[論文レビュー] A Survey on Recognition Based Graphical User Authentication Algorithms

Farnaz Towhidi, Maslin Masrom|ArXiv.org|Dec 4, 2009

User Authentication and Security Systems参考文献 16被引用数 37

ひとこと要約

この論文は、ISOの使いやすさ基準と一般的な攻撃パターンを用いて、使いやすさとセキュリティのトレードオフを分析する8つの認識ベースのグラフィカルユーザー認証アルゴリズムを調査している。重大な脆弱性を特定し、より強固で使いやすいグラフィカル認証システムの設計を支援するための比較評価を提示している。

ABSTRACT

Nowadays, user authentication is one of the important topics in information security. Strong textbased password schemes could provide with certain degree of security. However, the fact that strong passwords are difficult to memorize often leads their owners to write them down on papers or even save them in a computer file. Graphical authentication has been proposed as a possible alternative solution to textbased authentication, motivated particularly by the fact that humans can remember images better than text. In recent years, many networks, computer systems and Internet based environments try used graphical authentication technique for their users authentication. All of graphical passwords have two different aspects which are usability and security. Unfortunately none of these algorithms were being able to cover both of these aspects at the same time. In this paper, we described eight recognition based authentication algorithms in terms of their drawbacks and attacks. In the next section, the usability standards from ISO and the related attributes for graphical user authentication usability are discussed. The related attack patterns for graphical user authentication security part are also discussed. Finally, a comparison table of all recognition based algorithms is presented based on ISO and attack patterns standards.

研究の動機と目的

• 認識ベースのグラフィカルユーザー認証（GUA）方式における使いやすさとセキュリティのトレードオフを分析すること。
• GUAアルゴリズムに影響を及ぼす共通の脆弱性と攻撃パターンを特定すること。
• 既存のGUA手法を確立されたISO使いやすさ基準に基づいて評価すること。
• セキュリティおよび使いやすさの基準に基づき、認識ベースのGUAアルゴリズムを評価するための比較フレームワークを提供すること。
• 将来の研究が、グラフィカル認証システムにおけるセキュリティと使いやすさのバランスを図る方向に導くこと。

提案手法

• Draw-a-Secret（DAS）、クリックベース、画像ベースの方式を含む8つの認識ベースのGUAアルゴリズムを調査した。
• ISO 9241-11基準を用いて使いやすさを評価し、学習性、効率性、ユーザー満足度に焦点を当てた。
• スカイーピング、推測攻撃、タイミング攻撃などの共通する攻撃パターンを特定することでセキュリティを分析した。
• 各アルゴリズムを使いやすさおよびセキュリティ基準にマッピングし、相互比較を可能にした。
• ISO使いやすさ属性と攻撃耐性に基づいた詳細な比較表を構築した。
• 各アルゴリズムの実世界での性能と限界を評価するために、先行研究の実証的知見を用いた。

実験結果

リサーチクエスチョン

• RQ1 認識ベースのグラフィカル認証アルゴリズムは、ISO 9241-11基準に基づいて使いやすさの観点でどのように評価されるか？
• RQ2 認識ベースのGUA方式を標的とする最も一般的な攻撃ベクトルは何か？
• RQ3 既存のGUAアルゴリズムは、使いやすさとセキュリティのバランスをどの程度達成しているか？
• RQ4 スカイーピングやブルートフォース推測攻撃に対して、どのGUAアルゴリズムが特に脆弱であるか？
• RQ5 認識ベースのGUA手法を評価するための標準化された比較フレームワークをどのように構築できるか？

主な発見

• 認識ベースのGUAアルゴリズムのうち、高使いやすさと強固なセキュリティを同時に達成しているものは存在しない。
• Passfacesのような画像ベースの方式は記憶に優れていたが、スカイーピングや顔認識攻撃に対して脆弱であった。
• クリックベースの方式は推測攻撃に対してより高い耐性を示したが、ユーザー満足度が低く、学習性も悪かった。
• DAS（Draw-a-Secret）方式は、予測可能な描画パターンのため、タイミング攻撃や側面チャネル攻撃に対して極めて脆弱であることが判明した。
• ISO使いやすさ指標によると、大多数のGUA方式は学習性と効率性において低く、特に初回利用者にとっては顕著であった。
• 包括的な比較表を作成したが、その結果、わずか数種のアルゴリズムしか基本的な使いやすさの基準を満たしておらず、一般的な攻撃に対しては安全ではなかった。