JP2004157675A

JP2004157675A - Personal identification system using image

Info

Publication number: JP2004157675A
Application number: JP2002321499A
Authority: JP
Inventors: Hideki Koike; 英樹小池; Tetsuji Takada; 哲司高田
Original assignee: Japan Science and Technology Agency
Current assignee: Japan Science and Technology Agency
Priority date: 2002-11-05
Filing date: 2002-11-05
Publication date: 2004-06-03
Anticipated expiration: 2022-11-05
Also published as: JP4327441B2

Abstract

<P>PROBLEM TO BE SOLVED: To provide a high-security personal identification device reducing a burden on memory of a user. <P>SOLUTION: A conventional personal identification system by an image comprises two functions of a 'setting' function setting the password image and an 'authentication' function actually authenticating the user, as a system authenticating a user terminal 150 by an authentication server 110. This personal identification system is further added with two functions of a 'registration' function allowing additional registration of an image to the authentication server 110 from the user terminal 150 and a 'notification' function notifying the user terminal 150 of generation of registration, authentication or setting action, from the authentication server 110. A case that a collation screen not including the password image is exhibited is provided. Thereby, the burden on the memory of the user is reduced, and the high-security personal identification system can be realized. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、移動体通信端末からインターネットに接続する場合などにおける個人認証システムに関する。
【０００２】
【技術的背景】
モバイルバンキングやオンラインショッピングの普及に伴い、携帯電話などの移動体通信端末を利用した簡便な個人認証方法が重要となってきている。
従来、インターネット利用時などの個人認証システムにおいては、文字列（パスワード）を照合情報とする認証が一般的である。しかしながら、パスワードは記憶しづらいばかりか、認証時に文字列を完全に思い出す必要がある。このため、ユーザが簡単で記憶しやすい文字列をパスワードとして使用したり、パスワードを書き留めてしまうなどの問題を発生させている。
【０００３】
この問題を解決するため、新たな認証方法として、画像を用いた認証方式（以降「画像認証」という）が提案されている（例えば非特許文献１参照）。
画像認証では、照合情報として従来のパスワードの代わりに、画像を使用する。画像は一般的に、文字列よりも記憶が容易である。また、照合時に、照合情報である画像（以降「パスワード画像」という）をユーザに提示することができるため、ユーザは照合情報を思い出しやすく、文字列のように完全に思い出す必要もない。このため、画像認証は上記の問題を回避することができる。
【０００４】
しかしながら、従来の画像認証には、下記のような問題が残されている。
一つは、無意味な画像を使用していることによる問題である。
従来の画像認証（非特許文献１参照）では、人工的に生成された画像（ランダムアート画像）を用いている。このため、画像とはいえユーザにとっては意味のない情報であり、文字列と同様、その記憶や認識が容易でないという問題が残る。
また、従来の画像認証では安全性を高めるために複数枚のパスワード画像を使って認証を行なっているが、パスワード画像の数を多くすれば、それだけユーザの記憶への負担が増加してしまう。
【０００５】
二つめは、画像の追加が容易でないことによる問題である。
従来の画像認証では、認証システムが用意する画像のみを使用しており、例えばユーザが画像の追加を行なうことは許されていない。
また、認証システムが用意する画像の中からパスワード画像を選択しなければならないために、ユーザはどれをパスワード画像にするか迷い、画像の閲覧などに時間や手間がかかりがちである。このため、一般にユーザが照合情報を随時変更することは推奨されているにもかかわらず、パスワード画像の変更が行われにくい。
【０００６】
三つめは、照合時にパスワード画像が必ず提示されることによる問題である。従来の画像認証は、照合時にパスワード画像を含む複数の画像を提示し、ユーザがその中からパスワード画像を選択することにより認証を行なっており、照合の都度必ずパスワード画像が提示される。
このような画像認証では、例えば、全てのパスワード画像が１回の認証試行で表示され、かつ、パスワード画像と同時に提示される他の画像（以降「おとり画像」という）が次の認証試行ですべて入れ替わるような場合には、認証試行を２回行なえばパスワード画像が特定されてしまう。このため、これを悪用した攻撃（以降「Ｉｎｔｅｒｓｅｃｔｉｏｎ攻撃」という）が懸念される。
【０００７】
【非特許文献１】
Ｒ．ＤｈａｍｉｊａａｎｄＡ．Ｐｅｒｒｉｇ，ＤｅｊａＶｕ：ＡＵｓｅｒＳｔｕｄｙＵｓｉｎｇＩｍａｇｅｓｆｏｒＡｕｔｈｅｎｔｉｃａｔｉｏｎ，９ｔｈＵｓｅｎｉｘＳｅｃｕｒｉｔｙＳｙｍｐｏｓｉｕｍ，ｐｐ．４５−５８，Ａｕｇ，（２０００）．
【０００８】
【発明が解決しようとする課題】
上記の問題に対し、本発明は、ユーザの記憶の負担を軽減し、かつ安全性の高い個人認証システムを提供することを目的とする。
【０００９】
【課題を解決するための手段】
上記の課題を解決するために、本発明は、画像を用いた個人認証システムであって、認証用のサーバは、少なくとも認証対象の個人が登録する画像を蓄積した画像データベースと、前記画像データベースから選択された認証用の画像を蓄積した認証データベースとを有し、認証の際に、前記画像データベースからの複数の画像と前記認証データベースからの認証用の画像とを組み合わせた認証画像選択画面を作成して端末に送信する認証画面作成送信手段と、端末から選択された画像を受信して、個人認証を行う受信認証手段とを備えることを特徴とする個人認証システムである。
前記認証画面作成送信手段および前記受信認証手段は、認証画像選択画面の作成・送信、受信・認証を少なくとも１回繰り返して、すべてが正しく認証されたときに、個人認証が行われたとすることを特徴としてもよい。
また、前記認証画面作成送信手段は、認証画像選択画面として、認証用の画像を含まない画面を作成して送信する場合もあることを特徴としてもよい。
また、前記認証画像選択画面の作成・送信、受信・認証の繰り返し回数は、該回数を指定できることを特徴としてもよい。
さらに、認証サーバには、認証アクセス履歴を蓄積したアクセス履歴データベースを有し、端末からの要求により、対応する個人の認証アクセス履歴を通知する履歴通知手段を備えてもよい。
前記画像データベースには、個人ごとに複数の優先画像を登録でき、前記認証画面作成送信手段は、前記画像データベースから前記優先画像を優先的に選択するようにしてもよい。
また、前記画像データベースには、画像ごとに分類を付して登録でき、前記認証画面作成送信手段は、前記画像データベースから認証用の画像と同じ分類の画像を選択するようにしてもよい。
なお、上記に記載の機能を備える個人認証システムをコンピュータに実現させるためのプログラムを記録した記録媒体も、本発明である。
【００１０】
【発明の実施の形態】
以下、本発明の画像を用いた個人認証システムの実施形態を、図を用いて詳細に説明する。
【００１１】
（本実施形態のシステムの全体構成）
まず、図１に示すシステム構成図を参照しながら、本実施形態の個人認証システムの全体構成を説明する。
図１に示す本実施形態の個人認証システムは、認証サーバ１１０と例えば携帯電話などのユーザ端末１５０のクライアント−サーバ形式である。
認証サーバ１１０は、本実施形態のシステムで使用するプログラムやデータベースなどを有している。データベースには、本実施形態のシステムで使用する画像を格納した画像データベース１１２、パスワード画像などユーザ認証に関する情報を格納したユーザ認証データベース１１４、ユーザ端末１５０からのアクセス記録を格納したアクセス履歴データベース１１６の３つがある。
ユーザ端末１５０は例えば携帯電話などの移動体通信端末である。本実施形態のシステムでは、特に、カメラ付き携帯電話の利用を想定している。カメラ付き携帯電話を対象とした理由は、ユーザが画像を取得（撮影）し、それを電子メールに添付して送信することが容易だからである。
【００１２】
認証サーバ１１０とユーザ端末１５０との間の通信には、電子メールおよびＷｅｂを利用する。本実施形態のシステムでは、これらの通信により「登録」「設定」「認証」および「通知」の４つの機能を実現している。
従来の個人認証システムは、これらの４機能のうち、パスワードを設定する「設定」と、実際に認証を行う「認証」の２機能により成り立っているが、本実施形態のシステムでは、さらに、ユーザが認証サーバ１１０に画像を追加登録する「登録」と、登録や認証、設定行為が発生したことをユーザに通知する「通知」の２つの機能を追加している。
【００１３】
（本実施形態のシステムの基本機能）
次に、上述した４つの基本的な機能、すなわち「登録」「設定」「認証」および「通知」について、図２〜図７に示すフローチャート等を用いて詳細に説明する。なお、上記の４つの機能はすべてユーザ端末１５０から認証サーバ１１０に電子メールが送信されることにより処理が開始するが、ユーザの識別は認証サーバ１１０により自動的に行なわれ、ユーザがユーザ名を入力する必要はない。具体的には、ユーザの電子メールアドレスをユーザ名とし、認証サーバ１１０が電子メールから電子メールアドレスを自動的に抽出して、ユーザを識別する。
【００１４】
（１）登録
登録とは、ユーザが認証サーバ１１０に画像を追加登録することができる機能である。図２のフローチャートを用いて、登録の処理手順を説明する。
まず、ユーザはユーザ端末１５０で撮影した画像を電子メールに添付して、認証サーバ１１０に送信する（Ｓ２５２）。認証サーバ１１０は、送信された画像を画像データベース１１２に登録する（Ｓ２１２）とともに、その画像を掲載した確認用のウェブページを生成する（Ｓ２１４）。そして、確認用ウェブページのＵＲＬを記した電子メールを、ユーザ端末１５０に送信する（Ｓ２１６）。この電子メールにより、仮に第三者がユーザ本人になりすまして画像を登録した場合にも、ユーザは登録があったこと（自分の権限が悪用されつつあること）を知ることができる。
【００１５】
ユーザは、ＵＲＬで指定された確認用ウェブページにアクセスして、自分が登録した画像を確認する（Ｓ２５４）。これは、登録した画像が自分のユーザ端末１５０でどのように見えるかを確認するためである。認証時にユーザ端末１５０に表示される画像は、縮小された画像になる。また撮影時と認証時に表示される画像の印象が大きく異なることもありうる。これらを考慮し、登録した画像を認証時と同じ表示で事前に見ておくことは重要である。
なお、安全性確保のため、認証サーバ１１０は確認用ウェブページを生成から一定時間後に削除する（Ｓ２１８）。
【００１６】
上述の登録機能によれば、ユーザは自分の撮影した写真を画像認証に利用することができる。
このような写真は、従来の画像認証で用いられていた人工的な画像に比べ、より記憶しやすい画像であるといえる。このため、ユーザの記憶に対する負担を軽減することができる。
また、ユーザが積極的に写真を撮り、その画像を認証に使用することが考えられる。例えば、良い写真が撮れた場合にはそれをパスワード画像として使用したいと考える可能性が高い。このため、ユーザによる自主的なパスワード画像の更新がなされ、認証の安全性が強化されることが期待できる。
また、ユーザが画像を自由に追加登録することができるため、画像データベース１１２がもつ全画像数は時間とともに拡大する。すなわち、パスワード画像およびおとり画像として使用できる画像数が増加する。このため、認証の安全性が強化される。
なお、本実施形態のシステムで使用する画像はユーザの登録した画像に限られず、認証サーバ１１０に画像をあらかじめ用意しておくこともできる。また、画像は写真に限られず、イラストも使用できる。
【００１７】
（２）設定
設定とは、ユーザが認証システムの持つ画像群からパスワード画像を決定する機能である。図３のフローチャートを用いて、設定の処理手順を説明する。
まず、ユーザはユーザ端末１５０から設定機能の利用を要求する電子メールを認証サーバ１１０に送信する（Ｓ３５２）。この電子メールは、例えば、ユーザがユーザ端末１５０に用意されたメニューから「設定」を選択すると、ユーザ端末１５０が自動的に生成するようになっている。この時、電子メールには設定機能の利用要求である旨のキーワードを含むようにする。認証サーバ１１０は電子メールの受信時にこのキーワードを読み取って、設定機能の利用要求である旨を自動的に判断する。
次に、認証サーバ１１０はウェブページのＵＲＬを記した電子メールをユーザ端末に送信する（Ｓ３１２）。このウェブページは、パスワード画像を設定するための設定用ウェブページである。
【００１８】
ユーザがＵＲＬで指定された設定用ウェブページにアクセスする（Ｓ３５４）と、認証サーバ１１０は、画像データベース１１２に登録されている画像から複数の画像を選択して、設定用ウェブページ上に提示する（Ｓ３１４）。ここで、本実施形態では、ユーザ自身が登録した画像のみを選択して提示するものとする。なお、提示方法はこれに限られず、例えば画像データベース１１２からランダムに選択して提示してもよいし、登録時間の新しい順に選択して提示してもよい。
ユーザは設定用ウェブページを閲覧しながらパスワード画像を決定する（Ｓ３５６）。ユーザがパスワード画像を決定すると、認証サーバ１１０はその画像をユーザ認証データベース１１４に登録する（Ｓ３１６）。
【００１９】
（３）認証
認証とは、ユーザの個人認証を行なう機能である。図４のフローチャートを用いて、認証の処理手順を説明する。
まず、ユーザはユーザ端末１５０から認証機能の利用を要求する電子メールを認証サーバ１１０に送信する（Ｓ４５０）。この電子メールは、上述の（２）で説明した設定機能の利用を要求する電子メールと同様に、例えば、ユーザがユーザ端末１５０に用意されたメニューから「認証」を選択すると、ユーザ端末１５０が自動的に、認証機能の利用要求である旨のキーワードを含む電子メールを生成する。そして、認証サーバ１１０は電子メールの受信時にこのキーワードを読み取って、認証機能の利用要求である旨を自動的に判断する。
次に、認証サーバ１１０はウェブページのＵＲＬを記した電子メールをユーザ端末に送信する（Ｓ４１２）。このウェブページは、実際にユーザの個人認証を行なうための認証用ウェブページである。
【００２０】
ユーザがＵＲＬで指定された認証用ウェブページにアクセスする（Ｓ４５２）と、認証サーバ１１０は、ユーザ認証データベース１１４からパスワード画像を選択し、画像データベース１１２からおとり画像を選択する。おとり画像は、例えば画像データベース１１２に格納されている全ての画像からランダムに選択するが、他の選択方法を用いてもよい。他の選択方法については後述の拡張機能の欄で説明する。認証サーバ１１０は、選択したパスワード画像とおとり画像の組み合わせを、認証用ウェブページ上に提示する（Ｓ４１４）。
【００２１】
上記の処理により、ユーザがＵＲＬで指定された認証用ウェブページにアクセスする（Ｓ４５２）と、ユーザ端末１５０には図５に示すような照合画面５００が表示される。本実施形態では、照合画面５００に同時に提示される画像５１０は９枚であり、図５に示すように縦３枚×横３枚に並べて表示する。また、これら９枚の画像は、１枚のパスワード画像と８枚のおとり画像、もしくは、９枚のおとり画像（すなわち、パスワード画像を含まない）で構成される。ただし、１回の認証において、パスワード画像、おとり画像とも、同じ画像が複数回提示されることはないようにする。ユーザは、提示された９枚の画像からパスワード画像を選択するか、もしくは「画像なし」を選択する（この作業を以降「照合」という）（Ｓ４５４）。この選択はユーザ端末１５０の矢印ボタンや数字ボタンを用いて行なうようにするとよい。認証サーバ１１０は、ユーザが選択した画像（もしくは「画像なし」である旨）を受信し、ユーザの選択が正解であるかを判断する。
【００２２】
本実施形態では、あらかじめ１回の認証における照合回数を定めておき、各照合でのユーザの選択が正解であった場合（Ｓ４１６でＹｅｓの場合）、照合回数に達するまで次の照合を行なう（Ｓ４１４〜Ｓ４１８）。全ての照合に正解すれば、認証成功とする（Ｓ４２０）。一方、ユーザの選択が不正解であった場合（Ｓ４１６でＮｏの場合）は認証失敗とする（Ｓ４２２）。
さらに、あらかじめ認証の制限時間を設けておき、制限時間を超えた場合には各照合での選択が全て正解であった場合でも認証失敗とするようにしてもよい。
【００２３】
図６は、１回の認証が４回の照合からなり、各ユーザが２枚のパスワード画像を持っている場合における認証の例（図４におけるＳ４１４以降の処理）を示した図である。なお、照合回数やパスワード画像の数は上記に限られない。
図６において、４回の照合は、照合画面１（６１０）から照合画面４（６４０）までの４つの照合画面により行なわれる。各照合画面において、白い四角形はおとり画像を、網掛けの四角形はパスワード画像を示している。
上述したように、各照合では９枚の画像が提示され、その中には最大で１枚のパスワード画像が含まれる。すなわち、パスワード画像が含まれない場合もある。ただし、１回の認証において、パスワード画像、おとり画像とも、同じ画像が複数回提示されることはないようにする。また、おとり画像は画像データベース１１２からランダムに選択され、おとり画像、パスワード画像ともに画面上に提示される位置はランダムである。さらに、パスワード画像を含まない照合画面が何回目の照合で出現するかも、ランダムに決定される。そして、４回の照合にすべて正解した場合を認証成功とする。
【００２４】
まず、６１０に示す照合画面１がユーザ端末に表示される。照合画面１では、パスワード画像（２枚のうちの一方）が上段の中列に提示されている。ユーザはユーザ端末１５０の矢印キーや数字キー（例えば「２」のキー）などを用いて、上段中列の画像を選択する（Ｓ６１２）。正解の場合、６２０に示す照合画面２が表示される。
照合画面２では、パスワード画像は提示されず、おとり画像９枚が提示されている。ユーザはユーザ端末１５０の矢印キーや数字キー（例えば「０」のキー）などを用いて、「パスワード画像が含まれない」という選択をする（Ｓ６２２）。正解の場合、６３０に示す照合画面３が表示される。
照合画面３では、パスワード画像（２枚のうちのもう一方）が下段の右列に提示されている。ユーザはユーザ端末１５０の矢印キーや数字キー（例えば「９」のキー）などを用いて、下段右列の画像を選択する（Ｓ６３２）。正解の場合、６４０に示す照合画面４が表示される。
照合画面４では、パスワード画像は提示されず、おとり画像９枚が提示されている。ユーザはユーザ端末１５０の矢印キーや数字キー（例えば「０」のキー）などを用いて、「パスワード画像が含まれない」という選択をする（Ｓ６４２）。正解の場合、認証に成功する。
【００２５】
このように、本実施形態の認証では、照合時に「パスワード画像が含まれない」という事象を発生させることで、照合回数を減らすことなく、ユーザが記憶すべき画像枚数を削減している。このため、ユーザの記憶に対する負担を軽減することができる。
また、照合時に必ずパスワード画像が提示される従来の認証方法の問題点であったＩｎｔｅｒｓｅｃｔｉｏｎ攻撃も防止できる。なお、本実施形態で各照合ごとにパスワード画像を最大で１枚しか提示しない理由は、偶然による照合成功の確率を下げるためである。
【００２６】
（４）通知
通知とは上述の登録、設定ならびに認証が行われたことを、ユーザ本人に通知する機能である。本実施形態では、能動的通知と受動的通知の二つの方法により通知を行なう。これらの方法はいずれかを使用することも、両方を組み合わせて使用することも可能である。
能動的通知は、通知対象となる事象が発生する毎に、すぐに認証サーバがその旨を記した電子メールを生成し、該当ユーザに送信するものである。能動的通知は、例えば、画像が画像データベースに登録された時（図２のＳ２１２）、パスワード画像が設定された時（図３のＳ３１６）、認証に成功した時（図４のＳ４２０）、認証に失敗した時（図４のＳ４２２）などの場合に行なわれる。
受動的通知は、Ｗｅｂを通じて行われ、現在時刻より一定時間前までのすべての事象の記録を閲覧することができるものである。図７のフローチャートを用いて、受動的通知の処理手順を説明する。
【００２７】
まず、ユーザはユーザ端末１５０から通知機能の利用を要求する電子メールを認証サーバ１１０に送信する（Ｓ７５２）。この電子メールは、上述の（２）で説明した設定機能の利用を要求する電子メールと同様に、例えば、ユーザがユーザ端末１５０に用意されたメニューから「通知」を選択すると、ユーザ端末１５０が自動的に、通知機能の利用要求である旨のキーワードを含む電子メールを生成する。そして、認証サーバ１１０は電子メールの受信時にこのキーワードを読み取って、通知機能の利用要求である旨を自動的に判断する。
【００２８】
次に、認証サーバ１１０は、アクセス履歴データベース１１６から、現在時刻より一定時間前までのすべてのアクセス履歴を選択し（Ｓ７１２）、そのアクセス履歴を掲載したウェブページを生成する（Ｓ７１４）。アクセス履歴とは、例えば、上述の能動的通知の説明で例示したような事象や、各機能を利用する際の電子メールの送受信ログ、ウェブページへのアクセス履歴などであり、これらの事象が発生するたびに、アクセス履歴データベース１１６に登録されたものである。
認証サーバ１１０は、生成したウェブページのＵＲＬを記した電子メールをユーザ端末に送信し（Ｓ７１６）、ユーザは、ＵＲＬで指定されたウェブページにアクセスして、アクセス履歴を閲覧することができる（Ｓ７５４）。なお、このアクセス履歴は、認証なしで閲覧できるようにする。攻撃者に乗っ取られた場合でも、その利用状況だけは確認できるようにするためである。
【００２９】
従来の個人認証では確率的な安全性にのみ依存し、なりすましが試みられているとか、なりすまされたという事象をユーザが知ることができず、また、知るための手段を提供してこなかった。
上述の通知機能は、自分の権限が自分自身によってのみ使われているかを確認できる手段をユーザに与えたものである。これにより、他人がなりすましを試みている場合や、万一なりすましが成功してしまった場合でも、ユーザがその事実を知ることができる。また、例えば、一度でも認証に失敗するとそれが通知機能により正当なユーザに通知されるため、第三者がなりすましの試みを躊躇するといった抑止力効果も期待できる。
【００３０】
（本実施形態のシステムの拡張機能）
最後に、本実施形態の個人認証システムの拡張機能について説明する。これらの拡張機能は、安全性をより高めるために有効であり、組み合わせて利用することもできる。
【００３１】
（１）優先度付きおとり画像の使用
上述したように、本実施形態のシステムでは、照合時に「パスワード画像が含まれない」という事象を用いることにより、Ｉｎｔｅｒｓｅｃｔｉｏｎ攻撃を防止することができる。しかしながら、照合時に提示された各画像の出現確率を求めることで、パスワード画像を絞りこむことも考えられる。
これに対しては通知によって部分的にすでに対策が行われているが、安全性をより高めるため、さらに、優先度付きおとり画像の使用を提案する。
これは、画像データベース１１２から、パスワード画像の数倍程度の枚数の画像（これを「優先度付きおとり画像」という）をあらかじめ選択しておき、これらの画像を優先的におとり画像として照合画面に提示することで、おとり画像の出現頻度をパスワード画像と同程度にし、Ｉｎｔｅｒｓｅｃｔｉｏｎ攻撃によるパスワード画像の同定を困難にする方法である。なお、１回の認証にておとり画像は１回しか使われないようにする。つまり同一のおとり画像が１回の認証で複数回使われないようにする。
【００３２】
（２）カテゴリー（分類）付けされた画像の使用
画像認証においては、上述のＩｎｔｅｒｓｅｃｔｉｏｎ攻撃のほか、ＥｄｕｃａｔｅｄＧｕｅｓｓ攻撃も懸念される。ＥｄｕｃａｔｅｄＧｕｅｓｓ攻撃とは、あるユーザに関する情報を持つ第三者がその情報をもとにパスワード情報を推測することでなりすましを行おうとするものである。
これに対し本実施形態では、登録と通知の機能によりある程度その改善を図っているが、安全性をより高めるためには、推測によるパスワード画像の特定が困難になるような画像提示法を行う必要がある。すなわち、照合時に提示されるおとり画像にパスワード画像と意味的、絵的に類似した画像を必ず提示するようにする。
【００３３】
具体的には、まず、画像登録時にその画像に関する意味的、絵的なカテゴリー（分類）付けをすることを可能とする。このカテゴリーは認証サーバ１１０で用意されているものであり、ユーザが自由にカテゴリー付けできるわけではない。そして、照合時にパスワード画像と同じカテゴリーを持つ画像をおとり画像として提示するようにして、推測によるパスワード画像の特定を困難にする。
なお、画像に付加されたカテゴリーは、上記（１）の優先度付きおとり画像にも利用できる。
【００３４】
（３）ユーザによる照合回数等の決定
本実施形態においては、１回の認証における照合回数を変えることで、認証の難易度を変化させることができる。つまり、簡単に認証をさせたい時には１回の照合で認証とし、困難にしたい時には例えば１０回の照合で認証させることができる。
安全性を高めるためには、ユーザが１回の認証における照合回数や全照合回数におけるパスワード画像が含まれる照合の回数などを、自由に決定できるようにするとよい。
なぜなら、これらの回数はユーザのみが知る事項となるため、認証試行者の真贋がより判断しやすくなるからである。例えば、認証するユーザは複数回の照合作業をするわけだが、この中でパスワード画像の照合回数が事前に知っているはずの回数と異なっていた場合には「攻撃者」による認証試行であると判定することが可能である。
同様に、ユーザにパスワード画像の枚数を決定させることもできる。
【００３５】
（４）罠画像の使用
また、罠画像を設けておく方法も効果がある。罠画像とは、認証時に選んではいけない画像であり、ユーザはあらかじめ罠画像を選択して登録しておく。これにより、認証時にこの画像を選択した場合、その認証を試みたユーザは攻撃者であると判定できる。
【００３６】
【発明の効果】
上述したように、本発明の画像を用いた個人認証システムによれば、ユーザの記憶の負担を軽減し、かつ安全性の高い個人認証システムを実現することができる。
【図面の簡単な説明】
【図１】本実施形態のシステム構成図の例である。
【図２】登録処理の手順を示すフローチャートである。
【図３】設定処理の手順を示すフローチャートである。
【図４】認証処理の手順を示すフローチャートである。
【図５】照合画面の例を示す図である。
【図６】認証処理における照合の例を示す図である。
【図７】通知処理の手順を示すフローチャートである。[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a personal authentication system when a mobile communication terminal connects to the Internet.
[0002]
[Technical background]
With the spread of mobile banking and online shopping, a simple personal authentication method using a mobile communication terminal such as a mobile phone has become important.
2. Description of the Related Art Conventionally, in a personal authentication system such as when using the Internet, authentication using a character string (password) as collation information is common. However, passwords are not only difficult to remember, but also require full recall of character strings during authentication. For this reason, a problem occurs in which a user uses a character string that is simple and easy to memorize as a password or writes down the password.
[0003]
In order to solve this problem, an authentication method using an image (hereinafter referred to as “image authentication”) has been proposed as a new authentication method (for example, see Non-Patent Document 1).
In image authentication, an image is used as collation information instead of a conventional password. Images are generally easier to store than character strings. Further, at the time of collation, an image serving as collation information (hereinafter, referred to as a “password image”) can be presented to the user, so that the user easily remembers the collation information and does not need to completely remember it like a character string. Therefore, the image authentication can avoid the above problem.
[0004]
However, the conventional image authentication has the following problems.
One is a problem caused by using meaningless images.
In conventional image authentication (see Non-Patent Document 1), an artificially generated image (random art image) is used. For this reason, although an image is information that is meaningless to the user, there remains a problem that, like a character string, it is not easy to store and recognize the image.
Further, in the conventional image authentication, authentication is performed using a plurality of password images in order to enhance security. However, if the number of password images is increased, the load on the user's memory increases accordingly.
[0005]
The second problem is that it is not easy to add an image.
In conventional image authentication, only an image prepared by an authentication system is used, and for example, a user is not allowed to add an image.
Further, since the password image must be selected from the images prepared by the authentication system, the user may be confused as to which password image to use as the password image, and it may take time and effort to browse the image. For this reason, although it is generally recommended that the user change the collation information at any time, it is difficult to change the password image.
[0006]
The third problem is that a password image is always presented at the time of verification. In the conventional image authentication, a plurality of images including a password image are presented at the time of verification, and the user selects the password image from among them to perform the authentication, and the password image is always presented at each verification.
In such image authentication, for example, all password images are displayed in one authentication attempt, and all other images (hereinafter referred to as “decoy images”) presented at the same time as the password image are used in the next authentication attempt. In such a case, the password image is specified by performing the authentication trial twice. For this reason, there is concern about an attack that abuses this (hereinafter referred to as an “intersection attack”).
[0007]
[Non-patent document 1]
R. Dhamijia and A.D. Perrig, Deja Vu: A User Study Using Images for Authentication, 9th Usenix Security Symposium, pp. 45-58, Aug, (2000).
[0008]
[Problems to be solved by the invention]
In view of the above problems, an object of the present invention is to provide a highly secure personal authentication system that reduces the memory burden on the user.
[0009]
[Means for Solving the Problems]
In order to solve the above problems, the present invention is a personal authentication system using images, wherein the server for authentication is an image database storing at least images registered by individuals to be authenticated, from the image database An authentication database storing selected images for authentication, and at the time of authentication, creating an authentication image selection screen combining a plurality of images from the image database and images for authentication from the authentication database The personal authentication system comprises: an authentication screen creating / transmitting unit for transmitting the selected image to the terminal; and a receiving authentication unit for receiving an image selected from the terminal and performing personal authentication.
The authentication screen creation / transmission unit and the reception authentication unit repeat creation / transmission, reception / authentication of the authentication image selection screen at least once, and when all are correctly authenticated, assume that personal authentication has been performed. It may be a feature.
Further, the authentication screen creation / transmission unit may create and send a screen that does not include an authentication image as the authentication image selection screen.
The number of repetitions of creation / transmission, reception / authentication of the authentication image selection screen may be specified.
Further, the authentication server may have an access history database in which the authentication access history is stored, and may include a history notifying unit for notifying the corresponding individual authentication access history in response to a request from the terminal.
In the image database, a plurality of priority images can be registered for each individual, and the authentication screen creation / transmission unit may preferentially select the priority image from the image database.
The image database may be registered with a classification for each image, and the authentication screen creation / transmission unit may select an image of the same classification as the image for authentication from the image database.
Note that the present invention also includes a recording medium that stores a program for causing a computer to realize the personal authentication system having the functions described above.
[0010]
BEST MODE FOR CARRYING OUT THE INVENTION
Hereinafter, an embodiment of a personal authentication system using an image according to the present invention will be described in detail with reference to the drawings.
[0011]
(Overall configuration of the system of the present embodiment)
First, the overall configuration of the personal authentication system of the present embodiment will be described with reference to the system configuration diagram shown in FIG.
The personal authentication system of the present embodiment shown in FIG. 1 is a client-server type of the authentication server 110 and a user terminal 150 such as a mobile phone.
The authentication server 110 has a program, a database, and the like used in the system of the present embodiment. The database includes an image database 112 storing images used in the system of the present embodiment, a user authentication database 114 storing information on user authentication such as a password image, and an access history database 116 storing access records from the user terminal 150. There are three.
The user terminal 150 is, for example, a mobile communication terminal such as a mobile phone. In the system of the present embodiment, use of a camera-equipped mobile phone is particularly assumed. The reason for the camera-equipped mobile phone is that it is easy for a user to acquire (take) an image and attach it to an e-mail and transmit it.
[0012]
E-mail and Web are used for communication between the authentication server 110 and the user terminal 150. In the system of the present embodiment, four functions of “registration”, “setting”, “authentication”, and “notification” are realized by these communications.
The conventional personal authentication system is composed of two functions of “setting” for setting a password and “authentication” for actually performing authentication, out of these four functions. Has added two functions, "registration" for additionally registering an image in the authentication server 110, and "notification" for notifying the user that registration, authentication, and setting actions have occurred.
[0013]
(Basic functions of the system of the present embodiment)
Next, the above-described four basic functions, that is, “registration”, “setting”, “authentication”, and “notification” will be described in detail with reference to flowcharts shown in FIGS. The above four functions are all started by sending an e-mail from the user terminal 150 to the authentication server 110, but the identification of the user is automatically performed by the authentication server 110, and the user can enter the user name. No need to enter. Specifically, the user's e-mail address is used as the user name, and the authentication server 110 automatically extracts the e-mail address from the e-mail to identify the user.
[0014]
(1) Registration
Registration is a function that allows a user to additionally register an image in the authentication server 110. The registration procedure will be described with reference to the flowchart of FIG.
First, the user attaches an image photographed by the user terminal 150 to an e-mail and transmits it to the authentication server 110 (S252). The authentication server 110 registers the transmitted image in the image database 112 (S212) and generates a confirmation web page on which the image is posted (S214). Then, an e-mail describing the URL of the confirmation web page is transmitted to the user terminal 150 (S216). Even if a third party pretends to be the user himself and registers the image, the e-mail allows the user to know that the registration has been made (that his / her authority is being abused).
[0015]
The user accesses the confirmation web page specified by the URL and confirms the image registered by himself (S254). This is to check how the registered image looks on the user terminal 150 of the user. The image displayed on the user terminal 150 at the time of authentication is a reduced image. Further, the impression of the image displayed at the time of photographing and at the time of authentication may greatly differ. In consideration of these, it is important to view the registered image in advance with the same display as at the time of authentication.
In addition, in order to ensure security, the authentication server 110 deletes the confirmation web page a predetermined time after generation (S218).
[0016]
According to the above-described registration function, a user can use a photograph taken by the user for image authentication.
Such a photograph can be said to be an image that is easier to memorize than an artificial image used in conventional image authentication. For this reason, it is possible to reduce the burden on the user for storage.
It is also conceivable that the user actively takes a picture and uses the image for authentication. For example, when a good picture is taken, it is highly likely that the user wants to use it as a password image. Therefore, it is expected that the user can voluntarily update the password image, thereby enhancing the security of authentication.
In addition, since the user can freely register additional images, the total number of images in the image database 112 increases over time. That is, the number of images that can be used as the password image and the decoy image increases. Therefore, the security of the authentication is enhanced.
Note that the image used in the system of the present embodiment is not limited to the image registered by the user, and the image may be prepared in the authentication server 110 in advance. Further, the image is not limited to a photograph, and an illustration can be used.
[0017]
(2) Setting
The setting is a function for the user to determine a password image from a group of images possessed by the authentication system. The setting procedure will be described with reference to the flowchart of FIG.
First, the user sends an e-mail requesting use of the setting function from the user terminal 150 to the authentication server 110 (S352). This e-mail is automatically generated by the user terminal 150 when the user selects “setting” from a menu prepared in the user terminal 150, for example. At this time, the e-mail includes a keyword indicating a request to use the setting function. The authentication server 110 reads this keyword at the time of receiving the e-mail, and automatically determines that it is a request to use the setting function.
Next, the authentication server 110 sends an e-mail describing the URL of the web page to the user terminal (S312). This web page is a setting web page for setting a password image.
[0018]
When the user accesses the setting web page specified by the URL (S354), the authentication server 110 selects a plurality of images from the images registered in the image database 112 and presents them on the setting web page. (S314). Here, in the present embodiment, it is assumed that only images registered by the user himself are selected and presented. Note that the presentation method is not limited to this, and the presentation method may be, for example, randomly selected from the image database 112 and presented, or may be selected and presented in descending order of the registration time.
The user determines the password image while browsing the setting web page (S356). When the user determines the password image, the authentication server 110 registers the image in the user authentication database 114 (S316).
[0019]
(3) Certification
Authentication is a function for performing personal authentication of a user. The authentication processing procedure will be described with reference to the flowchart of FIG.
First, the user sends an e-mail requesting use of the authentication function from the user terminal 150 to the authentication server 110 (S450). This e-mail is similar to the e-mail requesting use of the setting function described in (2) above, for example, when the user selects “authentication” from a menu prepared in the user terminal 150, the user terminal 150 Automatically generate an e-mail including a keyword indicating a request to use the authentication function. Then, the authentication server 110 reads the keyword at the time of receiving the e-mail, and automatically determines that it is a request to use the authentication function.
Next, the authentication server 110 sends an e-mail describing the URL of the web page to the user terminal (S412). This web page is an authentication web page for actually performing personal authentication of the user.
[0020]
When the user accesses the authentication web page specified by the URL (S452), the authentication server 110 selects a password image from the user authentication database 114 and a decoy image from the image database 112. The decoy image is selected at random from all the images stored in the image database 112, for example, but another selection method may be used. Other selection methods will be described later in the section of the extended function. The authentication server 110 presents the selected combination of the password image and the decoy image on the authentication web page (S414).
[0021]
By the above processing, when the user accesses the authentication web page specified by the URL (S452), a collation screen 500 as shown in FIG. 5 is displayed on the user terminal 150. In the present embodiment, the number of images 510 simultaneously presented on the collation screen 500 is nine, and as shown in FIG. These nine images are composed of one password image and eight decoy images, or nine decoy images (that is, not including the password image). However, the same image is not presented more than once in both the password image and the decoy image in one authentication. The user selects a password image from the nine images presented, or selects "no image" (this operation is hereinafter referred to as "collation") (S454). This selection may be made using the arrow buttons and numeric buttons of the user terminal 150. The authentication server 110 receives the image selected by the user (or “no image”) and determines whether the user's selection is correct.
[0022]
In the present embodiment, the number of times of collation in one authentication is determined in advance, and when the user's selection in each collation is correct (Yes in S416), the next collation is performed until the number of collation is reached (S416). S414-S418). If all the verifications are correct, the authentication is determined to be successful (S420). On the other hand, if the user's selection is incorrect (No in S416), it is determined that the authentication has failed (S422).
Further, a time limit for authentication may be set in advance, and if the time limit is exceeded, authentication may be failed even if all the selections in each collation are correct.
[0023]
FIG. 6 is a diagram showing an example of authentication (processing after S414 in FIG. 4) in a case where one authentication is made up of four verifications and each user has two password images. The number of times of collation and the number of password images are not limited to the above.
In FIG. 6, four matchings are performed on four matching screens from a matching screen 1 (610) to a matching screen 4 (640). In each verification screen, a white square indicates a decoy image, and a shaded square indicates a password image.
As described above, each match presents nine images, including up to one password image. That is, the password image may not be included. However, the same image is not presented more than once in both the password image and the decoy image in one authentication. In addition, the decoy image is selected at random from the image database 112, and the positions where both the decoy image and the password image are presented on the screen are random. Further, the number of times a matching screen that does not include the password image appears in the matching is also determined randomly. Then, a case where all four times of correct verification are successful is regarded as authentication success.
[0024]
First, the collation screen 1 shown at 610 is displayed on the user terminal. In the collation screen 1, the password image (one of the two images) is presented in the upper middle row. The user selects an image in the upper middle row by using an arrow key or a numeric key (for example, a “2” key) of the user terminal 150 (S612). If the answer is correct, the collation screen 2 shown at 620 is displayed.
On the collation screen 2, the password image is not presented, and nine decoy images are presented. The user selects “does not include a password image” using the arrow keys or numeric keys (for example, “0” key) of the user terminal 150 (S622). If the answer is correct, the collation screen 3 shown at 630 is displayed.
On the collation screen 3, a password image (the other of the two images) is presented in the lower right column. The user selects an image in the lower right column by using an arrow key or a numeric key (for example, a “9” key) of the user terminal 150 (S632). If the answer is correct, the collation screen 4 shown at 640 is displayed.
On the collation screen 4, the password image is not presented, and nine decoy images are presented. The user selects “does not include a password image” using the arrow keys or numeric keys (for example, “0” key) of the user terminal 150 (S642). If the answer is correct, the authentication is successful.
[0025]
As described above, in the authentication according to the present embodiment, the occurrence of an event that “the password image is not included” occurs at the time of verification, thereby reducing the number of images to be stored by the user without reducing the number of times of verification. For this reason, it is possible to reduce the burden on the user for storage.
Further, an Intersection attack, which is a problem of the conventional authentication method in which a password image is always presented at the time of verification, can be prevented. In the present embodiment, the reason why only one password image is presented at the maximum for each collation is to reduce the probability of successful collation by accident.
[0026]
(4) Notification
The notification is a function for notifying the user that the above-described registration, setting, and authentication have been performed. In the present embodiment, notification is performed by two methods, active notification and passive notification. Any of these methods can be used, or both can be used in combination.
In the active notification, every time an event to be notified occurs, the authentication server immediately generates an e-mail indicating the fact and sends it to the corresponding user. The active notification includes, for example, when an image is registered in the image database (S212 in FIG. 2), when a password image is set (S316 in FIG. 3), when authentication is successful (S420 in FIG. 4), This is performed in a case such as a failure (S422 in FIG. 4).
The passive notification is performed through the Web, and allows the user to view a record of all events up to a certain time before the current time. The processing procedure of the passive notification will be described with reference to the flowchart of FIG.
[0027]
First, the user sends an e-mail requesting use of the notification function from the user terminal 150 to the authentication server 110 (S752). This e-mail is similar to the e-mail requesting use of the setting function described in (2) above, for example, when the user selects “notification” from a menu prepared in the user terminal 150, the user terminal 150 Automatically generate an e-mail including a keyword indicating a request to use the notification function. Then, the authentication server 110 reads the keyword at the time of receiving the e-mail, and automatically determines that it is a request to use the notification function.
[0028]
Next, the authentication server 110 selects, from the access history database 116, all access histories up to a predetermined time before the current time (S712), and generates a web page on which the access history is posted (S714). The access history is, for example, an event as exemplified in the description of the active notification described above, an e-mail transmission / reception log when each function is used, an access history to a web page, and the like. Each time it is performed, it is registered in the access history database 116.
The authentication server 110 transmits an e-mail describing the URL of the generated web page to the user terminal (S716), and the user can access the web page specified by the URL and browse the access history ( S754). The access history can be browsed without authentication. This is so that even if an attacker takes over, only the usage status can be checked.
[0029]
Conventional personal authentication relies only on probabilistic security, and users cannot know that spoofing has been attempted or have been spoofed, and have not provided any means to know it. .
The notification function described above gives a user a means for confirming whether his / her authority is used only by himself / herself. As a result, even if another person is trying to impersonate, or if impersonation succeeds, the user can know the fact. Further, for example, if the authentication fails even once, the notification function notifies the legitimate user of the failure, so that a deterrence effect that a third party hesitates to try to impersonate can be expected.
[0030]
(Extended function of the system of the present embodiment)
Finally, an extended function of the personal authentication system of the present embodiment will be described. These extended functions are effective for further enhancing security, and can be used in combination.
[0031]
(1) Use of prioritized decoy images
As described above, in the system according to the present embodiment, an interception attack can be prevented by using the phenomenon that “the password image is not included” at the time of verification. However, it is conceivable to narrow down password images by calculating the appearance probability of each image presented at the time of verification.
This has already been partially addressed by notification, but to further enhance security, we propose the use of a prioritized decoy image.
This is because a number of images that are several times the number of password images (hereinafter referred to as “priority decoy images”) are selected in advance from the image database 112, and these images are preferentially selected as decoy images on the collation screen. By presenting, the appearance frequency of the decoy image is made almost the same as that of the password image, and it is difficult to identify the password image by the Intersection attack. Note that the decoy image is used only once in one authentication. That is, the same decoy image is prevented from being used more than once in one authentication.
[0032]
(2) Use of images with categories (classification)
In image authentication, in addition to the above-mentioned Intersection attack, there is also a concern about an Educated Guess attack. An Educated Guess attack is an attempt by a third party having information about a certain user to guess password information based on the information to perform spoofing.
On the other hand, in the present embodiment, the registration and notification functions are improved to some extent, but in order to further enhance security, it is necessary to perform an image presentation method that makes it difficult to specify a password image by guessing. There is. That is, an image that is semantically and pictorially similar to the password image is always presented to the decoy image presented at the time of verification.
[0033]
Specifically, first, it is possible to assign a semantic and pictorial category (classification) to an image at the time of image registration. This category is prepared by the authentication server 110 and cannot be freely classified by the user. Then, at the time of verification, an image having the same category as the password image is presented as a decoy image, which makes it difficult to guess the password image.
Note that the category added to the image can also be used for the priority decoy image of (1).
[0034]
(3) Determination of the number of times of collation by the user
In the present embodiment, the difficulty of authentication can be changed by changing the number of times of collation in one authentication. In other words, if authentication is to be easily performed, authentication can be performed by one verification, and if authentication is difficult, authentication can be performed by, for example, 10 verifications.
In order to enhance security, it is preferable that the user can freely determine the number of times of collation in one authentication, the number of times of collation including the password image in all times of collation, and the like.
This is because these times are matters that only the user knows, so that the authenticity of the authenticator can be more easily determined. For example, a user who performs authentication performs multiple verifications, and if the number of password image verifications differs from the number that should have been known in advance, it is determined that an authentication attempt was made by an "attacker". It is possible to determine.
Similarly, the user can determine the number of password images.
[0035]
(4) Use of trap image
Also, a method of providing a trap image is effective. A trap image is an image that must not be selected during authentication, and the user selects and registers a trap image in advance. Thus, when this image is selected at the time of authentication, it is possible to determine that the user who has attempted the authentication is an attacker.
[0036]
【The invention's effect】
As described above, according to the personal authentication system using images of the present invention, it is possible to realize a highly secure personal authentication system that reduces the burden on the user to store.
[Brief description of the drawings]
FIG. 1 is an example of a system configuration diagram of the present embodiment.
FIG. 2 is a flowchart illustrating a procedure of a registration process.
FIG. 3 is a flowchart illustrating a procedure of a setting process.
FIG. 4 is a flowchart illustrating a procedure of an authentication process.
FIG. 5 is a diagram illustrating an example of a collation screen.
FIG. 6 is a diagram illustrating an example of matching in an authentication process.
FIG. 7 is a flowchart illustrating a procedure of a notification process.

Claims

画像を用いた個人認証システムであって、認証用のサーバは、
少なくとも認証対象の個人が登録する画像を蓄積した画像データベースと、
前記画像データベースから選択された認証用の画像を蓄積した認証データベースとを有し、
認証の際に、前記画像データベースからの複数の画像と前記認証データベースからの認証用の画像とを組み合わせた認証画像選択画面を作成して端末に送信する認証画面作成送信手段と、
端末から選択された画像を受信して、個人認証を行う受信認証手段と
を備えることを特徴とする個人認証システム。A personal authentication system using images, wherein the server for authentication is:
An image database storing at least images registered by the individual to be authenticated,
Having an authentication database that stores images for authentication selected from the image database,
At the time of authentication, an authentication screen creation transmission means for creating an authentication image selection screen combining a plurality of images from the image database and images for authentication from the authentication database and transmitting the screen to the terminal,
A personal authentication system comprising: reception authentication means for receiving an image selected from a terminal and performing personal authentication.

請求項１に記載の個人認証システムにおいて、
前記認証画面作成送信手段および前記受信認証手段は、認証画像選択画面の作成・送信、受信・認証を少なくとも１回繰り返して、すべてが正しく認証されたときに、個人認証が行われたとすることを特徴とする個人認証システム。The personal authentication system according to claim 1,
The authentication screen creation / transmission unit and the reception authentication unit repeat creation / transmission, reception / authentication of the authentication image selection screen at least once, and when all are correctly authenticated, assume that personal authentication has been performed. Characteristic personal authentication system.

請求項２に記載の個人認証システムにおいて、
前記認証画面作成送信手段は、認証画像選択画面として、認証用の画像を含まない画面を作成して送信する場合もあることを特徴とする個人認証システム。The personal authentication system according to claim 2,
The personal authentication system, wherein the authentication screen creation and transmission unit creates and transmits a screen that does not include an authentication image as an authentication image selection screen.

請求項２又は３に記載の個人認証システムにおいて、
前記認証画像選択画面の作成・送信、受信・認証の繰り返し回数は、該回数を指定できることを特徴とする個人認証システム。In the personal authentication system according to claim 2 or 3,
A personal authentication system, wherein the number of repetitions of creation, transmission, reception, and authentication of the authentication image selection screen can be specified.

請求項１〜４のいずれかに記載の個人認証システムにおいて、
さらに、認証サーバには、認証アクセス履歴を蓄積したアクセス履歴データベースを有し、
端末からの要求により、対応する個人の認証アクセス履歴を通知する履歴通知手段を
備えることを特徴とする個人認証システム。In the personal authentication system according to any one of claims 1 to 4,
Further, the authentication server has an access history database that stores the authentication access history,
A personal authentication system comprising a history notifying means for notifying a corresponding individual's authentication access history in response to a request from a terminal.

請求項１〜５のいずれかに記載の個人認証システムにおいて、
前記画像データベースには、個人ごとに複数の優先画像を登録でき、
前記認証画面作成送信手段は、前記画像データベースから前記優先画像を優先的に選択することを特徴とする個人認証システム。In the personal authentication system according to any one of claims 1 to 5,
In the image database, a plurality of priority images can be registered for each individual,
The personal authentication system, wherein the authentication screen creation / transmission unit preferentially selects the priority image from the image database.

請求項１〜６のいずれかに記載の個人認証システムにおいて、
前記画像データベースには、画像ごとに分類を付して登録でき、
前記認証画面作成送信手段は、前記画像データベースから認証用の画像と同じ分類の画像を選択することを特徴とする個人認証システム。In the personal authentication system according to any one of claims 1 to 6,
The image database can be registered with a classification for each image,
The personal authentication system, wherein the authentication screen creation / transmission unit selects an image of the same classification as the image for authentication from the image database.

請求項１〜７のいずれかに記載の機能を備える個人認証システムをコンピュータに実現させるためのプログラムを記録した記録媒体。A recording medium recording a program for causing a computer to realize the personal authentication system having the function according to claim 1.