[論文レビュー] Frictionless Authentication Systems: Emerging Trends, Research Challenges and Opportunities

Tim Van hamme, Vera Rimmer+5 more|arXiv (Cornell University)|Feb 20, 2018

User Authentication and Security Systems参考文献 28被引用数 4

ひとこと要約

本論文は、入力操作を不要にするために、モバイル機器およびウェアラブルデバイスを活用して、行動的・文脈的バイオメトリクスを用いてユーザーを継続的に認証する、摩擦のない認証システムを提案する。複数デバイスにまたがる協調的で多因子かつ文脈に配慮したメカニズムを用いることで、セキュリティと使いやすさを向上させるとともに、テンプレート保護およびデータ最小化によってプライバシー課題に対処する。

ABSTRACT

Authentication and authorization are critical security layers to protect a wide range of online systems, services and content. However, the increased prevalence of wearable and mobile devices, the expectations of a frictionless experience and the diverse user environments will challenge the way users are authenticated. Consumers demand secure and privacy-aware access from any device, whenever and wherever they are, without any obstacles. This paper reviews emerging trends and challenges with frictionless authentication systems and identifies opportunities for further research related to the enrollment of users, the usability of authentication schemes, as well as security and privacy trade-offs of mobile and wearable continuous authentication systems.

研究の動機と目的

• モバイルおよびウェアラブル環境におけるシームレスで安全な認証の増大する需要に対応する。
• 従来のパスワードベースのシステムおよび静的多因子認証の限界を克服する。
• 複数デバイスにまたがる行動的および文脈的データを用いた協調的で継続的な認証を調査する。
• 実世界の展開環境におけるセキュリティ、使いやすさ、プライバシーのバランスを図る。
• 行動バイオメトリクスにおける登録、テンプレート保護、プライバシー保護設計に関する研究ギャップを特定する。

提案手法

• スマートフォン、ウェアラブルデバイス、その他のセンサーを介して、複数デバイスにまたがるユーザー行動および文脈（例：キーストローク、運動、位置）を継続的に監視するためのマルチデバイス連携を活用する。
• ユーザー行動をモデル化し、異常を検出するために機械学習ベースの分類およびクラスタリングアルゴリズムを実装する。
• 安全な鍵交換および強力な相互認証を実現するため、公開鍵暗号方式および証明書ベースのメカニズム（Pico概念にインspired）を適用する。
• 文脈および行動に基づいて動的に変化するリスク適応型ポリシーに従い、アクティブ認証を統合する。
• 感受性の高い行動的および生理的データを保護するため、バイオメトリクステンプレート保護技術およびデータ最小化の原則を採用する。
• ユーザーの操作を最小限に抑えつつ、強固なセキュリティ保証を維持するため、バックグラウンドで透明に動作するシステムを設計する。

実験結果

リサーチクエスチョン

• RQ1 複数のモバイルおよびウェアラブルデバイスにまたがる継続的かつ協調的な認証は、従来の方法と比較して、セキュリティおよび使いやすさをどのように向上させるか？
• RQ2 継続的認証のための行動的および文脈的データの収集および分析に伴う主なプライバシーリスクは何か？
• RQ3 行動バイオメトリクスにおいて、制御不能な環境で安全かつ信頼性の高いユーザー登録をどのように達成できるか？
• RQ4 摩擦のないシステムにおいて、バイオメトリクステンプレートを効果的に保護し、その取り消し可能성을確保するための最も効果的な技術は何か？
• RQ5 多様なユーザー環境および脅威モデルにおいて、セキュリティ、使いやすさ、プライバシーのバランスをどのようにとれるか？

主な発見

• 協調的でマルチデバイスかつ継続的な監視に基づく摩擦のない認証システムは、多因子の行動的および文脈的分析により、ユーザーの煩わしさを著しく軽減するとともに、セキュリティを向上させる。
• 機械学習ベースの行動モデルは有効であるが、特に制御不能な環境での登録段階において、汚染攻撃に対して脆弱である。
• キャンセル可能なバイオメトリクスやセキュアなテンプレートなどの取り消し可能でプライバシー保護可能な技術を用いない限り、バイオメトリクステンプレートの保存はセキュリティリスクを伴う。
• キーストロークや運動データにアクセス可能なサービスプロバイダーは、感覚的なユーザー行動を再構築できるため、データ最小化およびアクセス制御の必要性が強調される。
• 公開鍵暗号方式および証明書ベースのメカニズム（例：Pico概念にインspired）を用いることで、一般的なパスワード攻撃およびフィッシング攻撃に対して強く耐性を持つ。
• アクティブで文脈に配慮した認証システムは、デバイスの盗難や紛失に対してもより高い耐性を示す。1台のデバイスが侵害されても、システム全体が侵害されるとは限らない。