JP5996165B2 - 秘密値を生成する方法及び装置 - Google Patents

Description

本発明は、一般にユーザ認証に関し、より詳細にはグラフィカルパスワードに関する。

このセクションは、以下に説明及び／又は請求される本発明の各種態様に関する各種技術を読者に紹介するためのものである。この説明は、本発明の各種態様のより良好な理解を実現するための背景情報を読者に提供するのに役立つと考えられる。従って、これらの説明はこの観点で読まれるべきであり、従来技術の自認として理解されるべきでない。

パスワードを用いて、例えば、コンピュータや携帯電話などの各種装置へのアクセスをプロテクトすることは、長く確立された方法である。最も一般的なパスワードシステムは、ユーザがキーボードを用いてキャラクタ文字列を入力することを求める。これに関する問題は、強力なパスワード、すなわち、推測することが困難なパスワードは、しばしば維持することが困難であるということである。

テキストよりイメージを覚えることがしばしばより容易であるため、いくつかの解決手段はグラフィカルパスワードを使用することを提案してきた。さらに、多数の新たな装置は物理的なキーボードを有しない。例えば、スマートフォンは、入力装置としてタッチ画面しか有していない。この場合、テキストパスワードを入力するための仮想的なキーボードを用いることが求められる。これは、特に強力なパスワード（大文字と小文字がミックスされた英数字）を使用する際にはあまりユーザフレンドリでない。

ＵＳ５５５９９６１において、Ｂｌｏｎｄｅｒは、所定のイメージ内の所定のゾーンのシーケンスをクリックすることによって、ユーザがパスワードを入力する技術を提案している。ＵＳ２００４／０１０７２１は、同様の手段を提案している。

Ｐａｓｓｌｏｇｉｘは、Ｓｕｏらによる“Ｇｒａｐｈｉｃａｌ Ｐａｓｓｗｏｒｄｓ：Ａ Ｓｕｒｖｅｙ”（Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｇｅｏｒｇｉａ Ｓｔａｔｅ Ｕｎｉｖｅｒｓｉｔｙ−ｈｔｔｐ：／／ｗｗｗ．ａｃｓａｃ．ｏｒｇ／２００５／ｐａｐｅｒｓ／８９．ｐｄｆに従ってこのアイデアを発展させた。パスワードを入力するため、ユーザは所定のシーケンスのイメージ内の各種アイテムをクリックする。

Ｓ．Ｗｉｅｄｅｎｂｅｃｋらはまた、いくつかの論文においてＢｌｏｎｄｅｒのスキームを拡張した。
・“Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｕｓｉｎｇ Ｇｒａｐｈｉｃａｌ Ｐａｓｓｗｏｒｄｓ：Ｂａｓｉｃ Ｒｅｓｕｌｔｓ”，ｉｎ Ｈｕｍａｎ−Ｃｏｍｐｕｔｅｒ Ｉｎｔｅｒａｃｔｉｏｎ Ｉｎｔｅｒｎａｔｉｏｎａｌ（ＨＣＩＩ ２００５），Ｌａｓ Ｖｅｇａｓ，ＮＶ，２００５
・“Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｕｓｉｎｇ Ｇｒａｐｈｉｃａｌ Ｐａｓｓｗｏｒｄｓ：Ｅｆｆｅｃｔｓ ｏｆ Ｔｏｌｅｒａｎｃｅ ａｎｄ Ｉｍａｇｅ Ｃｈｏｉｃｅ”，ｉｎ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｕｓａｂｌｅ Ｐｒｉｖａｃｙ ａｎｄ Ｓｅｃｕｒｉｔｙ（ＳＯＵＰＳ），Ｃａｒｎｅｇｉｅ−Ｍｅｌｌｏｎ Ｕｎｉｖｅｒｓｉｔｙ，Ｐｉｔｔｓｂｕｒｇｈ，２００５
・“ＰａｓｓＰｏｉｎｔｓ：Ｄｅｓｉｇｎ ａｎｄ Ｌｏｎｇｉｔｕｄｉｎａｌ Ｅｖａｌｕａｔｉｏｎ ｏｆ ａ Ｇｒａｐｈｉｃａｌ Ｐａｓｓｗｏｒｄ Ｓｙｓｔｅｍ”，Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｊｏｕｒｎａｌ ｏｆ Ｈｕｍａｎ Ｃｏｍｐｕｔｅｒ Ｓｔｕｄｉｅｓ，ｖｏｌ．６３，２００５，ｐａｇｅｓ １０２−１２７
このシステムは、所定の境界を排除し、ユーザがパスワードを生成するためイメージの何れの位置もクリックできるように、任意のイメージの利用を可能にした。

さらにＳｕｏらによると、Ｐａｓｓｐｏｉｎｔは、パスワードが複数の時間の間に１つの顔を選択することによって入力されるシステムを開発した。

これらのシステムは良好に動作するが、攻撃者がユーザにより実行される選択／クリックを観察することによってパスワードを推測するという、ショルダーサーフィンに対する脆弱性などのいくつかの問題がある。

従って、上記問題を解決し、ショルダーサーフィンに耐性を有するグラフィカルパスワードを有効にするシステムを提供するための手段が必要とされる。本発明は、このような手段を提供する。

第１の態様では、本発明は、秘密値を生成する方法に関する。装置が、各グラフィカル要素が少なくとも２つの変形を有する複数のグラフィカル要素からなる初期イメージを表示し、前記複数のグラフィカル要素のいくつかの変形を選択し、変更されたイメージを生成するため、ユーザ入力を繰り返し受信し、少なくとも前記グラフィカル要素の選択された変形から前記秘密値を生成する。

第１の好適な実施例では、前記秘密値は、パスワードである。

第２の好適な実施例では、装置は、前記初期イメージの選択のためにユーザ入力を受信し、前記選択された初期イメージはまた、前記秘密値の生成に使用される。

第３の好適な実施例では、前記グラフィカル要素は、前記初期イメージと前記変更されたイメージとにシームレスに統合される。

第４の好適な実施例では、ユーザ入力は、グラフィカル要素の選択からなり、これに応答して少なくとも１つの変形が提供される。

第５の好適な実施例では、変形を選択するユーザ入力は、グラフィカル要素のすべての変形をユーザに同時に提供することからなる。

第２の態様では、本発明は、秘密値を生成する装置に関する。当該装置は、各グラフィカル要素が少なくとも２つの変形を有する複数のグラフィカル要素からなる初期イメージを有するディスプレイを提供する手段と、前記複数のグラフィカル要素のいくつかの変形を選択し、変更されたイメージを生成するため、ユーザ入力を繰り返し受信する手段と、少なくとも前記グラフィカル要素の選択された変形から前記秘密値を生成する手段とを有する。

第１の好適な実施例では、前記秘密値は、パスワードである。

第２の好適な実施例では、当該装置はさらに、前記初期イメージの選択のためにユーザ入力を受信する手段を有する。前記生成する手段はまた、前記秘密値の生成のため前記選択された初期イメージを利用する。

第３の好適な実施例では、当該装置はさらに、前記変更されたイメージを生成するため、前記変形を前記初期イメージにシームレスに統合する手段を有する。

第４の好適な実施例では、ユーザ入力は、グラフィカル要素の選択からなり、当該装置はさらに、前記グラフィカル要素の選択に応答して少なくとも１つの変形を提供する手段を有する。前記提供する手段は、変形を選択するためのユーザ入力に応答して、前記選択されたグラフィカル要素のすべての変形を提供することが効果的である。

第５の好適な実施例では、前記提供する手段はさらに、当初表示された前記グラフィカル要素もまた提供する。

ショルダーサーフィンに耐性を有するグラフィカルパスワードを有効にするシステムを提供するための手段を提供することが可能である。

図１は、パスワードを生成するためイメージがどのように変更されるかの具体例を示す。 図２は、パスワードの入力のための一例となるディスプレイを示す。 図３は、本発明の好適な実施例による装置のブロック図を示す。 図４は、イメージの異なるグラフィカル要素の具体例を示す。 図５は、グラフィカル要素がどのように変更されるかを示す。 図６は、登録段階の間の好適なやりとりを示す。 図７は、登録のリマインダ段階中の一例となるディスプレイを示す。 図８は、登録のエラー段階中の一例となるディスプレイを示す。 図９は、ユーザ入力の変形例を示す。 図１０は、本発明の好適な実施例によるパスワードの生成方法のフローチャートを示す。

本発明の主な発明のアイデアは、ウィンドウ、人間、乗り物、ストアサインなどの１以上のグラフィカル要素を変更することによって初期イメージとやりとりすることによって秘密（パスワードなど）を生成することである。グラフィカル要素は、それらをクリックすることによって変更されてもよく、各クリックは現在のグラフィカル要素を、初期ピクチャにおいて好ましくはシームレスに統合する他の所定のグラフィカル要素と置換可能である。秘密は、初期ピクチャと異なり、グラフィカル要素とのユーザによるやりとりを介し構成される最終ピクチャに依存する。人間の頭脳は長期のメモリエリアにピクチャを格納するため、秘密の呼び起こしに成功する確率は向上する。

図１は、パスワードを生成するためイメージがどのように変更可能であるかを示す。図１の上半分は、ユーザが自分の秘密を入力するよう求められたときに表示されるオリジナルイメージを示す。その後、ユーザは、変更するためにピクチャの複数のエリアをクリックし、パスワードが図１の下半分に示される最終イメージから導出される。一例として、ユーザがエンプティシート（グラフィカル要素）をクリックすると、これはバス（次の所定のグラフィカル要素）を表示し、再度のクリックはタクシーを表示し、最終イメージに示されるような黄色いスポーツカーが表示されるまで続けられる。これら２つのバージョンの間には１０個の相違があり、これらの相違がパスワードを生成するのに用いられる。

すべてのグラフィカル要素は予め規定され、システムに統合されている。理解されるように、特に攻撃者がイメージを以前に見たことがない場合、これらの相違に気付くことはかなり困難であり、このことは、変更（及び／又は最終イメージ）を記録するためにカメラを用いない場合、ショルダーサーフィンのアタックに対する良好なプロテクションが提供されることを意味する。

ここでの説明は、パスワードの入力に着目しているが、各種暗号システム（秘密暗号鍵など）において生成される秘密の他の利用が可能であり、このような利用は他の導出機構を必要とすることが理解されるであろう。
［好適な実施例］
上述されるように、好適な実施例はパスワードの領域に適用される秘密の入力に関する。簡単化のため、最終ピクチャがパスワードであるとみなされる。

すべてのグラフィカル要素は予め規定され、システムに統合されている。すなわち、攻撃者がグラフィカル要素が何であるか理解することができないことが好ましい。さらに、十分に多様な変更の可能性を提供するため、イメージは好ましくは十分に選択される。例えば、誰もいないビーチの日の出はかなり限定的であるが、街中の通りは変更対象の多数の異なる要素を提供する。

図２は、パスワードエントリのための一例となるディスプレイを示す。ユーザがまず自分のパスワードを入力するよう求められると、ディスプレイは、初期ピクチャ、認証ボタン、リセットボタン及び他のユーザにスイッチするためのボタンを有する。

図３は、本発明の好適な実施例による装置のブロック図を示す。装置３００は、図１及び２などに示されるイメージ及びディスプレイを表示するよう構成されるディスプレイ画面３１０を有する。装置３００はさらに、少なくとも１つのプロセッサ３２０（以降、“プロセッサ”）、少なくとも１つのメモリ３３０及びユーザ入力手段３４０を有する。ユーザ入力手段３４０は、それがタッチ反応式である場合にはディスプレイ画面３１０であってもよいが、例えば、マウス及び／又はキーボードであってもよい。プロセッサは、ユーザリクエストに応答してグラフィカル要素を変更し、パスワードを生成するなど、本発明の方法を実行するよう構成される。装置３００はまた、ユーザと外部サーバとの間のやりとりの少なくとも一部を中継するダム端末として動作するものであってもよいことが理解されるであろう。さらに、装置３００は、ディスプレイ、ユーザインタフェース、プロセッサ３２０を有し、ディスプレイにイメージを提供し、ユーザインタフェースからユーザ入力を受信する計算装置などの複数の装置として実現されてもよいことが理解されるであろう。

図４は、各グラフィカル要素が一例となる矩形として示されるイメージの可能なグラフィカル要素を示す。これらのグラフィカル要素はまた、例えば、パスワードが始めて選択されたときなど、選択を実行するようユーザに示されるものであってもよい。さらに、図４に示されるように、“現在”のグラフィカル要素をハイライトすることが可能である。

図５は、グラフィカル要素がクリックすることによってどのように変更されるかを示す。ユーザがグラフィカル要素をクリックする毎に、グラフィカル要素の次の“バージョン”が示され、前のバージョンが置換される。図５は、３回の連続するクリックがオリジナルピクチャの右下のバス停サインの周囲のグラフィカル要素にどのような影響を与えるかを示す。グラフィカル要素を計時する順序は、固定的かつ所定のものであってもよいし、又は動的でランダムなものであってもよい。

ユーザがグラフィカル要素を変更することによって最終イメージを復元したとき、認証ボタンが押下され、パスワードがチェックされる。表示されたイメージが最終イメージと同一である場合、パスワードは認証成功であり、これに応答して、例えば、アクセスが許可される。

ユーザがパスワードの入力中にエラーをした場合、リセットボタンが押下され、初期イメージが復元され、すでに行われた変更がキャンセルされる。

新たなユーザ（パスワードを有さない）がパスワードを生成するか、又は既存のユーザが新たなパスワードを生成するとき、登録が実行される。登録は、効果的には、
・選択：ユーザがパスワードを選択するためにやりとりする。
・リマインダ：パスワードがユーザに表示される。
・実行：ユーザがパスワードの入力を実行する。
・エラー：ユーザが実行中にエラーを起こす。
の各段階からなる。

図６は、登録の各段階の間の好適なやりとりを示す。

登録は、ユーザがグラフィカル要素を特定することを可能にするため、図４に示されるような画面が表示されるパスワード選択６１０から開始される。ユーザが“現在”のグラフィカル要素（図４にハイライトされるもの）をクリックした場合、上述されたように、それは変更される。図４のディスプレイはまた、パスワード強度のインジケータを有し、その値は、効果的には変更可能なグラフィカル要素の総数、各グラフィカル要素のための代替数、及びユーザにすでに変更されたグラフィカル要素の個数に依存する。

ユーザがエラーをした場合、“リセット”ボタンを用いて最初からスタートすることが可能であり、あるいは、“アンドゥー”ボタンが最後のアクションをキャンセルすることも可能である。

ユーザが結果として得られたピクチャに満足すると、パスワードは“認証”ボタンを選択することによって認証され、その後にリマインダ段階６２０が開始される。

リマインダ段階６２０では、選択されたイメージが、図７に示されるような変更されたハイライとされたグラフィカル要素と共に表示される。その後、ユーザは、パスワードを認証するか（これにより登録を終了する）、パスワードをリセットするか（パスワード選択段階６１０に戻る）、又はパスワードを実行するかの選択が可能である。後者のケースでは、実行段階６３０が開始される。

パスワード実行段階６３０では、ユーザはパスワードの入力を実行する。ユーザは、選択されたパスワードを閲覧するため、パスワードリマインダ段階６２０に戻るために実行をキャンセルしてもよい。実行成功はまたパスワードリマインダ段階６２０に戻らせ、実行不成功は、再度の試みのためにパスワード実行６３０に戻る前に、図８に示されるようにエラーが表示されるエラー段階６４０に移動させる。

エラー段階６４０では、一方では正しく選択されたグラフィカル要素と、他方では間違って選択されたグラフィカル要素とを示すことが好ましい。
［パスワードスペース］
パスワードスペースを改善するため、グラフィカル要素の選択順序が考慮されてもよい。この場合、秘密は最終ピクチャからでなく、初期ピクチャから最終ピクチャまで導いたやりとり全体から導出される。

パスワードスペースのサイズは、以下のように計算されてもよい。イメージは、各ゾーンがｖ個の可能な変形を有するｅ個のセンシティブな又は秘密のゾーン（グラフィカル要素）を有する。表記と式を簡単化するため、すべてのゾーンは同数の可能な変形を有することが仮定される。あるゾーンに対するこの変形セット“シンボルアルファベット”はｅ_ｉと記される。また、各ゾーンに対して、アルファベットではカウントされない初期（デフォルト）状態というさらなる状態がある。

パスワードを入力するため、ユーザはイメージにおいてある数ｎ個のゾーンを変更し、残りの（ｅ−ｎ）個のゾーンはデフォルト状態に残される。

ゾーンが変更される順序が重要でない仮定の下、所与のｎに対してパスワードスペースのサイズΩは、選択されたゾーンの可能なすべての状態の個数と乗算されるｎタプルの個数により与えられ、
を与える。

入力順序がまた考慮される場合、所与のｎのパスワードスペースのサイズΩは、
により与えられる。

区間［０，．．．，ｅ］におけるｎに対する和であるパスワードスペース全体のサイズΩは、第１（順序付けされていない）ケースでは、
により与えられる。

第２（順序付けされている）ケースでは、区間［０，．．．，ｅ］におけるｎに対する和であるパスワードスペース全体のサイズΩは、
により与えられる。

何れのケースでもΩはセンシティブゾーンの個数に対して指数的に増大することが理解されるであろう。

これらの式は、ＰＩＮコード（又は従来のパスワード）のものと大変類似しており、主な相違は新たな要素である変更されたゾーンの選択である。ＰＩＮコードと従来のパスワードの強度は、アルファベットのサイズと長さに基づく。パスワードを変更する“位置”（及び変更しない位置）を選択可能なグラフィカルパスワードは、所与のサイズのシンボルアルファベットと長さ（変更されたゾーンの個数）とに対するより大きな可変性を可能にする。この選択は、２項係数により表され、パスワードスペースに積極的な貢献を与える。

ＰＩＮコードとの比較の具体例が与えられる。４桁のＰＩＮコードは、１０個の要素（桁）と４個の変更可能なゾーンとのアルファベットを有し、合計で１０００個の可能性を与える。約３０個の変更可能なゾーンを有するイメージによるグラフィカルパスワードコンテクストにおいて同じ数値パラメータを使用することは、
の可能性を与える。

８つの変更可能なゾーンしか有さないよりシンプルなイメージでさえ、パスワードスペースにおいて顕著な改善を提供する。

これらの数はまた、順序が考慮される場合にはより大きなものとすることも可能である（ファクタ２４だけ）。

理論的には、グラフィカルパスワードは、変形に対して適切な“アルファベット”が選択される限り、従来のパスワードと同等以上の強度となる。これは、与えられた式の非対称性を参照することによって容易に検証される。従来のテキストのパスワードに対して、６２のアルファベットサイズ（大文字、小文字及び桁）を与える英数字のＡＳＣＩＩシンボルを利用することが極めて一般的である。グラフィカルパスワードコンテクストでは、アルファベットシンボルはイメージ又はオブジェクトであり、それらの数は実質的に無限である。他方、このようなシステムの実際の利用については、変形セットは従来ケースのセンシティブなパスワードほどは大きくすることはできない。

これら２つのシステムを数値的に比較して、８文字の英数字ケースのセンシティブパスワード（ウェブサイト上の一般的な提案）とほぼ同じサイズのパスワードスペースを取得するため、例えば、１６個の要素のアルファベットによる１２個の変更されるゾーンを利用することが可能であり、数値的には、
となる。しかしながら、これらの数は利用可能なゾーンに対する変更されるゾーンのサブセット（約３０）の選択によるファクタを考慮していないことに留意すべきであり、それはグラフィカルパスワードの効果を提供する。また、これらのパラメータを有するシステムはグラフィカルパスワードシステムの実際的な制約に近づくことが可能であることに留意すべきである。これは、画面上の１６個（又はそれ以上）の要素の表現は紛らわしいが、このレベルでは依然として実現可能である。

第１の変形として、システムは１つのピクチャの代わりに異なるいくつかの初期ピクチャを提案し、これにより、ユーザにパスワードを入力するために変更する前にピクチャの選択を与える。従って、パスワードスペースは改良可能である。

第２の変形として、クリックされると、すべての可能なグラフィカル要素が表示される。この可能性は図９に示される。第２の変形は、より迅速な入力を導くが（グラフィカル要素を選択するのに２回より多くのクリックは不要である）、ショルダーサーフィンに対する耐性は低いことが留意されるべきである。

図１０は、本発明の好適な実施例によるパスワードの生成方法のフローチャートを示す。本方法はステップ１０１０において開始され、その後に初期イメージを選択する任意的なステップ１０２０に続く。ユーザ入力は、グラフィカル要素を変更するため受信され（１０３０）、選択されたグラフィカル要素がユーザに表示される。選択されたグラフィカル要素は必ずしもユーザにより選択される最終グラフィカル要素である必要はないことに留意すべきである。さらにそれは変更されてもよい。また、初期的に表示されるグラフィカル要素は数回のクリック後に表示可能であり、この場合には、当該グラフィカル要素は、実現形態に応じて変更されたグラフィカル要素としてみなされてもよいし、そうでなくてもよいことに留意すべきである。

その後、ステップ１０４０において、例えば、ユーザがパスワードを検証したかチェックすることによって、パスワードが完全であるか検証される。完全でない場合、本方法はグラフィカル要素の変更に戻る。しかしながら、パスワードが完全である場合パスワードが生成される（１０５０）。生成されるパスワードの形式は、例えば、選択されたグラフィカル要素、（選択された又はすべての）グラフィカル要素に対するハッシュ又は最終イメージ全体に対するハッシュのリストであってもよい。

本システムは、
・辞書式攻撃のリスクを低減できる。実際、通常のワードは有効なテキストパスワードスペースにおける大きなサブセットを表し、パスワードを記憶する労力を低減するのにしばしば利用される。このサブセットは、しばしば周知であり、人々により共有される。グラフィカルパスワードコンテクストでは、存在する場合には少数のグラフィカル要素が他のものより“良好”又は“より可能性”がある。
・シンプルかつなじみのある方法により良好なレベルのセキュリティを提供可能である。それは、例えば、視覚問題を持っている老人、読み書きを学習する前の子供たちなどによって利用可能である。
・特定のイメージ構成においてイメージとオブジェクト間の関係を関連付けることは相対的に容易であるため、より長いパスワードを利用することを可能にする。実際、人間は、ピクチャを格納するために長期のメモリを利用し、これによりテキストと比べてより良好にイメージを思い出すことが可能である。
・タイピングが困難であるキーボードのない装置により利用可能である。
・基本的なクリックログイン技術に実用的でなく、ショルダーサーフィンにより耐性的である。

明細書、（必要に応じて）請求項及び図面に開示される各特徴は、独立して又は何れか適切な組み合わせにより提供されてもよい。請求項の参照番号は、単なる例示であり、請求項の範囲に対して限定的な効果を有するものでない。

３００ 装置
３１０ ディスプレイ画面
３２０ プロセッサ
３３０ メモリ
３４０ ユーザ入力手段

Claims (13)

1. 秘密値を生成する方法であって、装置が、
   各グラフィカル要素が少なくとも２つの変形を有する複数のグラフィカル要素を含むイメージを表示するステップと、
   前記イメージに含まれる前記複数のグラフィカル要素のいくつかのグラフィカル要素の変形を選択するユーザ入力を繰り返し受け取り、各選択によりユーザ入力に対応する前記イメージ中のグラフィカル要素が変更され、前記イメージを変更するステップであって、変更されたイメージは前記複数のグラフィカル要素のいくつかのグラフィカル要素の選択された変形を含み、前記ユーザ入力はグラフィカル要素へのクリックを含むステップと、
   少なくとも前記グラフィカル要素の選択された変形から前記秘密値を生成するステップと、
   を実行する方法。
2. 前記秘密値はパスワードである、請求項１記載の方法。
3. 前記の表示されるイメージを選択するユーザ入力を受け取るステップをさらに有し、
   前記選択されたイメージも前記秘密値の生成に使用される、
   請求項１記載の方法。
4. 前記グラフィカル要素は、前記イメージと前記変更されたイメージとにシームレスに統合される、請求項１記載の方法。
5. ユーザ入力はグラフィカル要素の選択を含み、
   当該方法はさらに、前記ユーザ入力に応じて少なくとも１つの変形を提供するステップを有する、請求項１記載の方法。
6. 前記提供するステップは、前記選択されたグラフィカル要素のすべての変形をユーザに同時に提供するステップを含む、請求項５記載の方法。
7. 秘密値を生成する装置であって、
   ディスプレイに、各グラフィカル要素が少なくとも２つの変形を有する複数のグラフィカル要素を含むイメージを提供する手段と、
   前記イメージに含まれる前記複数のグラフィカル要素のいくつかのグラフィカル要素の変形を選択するユーザ入力を繰り返し受け取り、各選択によりユーザ入力に対応する前記イメージ中のグラフィカル要素が変更され、前記イメージを変更する手段であって、変更されたイメージは前記複数のグラフィカル要素のいくつかのグラフィカル要素の選択された変形を含み、前記ユーザ入力はグラフィカル要素へのクリックを含む手段と、
   少なくとも前記グラフィカル要素の選択された変形から前記秘密値を生成する手段と、
   を有する装置。
8. 前記秘密値はパスワードである、請求項７記載の装置。
9. 前記の提供されるイメージを選択するユーザ入力を受け取る手段をさらに有し、
   前記生成する手段は前記秘密値の生成のため前記選択されたイメージも利用する、請求項７記載の装置。
10. 前記変形を前記イメージにシームレスに統合し、前記変更されたイメージを生成する手段をさらに有する、請求項７記載の装置。
11. ユーザ入力はグラフィカル要素の選択を含み、
    当該装置は、前記グラフィカル要素の選択に応じて少なくとも１つの変形を提供する手段をさらに有する、請求項７記載の装置。
12. 変形を選択するユーザ入力に応じて、前記選択されたグラフィカル要素のすべての変形を提供する手段をさらに有する、請求項１１記載の装置。
13. 前記提供する手段はさらに、当初表示された前記グラフィカル要素もまた提供する、請求項７記載の装置。