[論文レビュー] A Secure Method for Signing in Using Quick Response Codes with Mobile Authentication

Kalpesh Adhatrao, Aditya Gaykar+2 more|arXiv (Cornell University)|Oct 15, 2013

User Authentication and Security Systems参考文献 2被引用数 4

ひとこと要約

この論文は、クイックリスポンス（QR）コードとモバイル認証を用いたセキュアなログイン手法を提案し、信頼できないデバイス上での資格情報盗難を防止する。時間制限付きの暗号的に署名されたセッショントークンを含むQRコードを生成することで、ユーザーは信頼できるモバイルデバイスを介して認証を行い、キーロガーのリスクを排除し、改ざんされた端末でも安全にアクセスできる。

ABSTRACT

The emerging threats to user privacy over the internet are increasing at an alarming rate. Signing in from an unreliable terminal into a web account may result in compromising private details of a user such as username and password, by means of keylogger software. Such software are capable of recording keystrokes secretly, via covert channels without the knowledge of the user. In this paper we propose a secure method for signing in using Quick Response (QR) codes with mobile authentication. Through this method, the user can securely sign-in into a web account by authenticating the user session on an unreliable terminal browser, using a mobile device.

研究の動機と目的

• Webログイン中に信頼できない端末上でキーロガーによる資格情報盗難が増加するという脅威に対処する。
• 不正なデバイスからWebアカウントにアクセスする際、ユーザー名やパスワードが漏洩するリスクを軽減する。
• モバイルデバイスを信頼できる第二要因として活用する、軽量で使いやすい認証メカニズムを提供する。
• クライアント端末の整合性に依存せずに、エンドツーエンドのセッション確立セキュリティを確保する。

提案手法

• 有効期限のある、暗号的に署名されたQRコードを生成し、一意のセッショントークンとチャレンジを含める。
• ログイン開始時に、信頼できない端末のブラウザにQRコードを表示する。
• ユーザーが信頼できるモバイルアプリでQRコードをスキャンできるようにする。
• 共有秘密または公開鍵基盤を用いて、モバイルデバイス上で署名済みトークンを検証する。
• 正常な検証後、Webサーバーとモバイルデバイスの間でセッション状態を同期する。
• 定められたタイムアウト後または一度限りの使用制限に達した後、セッションを終了またはトークンを無効にする。

実験結果

リサーチクエスチョン

• RQ1 QRコードベースの認証は、信頼できない端末上でキーロガー攻撃を効果的に防止できるか？
• RQ2 追加のハードウェアを必要とせずに、モバイルデバイスを信頼できる第二要因としてどのように活用できるか？
• RQ3 時間制限付きトークンがセッションセキュリティとユーザビリティに与える影響は何か？
• RQ4 提案手法は、軽量かつ既存システムに容易に統合可能でありながら、強力な認証を維持できるか？

主な発見

• キーロガー攻撃を効果的に防止するため、信頼できない端末上で資格情報を入力する必要がなくなる。
• 時間制限付きで暗号的に署名されたトークンの使用により、すくわれたQRコードでさえも再利用不可能になる。
• モバイルデバイスによる認証は、専用ハードウェアや複雑な設定を必要とせず、強力な第二要因を提供する。
• QRコードスキャン後、最小限のユーザー操作で安全なセッション確立が実現される。
• 既存のWebインfra構造と互換性があり、標準的な認証プロトコルと統合可能である。
• 本手法は実用的かつ実用性に優れ、信頼できないデバイス上での従来のパスワード入力に比べてセキュリティが大幅に向上している。