The case for transient authentication,
Brian D. Noble, Mark D. Corner,
Proceedings of the 10th workshop on ACM SIGOPS European workshop, pp.24--29, 2002.
http://portal.acm.org/citation.cfm?id=1133373.1133377
mobile/ubiquitous環境での認証手法の提案．具体的に言うと，ユーザがshort-rangeの無線通信機能を持つtokenを持ち、ユーザが，機器になんらかの要求を出すたびに，機器とtokenの間で無線通信を行い，認証をする．その認証にパスした場合にのみ，その要求が処理されると言うものである．
Persistent authenticationからTransient authenticationへ移行しようよ! という提案と見ることもできるか．
モバイル機器とユーザ間の認証をどうするか? という問題に対し，デバイスになんらかの要求を出すたびに認証をすべき．という枠組を提案．つまり，なんらかの操作を行うたびに，認証をしなければいけない環境の提案である (ファイルを操作するたびに認証(!)というレベルを想定)．
今日，セキュリティのため，機器を操作している人が正規のユーザかどうかを確認するため認証を行う必要がある．しかし，モバイル機器の場合，それが他人(悪人)に入れ替わる恐れが高い．よって，操作のたびに認証を必要ことが望ましい．
一方，既存の認証方法は，persistent authenticationと述べているが，一度認証したら，logout(明示的にrevoke)するまでその権限が付与される枠組であり，これではモバイル環境でのセキュリティ確保の方法としては適していないと指摘．
例)
* ちょっと中座した際に，他人にいたずらされたらどうするの?
* ログインしたままでNote PCが盗まれたらどうするの?
これに対し，権限付与の有効時間を決め，時間を経過したら再度認証を要求する方法があるが，これはユーザの負担を増やすだけである．
安全性を高めるためには，頻繁に認証した方が良い，しかし，利便性を考えれば，認証による権限が長時間有効である方が良い．この両者の関係をうまくとりもつのがtransient authenticationである．
transient authenticationの4つの特性
1. ユーザは機器にアクセスできること
2. 利便性を悪化させない
3. 操作(処理)速度を劣化させない
4. ユーザは，行われる操作に対して明示的に承諾を与える
* tokenは、IBMのlinux watchのようなものを想定しており，short-rangeの無線通信の他に、暗号/復号化処理などがtoken上で処理できるものとしている．
* 無線の通信範囲に入れば，自動的に処理が行われるのではない．無線の届く範囲に入っても，その後，一度token-機器間で認証(binding of tokens to device)する必要がある．
File SystemとProcess単位のメモリ空間に，この手法を応用する例が述べられている．
"Zero-Interaction Authentication"という、ある意味衝撃的なタイトル(?)の論文が，この手法をFile Systemに応用した論文である．
Zero-Interaction Authentication,
Mark D.Corner and Brian D.Noble,
Proc. of the 8th annual international conference on Mobile Computing and Networking,
pp.1--11, 2002
http://portal.acm.org/citation.cfm?id=570645.570647
ま，いわゆる「所有物認証」だ．が，要求単位で毎回認証するので，persistent-authenticationより機器の紛失や盗難に対しては安全性が高いと言う主張のようだ．でも，やっぱり所有物認証とさほど大きな差はないようにも見える．
また，基本的にモバイル機器とtokenの間の認証なので，tokenと人間間の認証は? という点が疑問だったが、良く読むと，その点は，数日おき(日単位で定期的)にtokenが所有者に認証を要求することで、その両者の間の整合性は取られるようだ．
論文にも「As long as the token can be unobtrusively worn, it affords a greater degree of physical security.」とある．
参考文献にあるが、Ensure Technologies社の、「XyLoc」というシステムが、この論文で主張しているシステムを実現しているように見えます．Demo Videoもこちらにあるので、興味のある方は見るべし．
[追記]
よくよく見たら、NTTドコモのパナソニックモバイル系端末P903i, P904iに搭載されていた，あんしんキー(P904iでの説明)は、まさにこの仕組みを使った認証ですね．携帯のセキュリティにNTTドコモが繰り出す秘策(ITPro)と言われていたのですが，普及に弾みがつかなかったようです．この仕組みの普及をすすめる安心空間コンソーシアムというコンソーシアムもあるそうです