6月1日に大阪産業創造館でIEICEのOIS研究会とIPSJのGN研究会の共催で行われた研究会に参加してきました！
参加した感想を述べると「楽しかった」につきる．
異分野の研究会は楽しい．
さて，いつも通りコメントを書いていくんだけど，まずは多田君の発表から．
会場からコメントを頂いたんだけど，説明不足なので，補足．
・ポゴワードが4桁ではセキュリティが甘いのでは？
要するに，総当たり攻撃で取られてしまうのではないかという質問．
セキュリティ担当として共著者に名を連ねてるので，ここでコメント．
結論は多田君が答えたように「4桁で十分」ということになる．
その背景を説明しなくてはいけないので，説明する．
05年度システムにおいて，「ポゴのやりとりが煩雑」というコメントが多かった．
そこで，もっと簡単な方法でやりとりができないかを考えた．
その方法がポゴワードを用いる方法になる．
ポゴワードを使ったねらいは，簡単にやりとりをしたいというところである．
次に，4桁が妥当かという話である．
一般的に，銀行の暗証番号をはじめとして，4桁が多いじゃないか，と言ってみる．
だからといって，安全だという根拠にはならないのだが・・・
そもそも，銀行の場合，口座番号対暗証番号になるので，組み合わせは複雑だ．
って思うかも知れないけど，実際は口座番号決めうちでアタックしてるのと同じなので，
実質的な総当たり攻撃は10000パターン（厳密にはもっと少ない）である．
セキュリティ的に甘いように思えるが，3回試行に失敗すると，ログインできなくなるので，
実際には10000パターンあっても，3回しか試行できないのだ．
だから，銀行の口座番号は4桁でもなんとかなっているのだ．
ところで，みずほ銀行は振込の際に第2暗証番号というものを要求する．
これは6桁の数字から，指定された4つを組み合わせて使うのだ．
まぁ．オレの第2暗証番号は6桁中3つが同じ数字なんだけどね．
それを甘んじて利用している理由は簡単．
元が6桁であろうとも，結局は4桁ので，最終的にアタックするのは10000パターンである．
総当たりのパターン数は同じなのである．
ただし，組み合わせパターンが変わるので，10000回試行すれば突破できるわけではないが・・・
閑話休題．
ポゴの場合は，5分でポゴワードが無効になる．
そのため，5分間にどれだけのアタックが可能であるかということになる．
携帯での利用を想定しているので，1トランザクションでおよそ5秒だろうか．
攻撃者が1台の場合，1分で30回，5分で150回しか試行できない．
10000パターンというのは，十分に安全といえるだろう．
ただし，ポゴのやりとりが頻発すると，1つのやりとりに対して，1つのポゴワードが発行されるので，
100のやりとりがあれば，総当たりによるヒット率は100倍に増加する．
1000のやりとりなら，ヒット率は1000倍で，10回の試行でヒットすることになる．
これは現実的な解だ．
要するには，利用者のサイズに依存する．
今回の実験では200名程度なので，4桁で十分である．
このサイズが大きくなるのであれば，5桁6桁と増やしてもいいし，第2パスワードを設定するでもいい．
個人的な意見としては，ポゴリ(SNS)上から，指定の相手に直接送るというのがいいと思う．
そうすれば，ポゴワードもいらないし，相手のIDを指定する必要（05年システム）もない．
ところで，4桁という数字は人間が一番覚えやすい桁数らしいですよ．
だから，電話番号も4つ区切りだって話です．
それが転じて，暗証番号も4桁なんでしょう．
質問にはなかったけど，内部の議論で出てきていた話題．
「ポゴの利用額が減っている」件について．
考えてみたのだが，やはり環境が悪いと思う．
そもそも，地域ボランティアは定期的に行われていて，それに対する対価はないはず．
そこに突然ポゴっていう地域通貨を持ってきて「ポゴをあげますから使ってください」と言われても・・・
そもそも，ボランティア精神に従う人たちは，対価を期待してないから，忘れてしまうかも知れない．
ボランティアには賛同しているが，我々の実験には賛同していない．
などなど．
地域通貨の利用実験に賛同して利用してくれている人たちがどのくらいいるのかを調べるべきだ．
配布したのは165名かもしれないが，実験に賛同してくれているのは何名か？
そもそもの実験フィールドを見直す必要があるのではないだろうか．
以下，研究会の発表については，後日追記します．
200706031605追記：
・ブログマイニングによるマーケットシェア推定（電通大/NTT CS研）
会場からの質問にもあったが，エントリーのポジティブ/ネガティブをどう決めるのか．
エントリーがポジティブかどうかを分析するものがあったような・・・
って調べたら，引用文献[2]でした．当然，知ってますよね．
感情表現をクエリーに入れ込むとき，その感情表現はどのように選ばれるのか．
また，現状では「ドラマのタイトル」AND「感情表現」でクエリーを投げているようだが，
例えば，これはどの様にヒットするのだろうか？
「バンビーノは面白いけど，喰いタンは面白くないねぇ．同じ料理系ドラマなのにね．」
難しい．
ところで，この技術が確立されると，スパム記事によるシェア扇動が行われないだろうか．
きっとスパムを排除するような技術を併用するんだと思いますが．
・FACE技術と認証サービスの提案（NTT IS研）
こんな異分野の研究会で属性認証に近い話が聞けるとは．
結構な回数をここで発表しているらしく，定番の発表という感じみたいだった．
そのため，端折られすぎてて，何が何だかサッパリ分からなかった．
目標がよく分からない．
「ID/PASSWORDの管理が大変だから，それを改善したい」のか，
「実名を隠蔽して匿名で認証を行いたい」のか．
「狙い」には前者が書いてあるが，後者に関する説明が随所に見られる．
よく分からないのは，肝だと思われる行動証明書．
行動証明書を発行するTA(Trust Authority)はネットワーク上を見渡し，
サービス受益の事実を認知して，その事実に対する行動証明書を発行するらしい．
どう考えても，ビッグブラザーなんだが・・・
行動を監視して，それに対する証明書を発行するとなると，TAはIDできるのではないだろうか？
TAにはIDされても構わないということだろうか？
もしも，TAが行動を監視してID可能（これはプライバシ情報では？）だとしても，強力に安全であるとするならば，
LibertyでいうところのIdPの役割を担わせれば，全て解決するように感じるのだが・・・
もう1つ．
成人であることを証明するために，実世界における酒類購買実績を行動証明書として利用するという話があった．
成人属性を有していることを証明するために，酒類購買実績を提示する必要があるのだが，
ユーザはその行動証明書をどこから探し出してくるのだろうか．
膨大な行動証明書があるのではないのだろうか？
そもそも，成人であることを証明するために，何故酒類購買実績を立証するのか？
属性を推定するための条件は誰が提示するのか．
私が思うには，ある程度の実績が揃って，成人属性を有していることを立証可能ならば，
その時点で成人属性を含む属性証明書を発行してしまえばいいように思える．
IDされるからその方法を採用しないのかもしれないが，
「IDされないように認証を行いたい（というか認可？）」のか，
「フレキシブルな条件からある属性を推測し立証したい」のかによって，その運用は違う．
私の興味は，「酒類購買実績」からでも「タバコ購買実績」からでも同じように，
「成人属性」という属性を推測できる点にある．
図10で説明されているように，行動証明書自体は本人性を含んでいないけど，
それらが寄り集まると，IDされる可能性がある．
ということは，行動証明書の使い方如何では，IDできるかもしれない．
例えば「水曜日に情メ3研の鍵を借りた」という行動証明書を提示することで，
情メの関係者であることを立証したいとした場合，恐らく9割以上の確率で「柿崎」がIDされるだろう．
色々と問題がありそうなので，過去の資料を探しつつ，良く読んでみる．
・絵文字チャットコミュニケータの適用（和歌山大）
電子鬼ごっこが印象的な宗森先生の研究．ボスから話はよく聞いてます．
発表も面白く，分析結果も興味深く，大変楽しませていただきました．
被験者が足りないようですが，ボクとかどうですか？
「ジェスチャーだけでやりとりする」とか「絵だけでやりとりする」のさらに限定状況版だろうか．
「準備された絵文字だけでやりとりする」というのは，かなり厳しい条件かといえる．
にも関わらず，それなりに意思疎通ができているというのは，興味深い結果である．
総じて，とにかく面白い研究である．
オンライン版を提供してくれたら，率先して被験者になってみたいものである．