[論文レビュー] MetaSecure: A Passwordless Authentication for the Metaverse

Sibi Chakkaravarthy Sethuraman, Aditya Mitra+3 more|arXiv (Cornell University)|Jan 4, 2023

Face recognition and analysis被引用数 9

ひとこと要約

MetaSecure は Metaverse のパスワードレスかつマルチファクタ認証システムを FIDO2 ベースのデバイス認証、セキュリティキー、顔認識を用いて提案し、VR/XR プラットフォーム向けの SDK および SSO ワークフローを提供します。

ABSTRACT

Metaverse in general holds a potential future for cyberspace. At the beginning of Web 2.0, it was witnessed that people were signing in with various pseudonyms or 'nyms', risking their online identities by increasing presence of fake accounts leading to difficulty in unique identification for different roles. However, in Web 3.0, the metaverse, a user's identity is tied to their original identity, where risking one poses a significant risk to the other. Therefore, this paper proposes a novel authentication system for securing digital assets, online identity, avatars, and accounts called Metasecure where a unique id for every entity or user to develop a human establishment is essential on a digital platform. The proposed passwordless system provides three layers of security using device attestation, facial recognition and use of physical security keys, security keys, or smartcards in accordance to Fast IDentity Online (FIDO2) specifications. It provides SDKs for authentication on any system including VR/XR glasses, thus ensuring seamlessness in accessing services in the Metaverse.

研究の動機と目的

• Metaverse での安全で改ざん耐性がありシームレスなユーザー認証を動機づけ、デジタルアイデンティティと資産を保護する。
• ユーザーの仮想アイデンティティを現実のアイデンティティに結び付け、偽アカウントや使い捨てアカウントを防止し、サイバー犯罪を減少させる。
• FIDO2、デバイス認証、バイオメトリクスを活用した三重層認証フレームワークを提案し、Metaverse へのアクセスを保護する。

提案手法

• デバイス認証、物理的セキュリティキー、顔認識の三層からなるパスワードレスのマルチファクター認証システムとして Metasecure を導入する。
• FIDO2/WebAuthn 風の暗号挑戦を活用し phishing 対策とハードウェアトークン上の秘密鍵保管を確保する。
• VR/XR、モバイルアプリ、IoT、Metaverse エンジンとの横断的統合のための SSO アーキテクチャと SDK/API を提供する。
• 顔認識のプレゼンテーション攻撃検出（PAD）を組み込み、深層偽造やなりすましに対抗し、MobileNetV2 ベースの PAD モデルと報告指標を含む。
• Metaverse フォーク（VRSpace/Babylon エンジン）上での展開をデモンストレーションし、クラウドコンポーネント（Azure/AWS）と Flutter ベースのモバイルクライアントを活用する。

実験結果

リサーチクエスチョン

• RQ1 デバイス認証、セキュリティキー、顔認識を用いたパスワードレスかつマルチファクター認証フレームワークは、Metaverse への安全でシームレスなアクセスを提供できるか。
• RQ2 Metasecure は従来のパスワード認証や他のパスワードレス認証方法と比較して、速度とセキュリティの点でどの程度優れているか。
• RQ3 Metaverse 環境で複数デバイスとサービス提供者間のエンドツーエンドの認証ワークフローはどのようになるか。
• RQ4 Metaverse の文脈での顔認識における PAD はプレゼンテーション攻撃に対してどの程度の保護を提供するか。

主な発見

Authentication model	Time taken	Security
Metasecure(FIDO Authentication + device attestation + facial recognition)	128 + 496.4 = 624.4 ms	Extremely high

• Metasecure は構成要素を組み合わせた全体的な処理時間が約 624.4 ms 程度となることが示され、認証ワークフローがより迅速である。
• パスワード、顔認識、一般的なパスワードレス手法と比較して、マルチレイヤー MFA と PAD の統合によりセキュリティ/堅牢性が高いと主張。
• FIDO2 ベースの方式は暗号的挑戦と公開鍵暗号を活用してフィッシングとリプレイ攻撃を緩和し、秘密鍵はハードウェア トークン上に保存される。
• PAD を備えた顔認識はなりすましリスクを低減し、検証時の精度が高い（検証 99.4%、テスト 98.13%）。
• アーキテクチャは SSO と SDK を広範なプラットフォーム互換性に対応しており、VR/AR デバイス、コンソール、IoT を含む。