Deja Vuの論文は，認識に基づく画像認証(Recognition-based image authentication)においてintersection攻撃の脅威に関する指摘をした初めての論文だと思われる．
そのintersection攻撃に対する対策案がいくつか提案されていたので，抜き出して書き残しておく．
■ Intersection攻撃に対する対抗策 (案)
1. 使用する画像群は(正解画像もおとりも)常に同じものを使用する
問題点としては，正規のユーザがおとり画像をportfolioと勘違いする恐れがある．
(それはないんでない?)
2. おとり画像のうちのいくつかは，常におとり画像として認証に使い続ける
これも問題点としては，勘違いの恐れがある
(あるかな〜?)
3. 認証を複数の照合画面に分割し，portfolioをランダム枚数提示する．
もし，一度でも回答に間違いがあれば，それ以降の照合画面では，portfolioを提示しないようにする．これによりくり返し攻撃(brute-force攻撃)による全画像取得を困難にする
4. 評価結果より認証の成功率があがっているので，アカウントロックになるまでの条件を厳しくする．ただし，これはDoS攻撃(故意に複数回認証に失敗し，そのアカウントを使用不能にする)を招く恐れもある．
さらに，攻撃者に有用な情報を渡さない方法としては，上の3の方法をもとに以下のようにする．
1. 照合画面を複数に分け，
2. ユーザが回答を間違えたら，以降の照合画面はおとり画像のみで照合画面を作成
3. 認証に絶対に成功できないようにする
4. さらに，portfolioと攻撃者に提示したおとり画像はすべて破棄する．
問題点は，攻撃者に攻撃されるたびにportfolioが減っていくので，場合によっては，portfolioが極端に少なくなったり，認証成功のたびにportfolioを補充する必要が出てくることである．これは時間と手間がかかるので，現実的ではありえないだろう．
また，あわせ絵を使い果たす(全部削除してしまう)ようなDoS攻撃が発生する恐れもある．
=> これを防ぐために，数回認証に失敗したら認証できないようにするとか，そういった失敗の後に，正規ユーザが認証に成功したら，あわせ絵の総入れ換えをし，さらに記憶強化のためのトレーニングを再度する必要がある(攻撃されるたびに仕切り直し!?)．
Posted by z at May 31, 2006 03:56 AM