[論文レビュー] A Wide range Survey on Recall Based Graphical User Authentications Algorithms Based on ISO and Attack Patterns

Arash Habibi Lashkari, Rosli Saleh+2 more|arXiv (Cornell University)|Jan 12, 2010

User Authentication and Security Systems参考文献 9被引用数 11

ひとこと要約

本論文は、ISOユーザビリティ基準および攻撃パターンフレームワークを用いて評価する、思い出に基づくグラフィカルユーザ認証（GUA）方式の包括的サーベイを提示している。15種類以上のGUAアルゴリズムを分析し、そのセキュリティおよびユーザビリティ特性を比較することで、スケーリングやタイミング側面からの攻撃に対する記憶可能性との間の重要なトレードオフを特定している。

ABSTRACT

Nowadays, user authentication is one of the important topics in information security. Text based strong password schemes could provide with certain degree of security. However, the fact that strong passwords being difficult to memorize often leads their owners to write them down on papers or even save them in a computer file. Graphical user authentication (GUA) has been proposed as a possible alternative solution to text based authentication, motivated particularly by the fact that humans can remember images better than text. In recent years, many networks, computer systems and Internet based environments try used GUA technique for their users authentication. All of GUA algorithms have two different aspects which are usability and security. Unfortunately, none of graphical algorithms were being able to cover both of these aspects at the same time. This paper presents a wide range survey on the pure and cued recall based algorithms in GUA, based on ISO standards for usability and attack patterns standards for security. After explain usability ISO standards and attack patterns international standards, we try to collect the major attributes of usability and security in GUA. Finally, try to make comparison tables among all recall based algorithms based on usability attributes and attack patterns those we found.

研究の動機と目的

• グラフィカルユーザ認証（GUA）システムにおける使いやすさとセキュリティのバランスを図るという継続的な課題に対処すること。
• ISO 9241-11による使いやすさおよび攻撃パターン基準によるセキュリティを用いた、思い出ベースのGUA方式の評価を行うこと。
• 主なGUAアルゴリズムの間で、主な使いやすさの特性およびセキュリティ上の脆弱性を特定および分類すること。
• 標準化された基準に基づく比較的分析を通じて、意思決定支援のためのシステム設計および選定を可能にすること。

提案手法

• 学術論文および産業実装から得た15種類以上の思い出ベースのGUAアルゴリズムを体系的にレビューした。
• 各GUA方式の使いやすさ特性を、学習性、記憶性、ユーザー満足度に焦点を当ててISO 9241-11基準にマッピングした。
• 国際的な攻撃パターン基準に従い、スケーリング、キーロギング、タイミング攻撃などの共通する攻撃ベクトルを特定した。
• 各アルゴリズムの使いやすさ特性（例：画像の複雑さ、想起率）およびセキュリティリスク（例：スケーリングへの感受性）を評価する比較表を構築した。
• 使いやすさスコアと既知の攻撃表面領域を関連付ける構造化された評価フレームワークを用いた。
• 標準化された指標に基づき、GUA方式の統合的評価モデルを合成した。

実験結果

リサーチクエスチョン

• RQ1 思い出ベースのGUA方式は、ISO 9241-11で定義された標準化された使いやすさ指標において、どのように性能を発揮するか？
• RQ2 既存の思い出ベースのGUA方式において最も一般的な攻撃パターンは何か。また、それらはセキュリティをどのように損なうか？
• RQ3 現在のGUAアルゴリズムにおいて、使いやすさとセキュリティの間の主なトレードオフは何か？
• RQ4 既存のGUA方式は、使いやすさとセキュリティ基準を同時に満たしているか、その程度はどの程度か？
• RQ5 ISOおよび攻撃パターン基準といった標準化フレームワークを、GUA方式の体系的かつ比較的評価にどのように活用できるか？

主な発見

• 思い出ベースのGUA方式のうち、使いやすさとセキュリティの両方の指標で最適なパフォーマンスを同時に達成した方式は存在しなかった。
• 複雑な画像の想起に依存するアルゴリズム（例：Draw-a-Secret）は、記憶性が高かったが、スケーリング攻撃やタイミング攻撃に対してより脆弱であった。
• キューイングされた想起方式（例：Passfaces、Click-A-Password）は、ISO 9241-11基準においてより良い使いやすさスコアを示したが、パターン予測や側面分析に対しては依然として感受性を示していた。
• 本研究では、GUAシステムに影響を与える12種類の異なる攻撃パターンを同定した。その中でスケーリングとキーロギングが最も一般的で、影響力が大きかった。
• 画像の複雑さやユーザーの慣れといった使いやすさの特性は、想起成功確率と強く相関していたが、一般的な攻撃に対する耐性とは相関しなかった。
• ISOユーザビリティ基準と攻撃パターン基準の統合により、従来の直感的で一時的な比較に比べ、GUA方式のより体系的かつ再現可能な評価が可能になった。