JP4271734B2 - 視覚的認証の完全性を強化するための方法および装置 - Google Patents

Description

発明の背景
発明の分野
本発明は、一般に、コンピュータ・セキュリティおよび撮影システムに関し、より詳細には、再生攻撃（replay attacks）およびスプーフィングに対する視覚的認証システムの抵抗力を増強することに関する。
背景
コンピュータ・システムおよびコンピュータ・ネットワークは、現代生活においてますます増大する役割を果たしてきた。コンピュータ・システムおよびネットワークは、大量の安全な情報および限定アクセス資源を含むかまたはそれらにアクセスすることができる。情報および資源を保護するため、パスワード保護などのコンピュータ・セキュリティ技法が広く採用されている。残念ながら、コンピュータ情報および資源の価値が高まるにつれて、コンピュータ・セキュリティ技法は攻撃されるようになった。
パスワード保護に加え、無許可ユーザがコンピュータ・システムあるいはコンピュータ・システム内またはコンピュータ・システムの制御下にある安全な資源にアクセスするのを防止するための１つの方法は、ユーザの物理的外観を感知し（すなわち、ユーザの物理的外観を撮影し）、その画像データをコンピュータ・システムの様々な許可ユーザに対応する１組の画像データと比較することである。一致がある場合、そのユーザはアクセスが許可されるが、一致がない場合、コンピュータ・システムまたは安全な資源へのアクセスは拒否される。
パーソナル・コンピュータ（ＰＣ）のビデオ・システムを利用するいくつかの認証技法が提案されてきた。このような技法は、ＰＣのビデオ・カメラを使用して、たとえば、顔または虹彩認識プロセスへの入力を行う。このようなシステムには、カメラ、接続ケーブル、ビデオ・キャプチャ入力端子（複数も可）に自由にアクセスできることによる固有の弱点がある。敵対者がカメラのプラグを抜き、ＰＣのビデオ・キャプチャ入力端子（複数も可）にビデオ・プレーヤを差し込むことは比較的容易である。これにより、敵対者は、画像認識アルゴリズムに応じて認証済み画像を再生することができる。
必要なことは、再生攻撃およびスプーフィングの影響を受けにくい視覚的認証を行うための方法および装置である。
発明の概要
本発明による方法では、照明源を変調して、物体を照射する放射を生成する。照明源の変調と同時に物体を撮影して、ビデオ・ストリームを生成する。そのビデオ・ストリームを分析して、そのビデオ・ストリームが照明源からの放射の影響を受けたかどうかを判定する。
本発明の他の態様の方法では、擬似ランダム・シーケンスでＰＣディスプレイなどの照明源を変調して、視覚的認証サブシステムとともに撮影する物体から反射し、時間で変動する発光を生成する。この視覚的認証サブシステムは、変調した発光の生成と、物体からのその反射の検出の両方をリアルタイムで制御する。変調シーケンスはあらかじめ分かっているわけではないので、これにより、敵対者は記録済みの画像を再生することによって視覚的認証システムを欺くことができなくなる。
本発明のさらに他の態様では、電磁スペクトルの可視部分または赤外部分あるいはその両方を画像認識システムによって単独でまたは組み合わせて変調することができる。
本発明の他の利点は、以下に示す詳細な説明から明らかになるだろう。
【図面の簡単な説明】
第１図は、本発明による認証の方法の一実施形態の流れ図である。
第２図は、本発明による認証の方法の一実施形態の流れ図である。
第３図は、本発明による装置の例示的実施形態のブロック図である。
詳細な説明
用語
この用語のセクションでは例を示すが、それらは例示的なものであり、限定ではない。
撮影とは、物体の観察可能な特性を感知することを意味する。通常、撮影は、電磁スペクトルの可視部分で行われるが、これに限定されない。超音波撮像および赤外線撮像は、不可視撮影方式の例である。また、本明細書で使用する撮影は、感知した特性、たとえば、赤外線放射を、感知した特性の他の物理的表現、たとえば、電気信号に変換することを含む。
本明細書で使用するアーティファクトとは、本発明による照明源の変調の結果であるビデオ・ストリーム内の情報を意味する。たとえば、撮影する物体の輝度を増加または減少するために照明源を変調した場合、撮影システムは、照明源の変調に対して時間的に相関する輝度変化に関する情報を含むビデオ・ストリームを生成する。
本明細書で使用する安全な資源とは、データ資源、通信資源など、またはそれらの組合せを意味し、このような資源へのアクセスは、その資源にアクセスしようと試みる前に１組のユーザに制限されている。コンピュータ資源は一般に、安全なものもあれば、安全ではないものもある。一般に、このコンテキストでは、安全とは、考えられるすべてのセキュリティ違反が除去されていることを意味するのではなく、他の資源用の所定の位置にはない安全な資源を保護するために特殊な措置が講じられていることを意味する。
本明細書で使用するスプーフィングとは、本来は使用可能ではない資源へのアクセスを可能にするためにコンピュータまたはコンピュータ・ネットワークを欺く行為を意味する。
ビデオ・ストリームとは、物体の画像を表し、それから物体の画像を再構築可能な１つまたは複数の信号を意味する。通常、この信号は、アナログ・フォーマットまたはディジタル・フォーマットになっている。しかし、画像の再構築可能な表現を通信するのに適した信号フォーマットであれば、どのような信号フォーマットでも「ビデオ・ストリーム」という表現によって包含されるものとする。本明細書で使用するビデオ・ストリームは、可視光線ビデオ・カメラ、スキャナ、ディジタル・スチル・カメラ、赤外線センサ、磁気共鳴映像（ＭＲＩ）センサなどを含むがこれらに限定されない、任意の感知装置によって生成された画像データ・ストリームを意味する。
以下に示す詳細な説明の一部は、コンピュータ・システム内のデータ・ビットに関する操作の記号表現およびアルゴリズムによって示す。このアルゴリズム記述および表現は、データ処理分野の当業者が自分の作業の内容を他の当業者に最も効果的に伝達するために使用する手段である。アルゴリズムとは、一般に、所望の結果に至る筋の通った一連のステップであると考えられている。これらのステップは、物理量の物理的操作を必要とするものである。通常、必ずではないが、これら量は、格納、転送、合成、比較、その他の操作が可能な電気信号または磁気信号の形を取る。時には、主に一般的用法の理由から、これらの信号をビット、値、要素、記号、文字、項、数値などと呼ぶことが便利であることが分かっている。しかし、上記および同様の用語のすべてが適切な物理量に関連し、これらの量に適用される便利なラベルにすぎないことを銘記されたい。以下の説明から明らかなように特に明記されていない限り、本発明の実施形態の説明全体にわたって、「処理」または「計算」または「算定」または「決定」または「表示」などの用語を使用する説明は、コンピュータ・システムのレジスタおよびメモリ内の物理（たとえば、電子）量として表されたデータを操作し、コンピュータ・システムのメモリまたはレジスタあるいは他のこのような情報記憶装置、伝送装置、またはディスプレイ装置内の物理量として同様に表された他のデータに変換する、コンピュータ・システムまたは同様の計算装置のアクションおよびプロセスを意味することを留意されたい。
方法
本発明の一実施形態では、コンピュータ・システムの安全な資源へのアクセスを希望するユーザは、視覚的認証手順を受けるようシステムによって要求される。典型的な実施形態では、ユーザは、コンピュータ・モニタなどのディスプレイ装置の前に位置決めされる。視覚的認証サブシステムは、擬似ランダム方式でモニタからの光出力を変調し、コンピュータの結像センサによって生成されたビデオ・ストリーム内のこの照明の変化の時間相関アーティファクトを捜す。このようにして、ユーザが実際に存在するかどうかの判定を行うことができる。ＰＣ環境における視覚的認証手順のこのような強化がなければ、ＰＣのビデオ入力信号端子（複数も可）へ事前記録した画像センサ出力信号を導入することにより、視覚的認証サブシステムを欺く、すなわち、スプーフィングすることは可能だろう。
第１図を参照し、本発明の例示的な実施形態について説明する。通常、ユーザが安全な資源へのアクセスを要求すると、視覚的認証プロセスが呼び出される。ステップ１０２では、安全な資源へのアクセスを求める要求を受け取る。ステップ１０４では、認証サブシステムは待ち時間特徴付けを行う。待ち時間特徴付けは通常、ほぼ同時に、照明源が光エネルギーを放出する範囲内の視野を有する撮影装置から入力（すなわち、ビデオ・ストリーム）を受け取りながら、照明源の光出力を変調することからなる。この撮影システムは、認証すべき物体から反射した放射エネルギーを受け取るように動作可能なものであれば、どのようなタイプのセンサでもよい。認証サブシステムは、ビデオ・ストリームを分析し、照明源の出力の変化を開始してから照明変調のアーティファクトを受け取るまでの時間遅延を測定する。このようにして、認証サブシステムは、その間に入力ストリームの変化を捜すための測定時間ウィンドウを作成することができる。ステップ１０６では、照明源を変調する。この照明源は、通常、コンピュータ・モニタであるが、どのような放射エネルギー源でもよく、その反射は撮影装置によって検出することができる。また、照明源は、一般にＰＣへのワイヤレス・インタフェースに使用するタイプなどの赤外線光源でもよい。
ステップ１０８では、安全な資源に結合された撮影システムによって、認証すべき物体を撮影する。本発明の典型的な実施形態では、撮影システムとしてビデオ・カメラを使用し、そのビデオ・カメラはコンピュータ・システムに結合され、そのコンピュータ・システムが安全な資源を実行するかまたはその資源へのアクセスを可能にする。撮影システムは、ビデオ・ストリームを生成し、安全な資源に関連する認証側（authenticator）にこのビデオ・ストリームを通信する。
ステップ１１０では、認証側は、ビデオ・ストリームを処理し、変調した照明源のアーティファクトがビデオ・ストリーム内に存在するかどうかを判定する。通常、アーティファクトは、ステップ１０６における照明源の変調によって発生した照明の変化を表す。
ステップ１１２では、認証側は、変調した照明源のアーティファクトがビデオ・ストリーム内に存在する場合、安全な資源へのアクセスを許可する。変調した照明源のアーティファクトが存在しない場合、ステップ１１４で安全な資源へのアクセスが拒否される。認証プロセスはステップ１１６で終了する。本発明の一実施形態では、認証プロセスが終了すると、コンピュータ・システムは、それが実行していた前のタスクまたはアイドル状態に戻る。代替実施形態では、アクセスを拒否すべきであると判定すると、通知メッセージが生成される。この通知メッセージは、安全な資源の要求者またはコンピュータ・システムが保持するセキュリティ・ログに送られるか、または遠隔地あるいは上記または同様の通知宛先の組合せに伝送される。この通知は、視覚信号、音響信号、電気信号、または同様の信号にすることができる。たとえば、安全な資源へのアクセスを求める要求が拒否されると、音響警報音とともに、メッセージがコンピュータ・ディスプレイ上に表示される。当業者であれば、多くの変形例が可能であることが分かるだろう。
第２図に関連して、本発明の代替実施形態について説明する。ステップ２０２では、安全な資源へのアクセスを求める要求を検出する。ステップ２０４では、前述のように、待ち時間特徴付けを行う。アーティファクトをサーチするための時間ウィンドウの定義を支援する待ち時間特徴付けステップによって全体的なシステム効率が改善される可能性があるが、本発明を実施するために待ち時間特徴付けを実行する必要はない。
ステップ２０７では、照明源に適用すべき変調方式について判定を行う。たとえば、パルス変調を適用するかまたは持続波変調を適用するかである。パルス変調を選択した場合、ステップ２０８では、パルス幅、パルス間隔（すなわち、時間上の分離）またはその両方を照明変調方式として適用するかどうかについて判定を行う。しかし、持続波変調を選択した場合、ステップ２１０では、振幅、パターン、またはその両方を照明変調方式として適用するかどうかについて判定を行う。様々な変調パラメータは、好ましいことに、擬似ランダム方式で変更する。このため、再生襲撃に成功することの難しさが増す。擬似ランダム・シーケンスの生成は、当業者にとって周知のことである。
ステップ２１２では、照明源を変調する。照明源は、通常、コンピュータ・モニタであるが、どのような放射エネルギー源でもよく、その反射は撮影装置によって検出することができる。また、照明源は、一般にＰＣへのワイヤレス・インタフェースに使用するタイプなどの赤外線光源でもよい。照明源は、予め定めた時間の間、または擬似ランダム方式で決定した時間の間変調することができる。通常、変調シーケンス用の最短時間および最長時間があらかじめ決定される。
ステップ２１４では、安全な資源に結合された撮影システムによって、認証すべき物体を撮影する。本発明の典型的な実施形態では、撮影システムとしてビデオ・カメラを使用し、そのビデオ・カメラはコンピュータ・システムに結合され、そのコンピュータ・システムが安全な資源を実行するかまたはその資源へのアクセスを可能にする。撮影システムは、ビデオ・ストリームを生成し、安全な資源に関連する認証側にこのビデオ・ストリームを通信する。
ステップ２１６では、認証側は、ビデオ・ストリームを処理し、変調した照明源のアーティファクトがビデオ・ストリーム内に存在するかどうかを判定する。通常、アーティファクトは、ステップ２１２における照明源の変調によって発生した照明の変化を表す。
ステップ２１８では、認証側は、変調した照明源のアーティファクトがビデオ・ストリーム内に存在する場合、安全な資源へのアクセスを許可する。変調した照明源のアーティファクトが存在しない場合、ステップ２２０で安全な資源へのアクセスが拒否される。認証プロセスはステップ２２２で終了する。本発明の一実施形態では、認証プロセスが終了すると、コンピュータ・システムは、それが実行していた前のタスクまたはアイドル状態に戻る。代替実施形態では、アクセスを拒否すべきであると判定すると、通知メッセージが生成される。この通知メッセージは、安全な資源の要求者またはコンピュータ・システムが保持するセキュリティ・ログに送られるか、または遠隔地あるいは上記または同様の通知宛先の組合せに伝送される。この通知は、視覚信号、音響信号、電気信号、または同様の信号にすることができる。たとえば、安全な資源へのアクセスを求める要求が拒否されると、音響警報音とともに、メッセージがコンピュータ・ディスプレイ上に表示される。当業者であれば、多くの変形例が可能であることが分かるだろう。
装置
第３図を参照して、本発明による装置の例示的な実施形態について説明する。
認証システム３００では、認証側３０２は、安全な資源３０１へのアクセスを求める要求を受け取る。認証側３０２は、照明源３０４によって生成される出力を変調するための制御信号を与えるために照明源３０４に結合されている。認証すべき物体３０６は、通常、照明源３０４からの放射の少なくとも一部分が撮影システム３０８の位置に反射されるように、照明源３０４と空間的に位置合わせされる。撮影システム３０８は、ビデオ・ストリームを生成し、そのビデオ・ストリームを認証側３０２に通信するように認証側３０２に結合されている。認証側３０２は、アクセス要求に応答して安全な資源３０１へのアクセスを許可すべきかどうかをアクセス・コントローラ３１０に通信するように、アクセス・コントローラ３１０にさらに結合されている。
照明源３０４は、通常、ＰＣディスプレイ装置である。物体３０６は、通常、安全な資源３０１へのアクセスを要求するコンピュータ・ユーザである。より具体的には、物体３０６は、通常、安全な資源３０１へのアクセスを要求するコンピュータ・ユーザの顔または虹彩である。人間の目の虹彩は、周囲の照明条件に順応して、光が目に入るようにする。したがって、可視光線によって主体となる人間を照射すると、瞳孔のサイズと比較した場合に虹彩のサイズに重要な差が生まれる。
撮影システム３０８は、通常、ビデオ・カメラである。認証側３０２およびアクセス・コントローラ３１０は、通常、ＰＣによって実行されるソフトウェアとして実現されるが、当業者であれば、このような機能ブロックがハードウェアでも実現できることが分かるだろう。認証側３０２は、変調制御情報を照明源３０４に送ること、撮影システム３０８から受け取ったビデオ・ストリームを分析すること、要求された安全な資源へのアクセスを許可すべきかどうかを判定することという論理演算を実行する。
結論
本発明は、視覚的認証プロセスの完全性を保証するための方法を提供する。これは、ＰＣがオープンな環境であるために、このようなシステムがスプーフィングおよび再生襲撃を受けやすいＰＣ環境に特に適切なものである。
本発明の利点は、ビデオ撮影システムを備えたＰＣが本明細書に記載した視覚的認証システムを実現するために追加のハードウェアを必要としないことである。
本発明の他の利点は、本発明の実施形態によってパスワード保護などの従来の認証システムを増強すると、安全な資源のためにより高レベルのセキュリティが提供されることである。
本発明のさらに他の利点は、ポータブル・コンピュータで実施したときに、そのポータブル・コンピュータの使用が事前に許可されていない人がそのポータブル・コンピュータを使用できないようにする能力である。
本発明は、方法およびその方法を実施するための装置の形で実施することができる。また、本発明は、フロッピー・ディスク、ＣＤ−ＲＯＭ、ハード・ドライブ、その他のコンピュータ可読記憶媒体などの具体的な媒体で実施されるコンピュータ・プログラム・コードの形で実施することもでき、そのコンピュータ・プログラム・コードがコンピュータ内にロードされてコンピュータによって実行されると、コンピュータは本発明を実施するための装置になる。具体的な媒体にコード化されたプログラム・コードは、本発明の様々なステップをコンピュータに実行させるための手段を作成する。本発明は、記憶媒体に格納されているか、コンピュータ内にロードされるかまたはコンピュータによって実行されるか、あるいは電線またはケーブル、光ファイバ、電磁放射など、何らかの伝送媒体によって伝送されるかにかかわらず、コンピュータ・プログラム・コードの形で実施することもでき、そのコンピュータ・プログラム・コードがコンピュータ内にロードされてコンピュータによって実行されると、コンピュータは本発明を実施するための装置になる。汎用マイクロプロセッサによって実現されると、コンピュータ・プログラム・コードは、そのマイクロプロセッサと相俟って、特定の論理回路に類似した動作を行う固有の装置を提供する。
当業者であれば、本発明の多くの様々な実施形態が実現可能であり、たとえば、本発明の視覚的認証プロセスが可視照明と赤外線照明のどのような組合せでも使用することができ、このような照明はパルス式または連続可変式にすることができることが分かるだろう。本発明の認証プロセスは、パスワード保護または音声認識などの他の認証プロセスとともに使用することができる。同様に、コンピュータ・ディスプレイのみならず、認証プロセスの制御下にある適切な照明源は、どのようなものでも本発明の実施形態を実現するために使用することができ、たとえば、認証プロセスから受け取ったコマンドに対して強度または周波数で反応する室内照明を使用できることに留意されたい。
当業者であれば請求の範囲に記載した本発明の原理および範囲を逸脱せずに、本発明の特徴を説明するために記載し例示した部分およびステップの詳細、材料、配置について他の多くの様々な変更が可能であることに留意されたい。

Claims (6)

1. 視覚的認証の方法であって、
   ａ）少なくとも１つの擬似ランダムに変調された光出力を生成するステップと、
   ｂ）擬似ランダムに変調された光出力の少なくとも一部分の間に物体を撮影して、ビデオ・ストリームを作成するステップと、
   ｃ）ビデオ・ストリームが前記疑似ランダムに変調された光出力の疑似ランダムな変調による影響を受けたかどうかを判定するステップと
   を含む方法。
2. 視覚的認証の方法であって、
   ａ）ディスプレイ装置の光出力を擬似ランダムに変えるステップと、
   ｂ）擬似ランダムに変えられた光出力の少なくとも一部分の間に物体を撮影して、ビデオ・ストリームを作成するステップと、
   ｃ）ビデオ・ストリームが前記疑似ランダムに変調された光出力の疑似ランダムな変調による影響を受けたかどうかを判定するステップと
   を含む方法。
3. 視覚的認証の方法であって、
   ａ）所定の期間の間、擬似ランダム時間変動光出力変調信号を光発生装置に印加するステップと、
   ｂ）所定の期間の少なくとも一部分の間に物体を撮影するステップと、
   ｃ）ステップ（ｂ）で撮影した物体を表すビデオ・ストリームが、変調した光出力の前記疑似ランダム時間変動光出力変調信号による影響を受けたかどうかを判定するステップと
   を含む方法。
4. 認証の方法であって、
   電磁スペクトルの赤外部分で動作可能なセンサを設けるステップと、
   認証すべき物体に関する画像データ入力ストリームを要求するステップと、
   擬似ランダムに時間変動する赤外線発光を生成するステップと、
   画像データ入力ストリームが、生成した時間変動赤外線発光の少なくとも一部分と時間的に相関する赤外線反射のアーティファクトを含むかどうかを判定するステップと
   を含む方法。
5. コンピュータ可読プログラムが記憶されたコンピュータ読み取り可能な記録媒体であって、該プログラムが実行されたとき、コンピュータに、
   ａ）複数の光出力を擬似ランダムに生成させ、
   ｂ）光出力のシーケンスの少なくとも一部分の間に物体を撮影させ、
   ｃ）物体を表すビデオ・ストリームが前記疑似ランダムに変調された光出力の疑似ランダムな変調による影響を受けたかどうかを判定させる
   ことを行わせるコンピュータ読み取り可能な記録媒体。
6. 視覚的認証のためのシステムであって、
   ａ）認証装置と、
   ｂ）認証装置の変調制御出力に結合された変調制御入力を有する照明源と、
   ｃ）認証装置のビデオ・ストリーム入力に結合されたビデオ・ストリーム出力を有する撮影システムと
   を含み、照明源がコンピュータ・ディスプレイ装置であるシステム。

Images