法4) のように，検知すの詳細な記述がないため推測ではあるが，インタフェー

るだけでは対策として不十分であり，その後の調査やスとしては実現されていないと推測される．よって画事後対処が重要だという立場に基づいている．あわせ

像登録には付加的な作業が必要となり，あわせ絵にお

絵では，認証行為の発生だけでなくその結果も通知す

ける画像登録ほど簡単には実行できないと考える．まる．これにより第三者によるなりすまし行為が発生し，た既存のシステムでは，画像登録とパスワード画像更その結果，認証に成功したか否かまで知ることができ

新は同一視されている．したがって画像登録の際にはるようになる．これによりユーザは，即座に適切な対認証が必要になるとともに，それがパスワード画像に処を行うべきか，今は用心にとどめ，近いうちにパスなることからユーザに「登録する画像を忘れてはいけ

ワード画像を変更すべきといった事後対処の判断までない」という観念を抱かせることになる．これらは結が可能になる．また認証行為に基づく事象だけでなく，

10

情報処理学会論文誌

画像登録や照合情報通知といった事象も通知対象にしており，なりすましの準備行為や第三者が自分の認証
履歴を閲覧しようとしていることも知ることが可能になっている．

Aug. 2003

うことが必要であると考えている．

5. お わ り に本研究では，正候補選択方式による画像認証システ

このようにあわせ絵における利用通知は単なる不正ムの問題点を整理し，それらの問題を改善する方法を

行為発生の通知だけではなく，不正行為に対する対策提案した．そしてその提案に基づき，カメラ付き携帯を行うために必要な情報を提供する機能として認証シ

電話を対象とした新たな画像認証システム「あわせ絵」

ステムに必要な枠組みである点で既存の通知手法とはを構築した．

異なると言える．

本研究では画像認証に画像登録と利用通知の二機能

4.5 今後の課題を導入することにより，実世界の写真を認証システム

本節ではあわせ絵における今後の課題について述

で利用できるようにするとともに，認証システムの利

べる．

用状況を各ユーザが自身で確認可能にした．さらに認まずはじめに評価可能なシステム構築を行うととも証時における画像提示法に「パスワード画像が含まれに運用評価を行い，本論文で提案した理論が実際に成ていない」という事象を意図的に発生させることによ立することを定量的に評価する必要がある．その評価

り，画像認証に特有の攻撃方法に対する安全性を確保

項目には認証システムの安全性のみならず，システム

するとともに，人間の記憶に対する負担の軽減を実現

構成の必要要件やユーザビリティについても行う必要

した．

がある．

今後の課題は，第三者によるパスワード画像の推測

システム構成の必要要件とは，あわせ絵の運用を安をより困難にするような照合画像群の提示法について定して行うために必要なシステム要件のことである．

さらなる考察をすすめるとともに，実運用による定量

あわせ絵は既存の認証システムと比較しその要件が高的評価を行うことである．

くなることが見込まれるため，その見極めは必要であると考えている．
ユーザビリティは操作性，認証に必要な時間など使
いやすさの面とパスワードとしての画像の覚えやすさ，
想起の容易さといった人的要因についても評価する必要がある．特にあわせ絵によって導入された機能により新たに発生すると想定される問題の洗い出しとその評価を行うことは重要であると考えている．その一例
としては，画像登録が容易になることで照合作業時にパスワード画像の判定に混乱を生じさせる恐れがあるということが挙げられる．つまりユーザが頻繁に画像を登録し，パスワード画像を変更することで，照合時にはこれまで利用していた過去のパスワード画像が想起されてしまい，現在のパスワード画像が正確に判断できなくなる恐れがあるという問題である．
次は認証による権限の許諾を停止する手段の提供である．つまりユーザからの要求により，そのユーザの権限を完全に凍結する機能である．これは利用通知によってなんらかの不正行為や悪用が発覚した時の対策として必要であると考える．しかしこの機能そのもの
を第三者によって悪用される恐れもあるため，この機能の実行のために別の認証が必要になるという問題がある．つまり，認証システムの一機能のために，それとは別の認証が必要となるということである．したがって，その必要性の検討も含めて引き続き考察を行

参

考

文

献

1) R. Dhamija and A. Perrig: Deja Vu: A User
Study Using Images for Authentication, 9th
Usenix Security Symposium, pp. 45–58, Aug,
(2000).
2) A.Perrig and D.Song: Hash Visualization: a
New Technique to improve Real-World Security, In International Workshop on Cryptographic Techniques and E-Commerce(CrypTEC), (1999).
3) A.D.Angeli, M.Coutts, L.Coventry and
G.I.Johnson: VIP: a visual approach to user authentication, Proc. of the Working Conference
on Advanced Visual Interface (AVI2002), pp.
316–323, May (2002).
4) 高田哲司, 小池英樹: ログ情報視覚化システムを用いた集団監視による不正侵入対策手法の提案, 情報処理学会論文誌 Vol. 41, No. 8, pp. 2216–2227,(2000).
5) 増井 俊之: インターフェイスの街角 (43) – 明るい認証システム, UNIX MAGAZINE, (株) アス
キー, Vol. 16, No. 7, pp. 185–189, July, (2001).
6) 國米 仁: 記憶照合による個人認証手法 (囮混在
秘匿方式), コンピュータセキュリティシンポジウ
ム 2000 (CSS 2000), pp. 213–218, Oct, (2000).
7) 勝田亮, 平石広典, 溝口文雄: グラフィックパス
ワードを用いた Web 個人認証システムの設計, 情報処理学会コンピュータセキュリティ研究会研究報

Vol. 44

No. 8

11

告 2002-CSEC-16, Vol. 2002, No. 12, pp. 91–96,
Feb, (2002).
8) 鹿島一紀: 画像の位置情報による本人認証方式の研究開発 - - 画像パスワード GATESCENE(ゲートシーン)，コンピュータセキュリティ研究報告,
情報処理学会，No.10, July, (2000).
9) モバイル端末の盗用/データ漏洩防止ソフト「ニーモニックガード」，有限会社 ニーモニック
セキュリティ, (2001)
http://www.mneme.co.jp/
10) 塩田 岳彦，田中 琢也: 情報サービス提供方法, 公開特許公報 (特開 2002-32692), 特許庁，(2002).
11) 田口浩平, 小池英樹: 位置情報を利用した本人
認証, マルチメディア，分散，協調とモバイルシンポジウム (DICOMO2001), 情報処理学会, pp.
458–465, June, (2001).
12) ZDNet News JAPAN: 史上最悪のセキュリティ
ホールはユーザのパスワード,
http://www.zdnet.co.jp/news/0205/28/
ne00 password.html, May 28, (2002).

高田 哲司（正会員）

2000 年 電気通信大学大学院情報システム学研究科情報システム運用
学博士課程修了．工学博士．同年電気通信大学 サテライトベンチャビ
ジネスラボラトリ 研究員．2003 年
ソニーコンピュータサイエンス研究所 入所．現在に至る．情報視覚化の研究に従事．情報視覚化，情報セ
キュリティに関心を持つ．IEEE/CS，ACM 各会員．
小池 英樹（正会員）

1991 年 東京大学大学院工学系研
究科情報工学専攻博士課程修了．工学博士．同年電気通信大学電子情報学科助手．1994 年同大学大学院情報システム学研究科助教授．現在に至る．1994〜1996 年，1997 年 U.C.Berkeley 客員研究

(平成 ? 年 ? 月 ? 日受付)

員．2003 年 U.Sydney 客員研究員．情報視覚化の研究(平成 ? 年 ? 月 ? 日採録)に従事．特に視覚化へのフラクタルの応用，Perceptual

User Interface，情報セキュリティへの視覚化の応用に興味を持つ．1991 年日本ソフトウェア科学会高橋奨励賞受賞．2000 年 情報処理学会 DICOMO2000 最優秀
論文賞，2001 年 IEEE VR2001 Honorable Mention

for the Outstanding Paper Award 受賞．IEEE/CS，
ACM，日本ソフトウェア科学会各会員．