美的好み認識を用いた認証要素としての可能性

イスラエルの新しい論文では、ユーザーの美的好みに基づく認証スキームを提案しています。ユーザーは画像を評価することでシステムを一度だけ調整し、個人の視覚的および視覚的概念的好みの「ドメイン」を生成します。その後、ユーザーは認証時に記録された好みと新しい画像セットを照合するように挑戦されます。

ゲーム化したAEbA実装の試験 – 左側のユーザーは画像の美的品質を評価します。右側のスコアはアクティブな適用段階の終了時に示されます。ソース：https://arxiv.org/ftp/arxiv/papers/2204/2204.05623.pdf

このシステムは、美的評価に基づく認証 (AEbA) と呼ばれ、2022年7月にカリフォルニアで開催されるUSENIX Annual Technical Conferenceへの投稿です。

AEbAは、ゲームシリーズとして実験され、参加者はシステムをトレーニングし、新しい画像を評価する必要がありました。2回目のテストでは、ユーザーが他の人の好みを推測する能力を調べました。

AEbA用のサンプル画像。pexels.comより。

このアプローチは、すべての人にとって適切ではない可能性があります。なぜなら、すべての人が発達した美的感覚を持っているわけではないからです。しかし、低〜中程度のセキュリティ要件のプライマリ認証スキームとして、または2要素認証（2FA）の可能な方法の1つとして機能する可能性があります。

しかし、このシステムの新しいアイデアは、より複雑な美的基準に基づくチャレンジシステムの出発点となる可能性があります。認証時の画像の数は、必要に応じてデフォルトで拡大できます。CAPTCHAチャレンジが不確かな初期結果の場合と同様に拡大できます。

チャレンジがより細かく広範になるほど、この手法が提供できる安全性は高まります。

AEbAチャレンジの複数の要素を掛け合わせた場合の相対的なパスワード強度。Dは表示する画像数、Dhrは選択しなければならない画像数、Sは美的選択の直線的な手順における画面数、すなわち段階数です。

人間の認証に関する一般的な原則では、AEbAは何かを知っていること（SYK）と何かであること（SYA）の要素を組み合わせており、3つの前提に基づいています。私たちが好きなもの（視覚的な表現）は私たちにとって容易に区別できるものであること（一般的な記憶理論に従って）、私たちの美的好みは相対的に一貫性があること、そしてさまざまなユーザーの好みには、推測できない区別を生むだけの十分な違いがあることです。

著者は、この技術を機械学習フレームワークに適応して個々のユーザーの評価を予測する可能性があると示唆しています。

論文の題名はBeautiful secrets: using aesthetic images to authenticate usersで、ベエルシェバにあるネゲヴ・ベン＝グリオン大学のソフトウェア・情報システム工学部の研究者2人が執筆しました。

画像ドメインの力

AEbAは丸暗記に頼るのではなく、利用者を、堅固で個人特有の多様な喜びの反応を形成した訓練済み画像認識システムとして捉え、その強い喜びの連想を活用します。

本質的に、AEbAは、コンピュータビジョンと画像合成システムにおける抽象的な事前知識の、人間における相当物に依存します。これは、スタイルとドメイン固有の特徴を単一の不変な画像に組み込むことなく伝えることができます。そうした事前知識を適用することで、生成的な敵対ネットワーク（GAN）をトレーニングして、ドメイン（例えば「ゴッホ」）を、それ以外はまったく新しい画像の生成に取り入れるよう訓練できます。

過去の文献では、画像は単語よりも容易に記憶され、快楽的な画像は一般的な画像よりも容易に記憶され、画像の評価（AEbAのトレーニングプロセス中に）が画像の記憶力をさらに高めることが示されています。1970年代からの研究では、人間には一般的な画像と以前見た画像に対する「大量の記憶容量」があることが示されています。また、画像を記憶に組み込む能力は実証されており、著しく 語彙記憶の能力を上回ることが示されています。

共通の感覚では、ドメインの専門家（例：放射線科医）は、自らのドメインからの画像に対して最も敏感であると考えられます。しかし、2010年の研究では、日常の画像に対する記憶容量は、ドメイン固有の画像よりも遥かに大きいことが示されています。これは視覚的な「専門性」を持つ人々にも当てはまるとされています。

好みに基づく認証

好みを認証メカニズムとして利用するという概念は、2008年以降、Palo Alto Research CenterのMarkus Jakobssonが主導した2つの論文で注目されました。この一連の研究では、好みに基づく認証（PBA）が、音楽、食事、芸術作品、または私たちが好きなものが、私たちの心の中に根付いており、強力な内部動機によって駆り立てられていることを示唆しました。

PBAは、もともと「あなたはカントリーミュージックが好きですか？」のような質問を使用してパスワードのリセットを容易にするために提案されました。従来の記憶理論に基づいてテキストベースの好みを使用しました。

その後の研究では、2012年にテキストを画像に置き換えました。

Markus Jakobssonの2012年のPBAプロジェクトのキャリブレーション/登録段階のスクリーンショット。 ソース

しかし、著者は、このスキーマは画像の美的評価を考慮していないことを指摘しています。画像は単に単語や概念の代理として使用されています。一方、AEbAは、特定の物や活動に直接関連しないユーザー固有の「快楽のドメイン」を探求しています。

著者は、このアプローチには実用的限界があることを指摘しています。2012年の方式では、利用者に提示できる項目の数に実用上の限界があります。一方、抽象的なユーザーの好みモデルを開発することで、これらの限界を除去し、フィッシング、個人的な知識、その他の欺瞞に基づく外部攻撃や模倣をはるかに難しくできます。

グラフィカルパスワードの概念は、1990年代後半に登場しました。ある研究では、PassFacesを使用して、ユーザーは他の人の顔（自分以外）を覚える必要がありました。このアプローチでは、潜在的な攻撃者は、ユーザーの顔の好みに関する非常に親密な知識が必要です。また、ユーザーは、オリエンテーションの段階で同じ顔を選択することができます。

ロンドンのゴールドスミス大学で実験されたPassFacesスキーム。ユーザーは他の人の4つの顔を選択して覚える必要がありました。最初の選択はユーザーの好みに基づいていました。 ソース

AEbAに最も近いのは、デジャヴです。この方式は、必ずしも喜びを引き起こすようには設計されていないランダムなアート画像を提示しました。むしろ、不快感を伴う不調和な画像を用いて特定の画像を記憶させ、初回登録時にポートフォリオに加え、認証時に複数の候補から見分けさせることを狙っていました。

デジャヴのポートフォリオの作成。 ソース：https://netsec.ethz.ch/publications/papers/usenix.pdf

しかし、著者は、このアプローチでは、神経美学の文献で述べられている利点が無視されていることを指摘しています。提示される任意の画像に結び付きを感じる内的動機が乏しいためです。さらに、この方法は「肩越しの攻撃」に弱いです。ここでは、近くにいる攻撃者が、どの画像が選択されたかを目撃する機会があるからです。一方、AEbAの完全な実装では、トレーニングまたは認証セッションで以前使用された画像は繰り返されません。

さらに、論文では次のことが述べられています。

「グラフィカルパスワードには、通常のパスワードと同様に、ユーザーが単純な描画を選択する傾向があり、パスワードの変化性が低下し、攻撃に対して脆弱になるという問題があります。さらに、複数のシステムでこのようなスキーマを使用すると、ユーザーの1つのシステムのパスワードの記憶が、別のシステムのパスワードの記憶を妨げる可能性があります。これらの問題は、AEbAを実装する場合には比較的小さな懸念となります。なぜなら、AEbAは、特定のアカウントや画像の記憶に依存しない、固有の好みに依存しているからです。」

著者は、AEbAの別の利点も強調しています。文脈依存の認識です。肩越しの攻撃者や遠隔アクセスツール（RAT）攻撃者が認証セッションを視聴できたとしても、ユーザーが低く評価した画像（認証時にユーザーが低く評価した画像）と高く評価した画像の間の距離は、毎回異なるため、その差がどれほどかを知ることはできません。

「したがって、誰かが画像を好きであることを知っていても、他の画像と比較したときのその画像の好き度合いがわからない限り、攻撃者にとっては意味がないでしょう。」

さらに、ユーザーは、自分のドメインの好みの画像コンテンツが非常に抽象的で還元できないため、パスワードを安全でない方法で保存することはできません。

AEbAのテスト

研究者は、プロジェクトの中心的な前提を検証する概念実証としてシステムをゲーム化しました。無料画像サイトpexels.comから318枚の画像を集めてデータベースを構成し、個人のアーカイブの画像も加えました。

画像は8つのカテゴリ（宇宙、自然、山、森、花、都市景観、海岸、その他）に分類され、試験は登録（利用者が初回の10分間のセッションで画像を評価する）、認証ゲーム、敵対ゲーム（他の人の画像の好みを推測する）に分けられました。

参加しなかった人を除いた結果、便宜的標本である試験参加者群は、女性21人、男性12人の計33人の適格なプレイヤーとなりました。

登録

登録段階では、274枚の画像に対して3722回の評価が行われ、平均評価は6.07、中央値は6で、最も頻繁な値は7と8でした。最も低く評価された画像は2.32、最も高く評価された画像は8.63でした。

トップパフォーマーによる画像評価の分布。

著者は、画像評価の分布における著しい偏りと、ユーザー間の評価の多様性は、ユーザーが提示された画像に容易に区別できる評価を適用できることを示唆していることを主張しています。これは、明らかに嫌悪を招く画像やデータ分布の外にある画像を加えなくても成立すると著者らは考えています。小さな利用者集団でさえ、多様な気まぐれや好みが中心的な概念の裏付けに十分であるようです。

ユーザー評価付きのサンプル画像。

認証

認証ゲームでは、264回のプレイセッションが行われ、各参加者が2回のゲームを平均8回のセッションで完了しました。平均的な成功率は76％でした。

33人の参加者のゲームスコア分布のボックスプロット。平均スコアは太い黒い水平線で示され、中央値、1番目と3番目の四分位、最小値、最大値、外れ値が表示されます。

パフォーマンスは時間の経過とともにわずかに低下しましたが、その低下は上位50％の参加者では大幅に小さくなり、上位11人の参加者（最終的なユーザーグループの3分の1）の中ではほぼ消滅しました。

敵対ゲーム

敵対ゲームコンポーネントでは、制限のないプレイ（登録とは異なり）が行われ、ゲーム段階の開始から10日後に実施されました。結果のために、技術的な問題が発生したゲームを除いて、190ゲームがカウントされました。正解の平均数は2.88で、36％の成功率で、特に画像の数が少ないデータセットを考慮すると、偶然と同等でした。ただし、7つのゲームでは、参加者が75％以上の正解を得ることができました。

結論

便宜的標本を用いるなどの非公式な試験方法であるため、この方式はまだ予備的な概念実証の段階です。人間中心の「ドメインの把握」が、将来、攻撃者に乗っ取られたり妨害されたりしにくい、簡単で楽しい認証につながる可能性を示す最初の兆しといえます。より徹底的な試験が必要です。より多くの参加者と、適切に設定された認証シナリオが必要です。

著者は次のように結論しています。

「さらに、個々のユーザーの評価を予測し、ユーザーが以前評価していない正解画像とおとり画像を生成するための機械学習技術の可能性を研究することは興味深いことです。そうすることで、ユーザーの画像プールとその変化性を増加させて、パスワード空間を拡大することができます。」

*著者のインライン引用をハイパーリンクに変換しました

2022年4月13日初出。