[論文レビュー] MFA is a Waste of Time! Understanding Negative Connotation Towards MFA Applications via User Generated Content

Sanchari Das, Bingxing Wang+1 more|arXiv (Cornell University)|Aug 16, 2019

Digital Communication and Language参考文献 21被引用数 13

ひとこと要約

本研究では、主要なアプリストアから12,500件のユーザー生成レビューを分析し、マルチファクタ認証（MFA）のセキュリティ上の利点にもかかわらずユーザーがなぜそれを拒否するのかを調査した。ユーザーの感情に関する定性的および定量的分析を用いて、複雑なセットアップ、デバイスの非互換性、明確でないリスクのトレードオフといった主な使いやすさの障壁を同定し、MFAの導入とユーザー体験を向上させるための設計、教育、コミュニケーションの改善策を提案した。

ABSTRACT

Traditional single-factor authentication possesses several critical security vulnerabilities due to single-point failure feature. Multi-factor authentication (MFA), intends to enhance security by providing additional verification steps. However, in practical deployment, users often experience dissatisfaction while using MFA, which leads to non-adoption. In order to understand the current design and usability issues with MFA, we analyze aggregated user generated comments (N = 12,500) about application-based MFA tools from major distributors, such as, Amazon, Google Play, Apple App Store, and others. While some users acknowledge the security benefits of MFA, majority of them still faced problems with initial configuration, system design understanding, limited device compatibility, and risk trade-offs leading to non-adoption of MFA. Based on these results, we provide actionable recommendations in technological design, initial training, and risk communication to improve the adoption and user experience of MFA.

研究の動機と目的

• マルチファクタ認証（MFA）アプリケーションに対するユーザーの不満の根本的原因を理解すること。
• アプリストアからの実際のユーザーのフィードバックに基づいて、MFAツールの使いやすさと設計上の欠陥を同定すること。
• 認識されたリスク、設定の複雑さ、デバイスの互換性がMFAの導入にどのように影響するかを検討すること。
• MFAの設計、初期ユーザー教育、リスクコミュニケーションを改善するための実行可能な提言を提供すること。
• ユーザー中心の知見を通じて、MFAのセキュリティ上の利点と現実世界での低い導入率の間のギャップを埋めること。

提案手法

• アマゾン、グーグルプレイ、アップルのアプリストア、その他の主要な配布元から、アプリベースのMFAツールに関する12,500件のユーザー生成コメントを収集・集約した。
• ユーザーのレビューに対して感情分析とテーマコード化を実施し、繰り返し現れる苦情やMFAに対する否定的な含みを同定した。
• 初期設定の困難さ、システム設計の理解不足、デバイスの互換性問題といったテーマにユーザーのフィードバックを分類した。
• ユーザーがリスクのトレードオフをどのように認識しているかを分析し、アクセスを失うリスクや脆弱なチャネルに依存することへの懸念を調査した。
• 定性的な知見を基に、MFAの使いやすさと導入を向上させるための設計およびコミュニケーションの提言を導出した。
• ヒューマンコンピュータインタラクション、暗号理論、セキュリティ分野の既存の文献と照らし合わせて、研究結果を文脈づけた。

実験結果

リサーチクエスチョン

• RQ1 ユーザー生成コンテンツにおいて、MFAアプリケーションに対して否定的な感情を示す主な理由は何ですか？
• RQ2 複雑なセットアップやデバイスの非互換性といった使いやすさの課題が、MFAの導入にどのように影響しますか？
• RQ3 ユーザーがさまざまなMFA手法に関連するリスクのトレードオフをどれほど誤解しているのでしょうか？
• RQ4 MFAの設計とユーザーオンボーディングをどのように改善すれば、ユーザーのいらだちを減らし、導入を促進できますか？
• RQ5 リスクコミュニケーションは、MFAのセキュリティ上の利点と使いやすさのコストの間でのユーザーの認識に、どのような役割を果たしますか？

主な発見

• MFAに不満を示したユーザーの大多数が、初期設定の複雑さを主な障壁として挙げており、多くの場合、セットアッププロセスが混乱しやすく、時間がかかると感じていた。
• ユーザーは、特に古い機器やスマートフォンでないデバイスでは、デバイスの互換性が制限され、MFAの利点から排除されるのを頻繁に報告していた。
• 多くのユーザーがMFAのセキュリティモデルを誤解しており、特にスマートフォンやSMSに依存することのリスクを理解していなかったため、信頼を失い、拒否する結果となった。
• MFAのセキュリティ的利点を認めつつも、40％の否定的レビューで、使いやすさの問題が非導入または無効化の主な理由とされた。
• デバイスを紛失または交換した際にアクセスを失うことに起因するユーザーのいらだちが強く、より良いリカバリーメカニズムとユーザー教育の必要性が浮き彫りになった。
• SMSベースのMFAの不安全性についての説明が不明瞭であることが、ユーザーの懐疑心や拒否の主な要因となった。