CNETの記事
ChromebookがAndroidスマートフォンでアンロックできる
Android Wearを装着している間はAndroidスマートフォンがロックされないままで使えるようになるというSmart Lock機能が、Chromebookでも利用可能になったとのこと。Androidスマートフォンを持ったままChromebookに向かうと自動的にアンロックされるらしい。
FIDOアライアンスもこういうのを想定しているのでしょうかね？
ちなみにLollipopのSmart Lockだと「特定の場所にいるときはロックがかからなくなる」機能も実装されているそうです。（自宅にいる時はずっとロックされずに使い続けられる機能。）
利便性とセキュリティはトレードオフです。だからほんとうに安全なときくらいはロック機能を外してもいいのかなという気はします。
ただ、安全だろうと思って設定していても、いつ状況が変わるかは分かりません。本当は状況を察知してロックしてくれるくらいになってくれるといいのかな。これもGORT君の仕事かな。
2015年2月1日日曜日
7インチタブレットでは画像認証は使いにくい！
TechRepublicの記事です。
Windows 8.1の画像認証をやめてPINにすることにした
ざっくり訳すと
「Office Depotで99ドルで叩き売りになってたHP Stream 7を衝動買いして、使い始めてすぐに、普段使っているパスワードをタブレットのソフトキーボードで入力するのはとても面倒だと気がついた。」
「そういう人のために画像認証があるんじゃないか！ということで画像認証を使い始めたのだがこれが何だかちっとも使いものにならない。どう考えても正しく入力しているのにログインに失敗することが頻繁にある。」
「もっと単純にPINでログインできるようにすればいいんじゃないかと思って、iOSのPIN入力画面の画像を持ってきて画像認証に貼ってみた。」（注：この発想が普通じゃないと思うんだけど。(笑)）
「しかし数字ボタンの中央を正確にタップしないとやっぱり認証しない。」（注：つまり数字ボタンの画像が大きすぎたということですが。）
「そこで結局あきらめてPIN認証に切り替えることにした。」（注：最初からPIN認証モードが用意されているんですね。）
Microsoft/Windows 8(8.1)の画像認証については「6文字程度のパスワードに相当するセキュリティ」ということで安全性には問題があるという認識はありましたけど、認識率についてはあれだけたくさん特許を出してるんだし多少ラフになぞっても大丈夫になってるもんだと思っていました。
（もちろん、あまりにもラフに認証できてしまうのは問題ですが、もともと6文字程度しかないのなら徹底的に利便性に振るのもありかとは思うのですが。）
しかしTechRepublicに記事を書く人ですらこんな有り様なのでは心許ないとしか言いようがありませんね。もちろん、癖みたいなものに左右される気がしますし、根気よく慣れていけば人間のほうがキャリブレートされてしまうかもしれないのですが。
画像認証がなかなか主流にならない（もちろんAndroidの9ドット認証(Draw-A-Secret)なんかは成功している部類だとは思いますが）のはこういうことがあるからなんだろうな、と改めて考えたのでありました。
Windows 8.1の画像認証をやめてPINにすることにした
ざっくり訳すと
「Office Depotで99ドルで叩き売りになってたHP Stream 7を衝動買いして、使い始めてすぐに、普段使っているパスワードをタブレットのソフトキーボードで入力するのはとても面倒だと気がついた。」
「そういう人のために画像認証があるんじゃないか！ということで画像認証を使い始めたのだがこれが何だかちっとも使いものにならない。どう考えても正しく入力しているのにログインに失敗することが頻繁にある。」
「もっと単純にPINでログインできるようにすればいいんじゃないかと思って、iOSのPIN入力画面の画像を持ってきて画像認証に貼ってみた。」（注：この発想が普通じゃないと思うんだけど。(笑)）
「しかし数字ボタンの中央を正確にタップしないとやっぱり認証しない。」（注：つまり数字ボタンの画像が大きすぎたということですが。）
「そこで結局あきらめてPIN認証に切り替えることにした。」（注：最初からPIN認証モードが用意されているんですね。）
Microsoft/Windows 8(8.1)の画像認証については「6文字程度のパスワードに相当するセキュリティ」ということで安全性には問題があるという認識はありましたけど、認識率についてはあれだけたくさん特許を出してるんだし多少ラフになぞっても大丈夫になってるもんだと思っていました。
（もちろん、あまりにもラフに認証できてしまうのは問題ですが、もともと6文字程度しかないのなら徹底的に利便性に振るのもありかとは思うのですが。）
しかしTechRepublicに記事を書く人ですらこんな有り様なのでは心許ないとしか言いようがありませんね。もちろん、癖みたいなものに左右される気がしますし、根気よく慣れていけば人間のほうがキャリブレートされてしまうかもしれないのですが。
画像認証がなかなか主流にならない（もちろんAndroidの9ドット認証(Draw-A-Secret)なんかは成功している部類だとは思いますが）のはこういうことがあるからなんだろうな、と改めて考えたのでありました。
2014年12月14日日曜日
No CAPTCHA reCAPTCHA
こちらのほうが画像認証に近い話題かも知れません。
Google Upgrades Security From 'reCAPTCHA' to 'No CAPTCHA reCAPTCHA'
CAPTCHAからあの「歪んだ文字列」を取り去ったというお話。GoogleがreCAPTCHAを改良し、「あなたは人間ですか？」という問いに「YES」と答えるだけで認証できる「人間証明システム」をリリースしました。
Google Upgrades Security From 'reCAPTCHA' to 'No CAPTCHA reCAPTCHA'
CAPTCHAからあの「歪んだ文字列」を取り去ったというお話。GoogleがreCAPTCHAを改良し、「あなたは人間ですか？」という問いに「YES」と答えるだけで認証できる「人間証明システム」をリリースしました。
Googleによれば「botかどうかを判別するにはこれだけで充分」だとか。もっとも判断不能な場合には写真選択式の画像認証を要求するそうです。例示画像と「同様のもの」を選択させる任意画像複数提示選択式。
画像を漠然とした「同様のもの」で選択させるのは確かにプログラムに正解させるのはかなり難しいハードルです。ただ、写真が当たりか外れかが二値なのがちょっと厳しいかなあという気がします。例題画像に出ている「鳥の写真」っていうのは割と判別が楽な部類ではないかなという気がするのですが。
多分最初に「あなたは人間？」という質問に答えさせるのが肝腎なんではないかと思います。今やGoogleのユーザーではない人間を探すのが大変な状況ですし、アカウントを持っていなくてもGoogleを何度か繰り返し利用すればそのパターンで人間であることは判別可能だろうと思います。またreCAPTCHAのサービスそのものでもわかるように、Googleのサービスでも何でもないところを利用した場合でもバックエンドで繋がっている可能性はあり、それだけでもGoogleには情報が残ります。ということは人間であることがほぼ確実なユーザーのブラウザに目印を付けておけばその後はそれを利用できることになりますね。
Google以外が同様のサービスを構築できるのであれば画期的だとは思うのですが、安易に真似するところが出てこないことを願いたい、という気もします。
FIDO Alliance
こんな記事を発見。
Saying Goodbye And Good Riddance to Passwords
複数のファクターによる認証を組み合わせてユーザーの負担を軽くしつつセキュリティを強化する仕組を提案しているとの話です。FIDO Allianceは様々な業種の150社が参加している団体だそうです。Phil DunkelbergerはPGP Corporationの共同創業者。PGPを開発したのはPhil Zimmermann。
ドングルや指紋認証、その他いろんなものを組み合わせて、公開鍵方式で保護すれば十分安全ということのようです。ホントかな…。ちょっと心配ですが、今後普及すれば、少なくとも極端に複雑なパスワードが不要とされ、それ故の安易なパスワードが使用されるケースや、単一のパスワードが使いまわされる事例が減少する、ということは期待してもいいのかも知れません。
画像認証とは直接は関係ありませんが、認証系の話題は結構いろいろありますね。
Saying Goodbye And Good Riddance to Passwords
複数のファクターによる認証を組み合わせてユーザーの負担を軽くしつつセキュリティを強化する仕組を提案しているとの話です。FIDO Allianceは様々な業種の150社が参加している団体だそうです。Phil DunkelbergerはPGP Corporationの共同創業者。PGPを開発したのはPhil Zimmermann。
ドングルや指紋認証、その他いろんなものを組み合わせて、公開鍵方式で保護すれば十分安全ということのようです。ホントかな…。ちょっと心配ですが、今後普及すれば、少なくとも極端に複雑なパスワードが不要とされ、それ故の安易なパスワードが使用されるケースや、単一のパスワードが使いまわされる事例が減少する、ということは期待してもいいのかも知れません。
画像認証とは直接は関係ありませんが、認証系の話題は結構いろいろありますね。
2014年11月18日火曜日
2014年10月5日日曜日
心拍認証
もう一つ拾い物ネタ
心拍って認証に使えるのかな。確かに私心電図に特定のノイズがあるらしく昔は健康診断で引っかかっていたものです。症例としては一般的でも細かくパターンを見れば特有なのかな。でも精密な心電図が取れる機器とも思えないので…どんな仕組みなんでしょうね。
他のバイオメトリック認証と比較すると結構良さそうかも？偽装しにくそうだし…。
Passwords could be replaced with 'heartbeat' authentication最近はこういう形の活動計が普通になってきましたが、これを「心拍」ベースの認証に使おうというお話。
心拍って認証に使えるのかな。確かに私心電図に特定のノイズがあるらしく昔は健康診断で引っかかっていたものです。症例としては一般的でも細かくパターンを見れば特有なのかな。でも精密な心電図が取れる機器とも思えないので…どんな仕組みなんでしょうね。
他のバイオメトリック認証と比較すると結構良さそうかも？偽装しにくそうだし…。
GORT
ちょっと面白い記事がありましたのでご紹介します。Scientific Americanのゲストブログです。筆者はGreg Blonder。
内容としてはセキュリティエージェントのお話。個々人の求めるプライバシーレベルを設定しておくと、SNS等のプライバシーポリシーや設定を参照して自動的に調整してくれる。たとえば、いきなりfacebookが「妙な」新機能を実装公開して、とたんに何か困った設定に変わってしまっていたら、それを検知して設定変更してくれる。何らかのアクティビティ（投稿やメール）を起こそうとするとその内容が公開範囲等に照らし合わせて適切か検証して、問題がありそうであれば警告してくれる。メーリングリスト宛に問題があるような内容を送信しようとしたら通知を返してくれる。…などなどの仕組みを備えたものだそうです。
…というようなソフトウェアが現在あるというわけではなく、
A Guardian “Agent” to Protect You from Digital Fraud…あ、LucentのBlonder特許を書いたその人じゃないですか。（「画像認証カタログその２」もご参照ください。）
内容としてはセキュリティエージェントのお話。個々人の求めるプライバシーレベルを設定しておくと、SNS等のプライバシーポリシーや設定を参照して自動的に調整してくれる。たとえば、いきなりfacebookが「妙な」新機能を実装公開して、とたんに何か困った設定に変わってしまっていたら、それを検知して設定変更してくれる。何らかのアクティビティ（投稿やメール）を起こそうとするとその内容が公開範囲等に照らし合わせて適切か検証して、問題がありそうであれば警告してくれる。メーリングリスト宛に問題があるような内容を送信しようとしたら通知を返してくれる。…などなどの仕組みを備えたものだそうです。
…というようなソフトウェアが現在あるというわけではなく、
Thus I imagine the next step in privacy control will be a user agent that lives in the cloud and acts to protect your digital life and property autonomouslyという話でした。でもまあ、こういうのが必要なんでしょうね。相当面倒そうですが、今ならちゃんと作れば作れるのかも知れませんね。
登録:
投稿 (Atom)