「画像の位置情報」と言っているが，つまるところ"Cue-based graphical password"を応用した認証方法の提案である．
なぜ「応用」かと言っていると，この提案では画像の位置だけで認証するのではなく，あくまで既存のID認証方法を補完/強化するために画像を使用しているからである．
◆ バイオメトリクス認証の課題
1. 個体データの更新ができない
2. システム管理者の運用管理負担/システム管理者の守秘義務(完全はない)
3. 判定閾値の決定 (グレーゾーンの存在)
4. 心理的，生理的抵抗感 => 情報流出したらとりかえしがつかない
5. 個体データ毀損(指切断)などの脅威
6. 特殊な認識装置(ハードウェア)が必要
◎ IDパスワード方式の利点
1. 社会的に十分認知/普及したシステムであり，利用者の理解が得やすい
2. 判定はOKかNGのどちらかであり，いわゆる「グレーゾーン」は存在しない
◆ IDパスワード方式の欠点
1. 記憶する必要があるため，記憶しやすい(=推測されやすい)IDやパスワードを使用してしまう
2. なりすましの防御が困難 - ユーザはIDパスワードを更新しない
□ 本人認証技術の必要要件
1. 脅威対抗性 (各種の脅威に対する安全性が確保されていること)
2. 社会的受容性 (国籍，年齢，性別によらず利用できること，システムの利用により他の脅威が発生しないこと)
3. 認識率 (本人が認証した場合は100%認証できること)
4. 利用者利便性 (多くの人が利用でき，かつ短期間で認証できること)
5. 導入，運用コスト
を考えるべきだと述べている．
ということで，これらの欠点を補うために，IDの他に画像の特定位置を秘密情報として組み合わせればよい．というのが提案手法である．つまり銀行ATMならば，4桁数値だったのが，GATESCENEになると，4桁数字と表示される画像の特定点になる．またこの特定点は1つだけでなく複数であってもよく，また入力インタフェースを用意することで，IDだけではなくパスワードでもよいと主張している(トランプの例もある．トランプであることが本質なのかどうかは不明．1から13までの整数ではダメなの? マークも意味があるのだろうか??)．
が，論文の図を見ていると，「記憶例」と主張されている例が意図的であり，記憶が簡単な例として紹介されているのだが，これは逆に考えると推測されやすい「ダメ」なパスワードの例に見えなくもない．
この手法は，素人なりにモデル化すると，既存の秘密情報に画像の位置を追加したという見方ができる．画像の位置は，数字や文字種よりもバリエーションが多く，簡単に推測できないから安全になるというのが根拠だろう．しかし，それは普遍的に言えることなのだろうか? これは4桁暗証番号で言われている主張と同じなのではないかと思う．4桁の暗証番号は10,000通りのバリエーションがあるが，実際にユーザが使っている暗証番号は日付であり，0101(1月1日）〜1231(12月31日)までの366通りを調べるだけで，多くのユーザの暗証番号をあてることができると言われている．Cue-based graphical authentication(画像内の特徴点による認証)もこれと同様の問題をはらんでいる可能性は否定できないだろう．画像内の"ありがち"な特徴点/特異点を指定すれば，それを使っている多くのユーザの秘密情報を見つけ出せそうな気がする(根拠なし)．
また画像を組み合わせることにより，「暗証番号の記憶の壁を簡単に突破できる」とあるが，これも疑問である．単純に考えると記憶すべき情報が増えているので，記憶負担は増えている．ただ，その覚え方として「帽子からジグザグ」とか「カラスからL字」という例を挙げているが，これだと記憶は楽になるかもしれないものの，その推測も容易になってしまうのではという懸念がある．またそうでないパスワードをつければ，記憶負担は単純に増えてしまうので「記憶の壁を突破できる」とは言いきれないと思う．
なぜ画像の位置を組み合わせたのか? 画像を組み合わせた利点がうまく伝わってこない気がする．また画像を組み合わせることにより，既存のPINやパスワードに制約を生んでしまうような例が提示されているため，「記憶の壁を突破できる」という主張が素直に納得できない．
うまく問題点を指摘できないが，そういった印象を受けた．でも，的確に指摘できないということは，論文の主張はあっていて，有効な手法だということかもしれない．
----
author = {鹿島一紀}
title = {画像の位置情報による本人認証方式の研究開発 画像パスワード GATESCENE (ゲートシーン)}
journal = {情報処理学会 コンピュータセキュリティ研究会 研究報告 2000-CSEC-010}
volume = {2000}
number = {68}
pages = {121--127}
publisher = {情報処理学会}
month = {7}
year = {2000}
情報処理学会 電子図書館