画像認証 - インタフェースの心理学

画像認証

　エピソード記憶を文章で表現して認証に利用しようとする場合、適切な文章を使ってエピソード記憶に関連した質問を行なう必要があります。認証作業を行なうときは、問題を解く前に文章を読んで理解する必要があるので、解くためには結構頭を使わなければなりません。「高校3年生のときの数学教師の名前は?」のような問題を出すことは可能ですが、このような問題のテキストを読んで内容を理解して回答するにはそれなりに頭を使いますし、時間もかかってしまいます。一方、件の数学教師の顔を問題として出し、リストの中から正しい名前を選ぶような形式にしておけば、問題の理解にも回答にも時間がかかりません。泥酔して頭が回らないような状態でも利用できるでしょうから、よりユニバーサルだといえるでしょう。

　このように、画像の記憶とエピソード記憶とは相性が良いと考えられるため、エピソード記憶にもとづいて画像を利用する認証手法が今後有力だと考えられています。パスワードによる認証は誰もが安心して簡単に使えるものではないため、日本セキュリティ・マネジメント学会の「誰でも安心して使えるパスワードの実現に向けて」という2011年の資料の中では、「文字によるパスワードが脆弱であることを踏まえ、本人にとって再認しやすい画像などを活用した電子的本人認証手法を広く利用する」という提言がなされています。

画像認証のいろいろ

　画像を認証に利用する試みとして、以下のような手法が提案されています。

複数の画像の中から画像を選択する方法

画像の中の特定の位置を指定する方法

画像に関連するキーワードを選択する方法

画像に対して特殊な操作を行なう方法

　画像認証の草分けと言われている「Déjà Vu」システムでは、あらかじめ自分が選んだ画像を複数の画像の中から選択することによって認証を行ないます。ランダムに生成された数千のパタンの中から自分が好きなパタンをあらかじめ5個選んでおき、ログイン画面でそれを選択することによって認証を行なうようになっています。

http://gyazo.com/f35d35c6f009350f0449be8ab07f9860.png

Déjà Vu

　Passfaces CorporationはPassfacesという認証手法を提案しています。Déjà Vuの画像はエピソード記憶として記憶しづらいため、パタンのかわりに人間の顔を記憶するようにしています。

http://gyazo.com/12cf119b216016c44041ba1875d97f04.png

Passfaceシステム

　VisKeyは、画像を選択するのではなく画像の中の点をタップすることによって認証を行なうシステムです。あらかじめタップする位置を決めておき、正しい位置をタップしたときだけ認証が成功します。ここではイルカの鼻先を順番にタップしたときに認証が成功するようになっています。

http://gyazo.com/2dbb4edc510938f3f23a0811e6b12ea6.png

VisKey

　私が運営する本棚.orgでは、登録した画像に関連する単語を選択することによる認証を採用しています。左図は「Leikoの本棚」で登録されている画像なぞなぞ認証の画面です。それぞれの画像に対して候補単語がリストされており、正しいものを選択すると認証が成功して編集が可能になります。この画像が何を意味するものなのか他人には全く想像ができませんが、登録した本人のエピソード記憶にもとづいているため忘れることはないのだということでした。

http://gyazo.com/44e62d8a50dcba07dd9a3cd9e22dd3ab.png

本棚.org

覗き見攻撃とその対応

　画像を選んだり画像の中の点を指定したりして認証作業をしているところを他人に後ろから見られると答がバレてしまいます。ユビキタス環境において画像認証を用いると、このような「覗き見攻撃」(sholder hacking)が問題になる可能性があるので、覗き見されても問題が無いような画像認証手法が研究されています。例えば、自分が覚えている画像を直接タッチ選択するかわりに、その周囲の画像をタッチすることによってどれが記憶された画像なのかわかりにくくするといった方法や、画像を覚えるかわりに画像のカテゴリを記憶しておいて、カテゴリにマッチする画像を選択することによって認証する方法などが提案されています。一方、そういった手間が必要なのであれば、手軽に使えるという画像認証の利点が失われてしまうともいえます。見えないところで画像の点をポイントするのは難しいかもしれませんが、画像や文字を選択するだけなら触覚を頼りにボタンを押したりすことはできるでしょう。衆人環視のもとで認証を行なう必然性はありませんから、操作しているところが他人に見えないように工夫すればよいでしょう。