[論文レビュー] Secure Pick Up: Implicit Authentication When You Start Using the Smartphone

Wei‐Han Lee, Xiaochen Liu+3 more|arXiv (Cornell University)|Aug 30, 2017

User Authentication and Security Systems参考文献 1被引用数 5

ひとこと要約

本論文では、スマートフォンの加速度計およびジャイロスコープデータを用いて、ユーザーの固有の端末持ち上げ動作パターンに基づき、ユーザーを認識する、軽量でデバイス内、非侵襲的で暗黙的認証を行うシステム「Secure Pick Up（SPU）」を提案する。SPUは、外部サーバーや大規模なトレーニングデータセットを必要とせず、自動的でデバイス内での学習を可能にする、新しい重み付き多次元動的時間ワープ（DTW）アルゴリズムを採用することで、2.4msの遅延で96.3%の認証精度を達成し、明示的認証の必要性を32.9%削減する。

ABSTRACT

We propose Secure Pick Up (SPU), a convenient, lightweight, in-device, non-intrusive and automatic-learning system for smartphone user authentication. Operating in the background, our system implicitly observes users' phone pick-up movements, the way they bend their arms when they pick up a smartphone to interact with the device, to authenticate the users. Our SPU outperforms the state-of-the-art implicit authentication mechanisms in three main aspects: 1) SPU automatically learns the user's behavioral pattern without requiring a large amount of training data (especially those of other users) as previous methods did, making it more deployable. Towards this end, we propose a weighted multi-dimensional Dynamic Time Warping (DTW) algorithm to effectively quantify similarities between users' pick-up movements; 2) SPU does not rely on a remote server for providing further computational power, making SPU efficient and usable even without network access; and 3) our system can adaptively update a user's authentication model to accommodate user's behavioral drift over time with negligible overhead. Through extensive experiments on real world datasets, we demonstrate that SPU can achieve authentication accuracy up to 96.3% with a very low latency of 2.4 milliseconds. It reduces the number of times a user has to do explicit authentication by 32.9%, while effectively defending against various attacks.

研究の動機と目的

• スマートフォン上で、明示的認証手順を最小限に抑えることで、ユーザーの負担を軽減する、使いやすく、軽量で安全な認証メカニズムを設計すること。
• 大規模なトレーニングデータセットやリモート計算、制限付きのユーザー行動を必要とする、既存の行動ベースのシステムの限界を解消すること。
• 外部サーバーに依存せず、他のユーザーの機微なデータを用いない、デバイス内での自動的かつユーザー固有の持ち上げパターンの学習を可能にすること。
• 最小限の計算コストで、長期的な使用性を確保するため、ユーザーの行動の変化（行動のずれ）に適応できるようにすること。
• 実世界のスマートフォン環境で、セキュリティと使いやすさを向上させる、実用的で導入可能なソリューションを提供すること。

提案手法

• SPUは、ユーザーが自然に行う端末の持ち上げ動作中に、3次元の加速度計およびジャイロスコープの原始データを収集し、動的動作軌跡を捉える。
• 時間的・空間的変動を考慮した、重み付き多次元動的時間ワープ（DTW）アルゴリズムを用いて、新しい持ち上げ信号とユーザーが保持する行動プロファイルとの類似度を計算する。
• ラベル付きトレーニングデータや他のユーザーからの入力を一切不要とする自己教師付きプロセスにより、ユーザー固有の動作パターンを自動で学習する。
• すべての計算処理をデバイス内でするため、リモートサーバーに依存せず、プライバシー保護とオフライン利用を実現する。
• 時間経過に伴う行動のずれに適応するため、わずかなパフォーマンスコストで十分な計算コストのインクリメンタル学習を用いて、ユーザーのモデルを段階的に更新する。
• 類似度スコアが信頼性の閾値を下回った場合にのみ、明示的認証をトリガーする閾値ベースの意思決定メカニズムを採用し、ユーザーの干渉を最小限に抑える。

実験結果

リサーチクエスチョン

• RQ1 スマートフォンシステムが、明示的なトレーニングや外部計算を一切必要とせず、ユーザーの自然な端末持ち上げ動作のみを用いて、高い認証精度を達成できるか。
• RQ2 重み付き多次元DTWアプローチは、既存の手法と比較して、ユーザーの固有の持ち上げダイナミクスをどれほど効果的に区別できるか。
• RQ3 デバイス内での自己学習が、セキュリティと低遅延を維持しつつ、明示的認証の必要性をどの程度まで削減できるか。
• RQ4 再トレーニングや顕著なリソースコストなしに、長期的なユーザー行動のずれに適応できるか。
• RQ5 実世界のシナリオにおいて、SPUは一般的なスプーフィング攻撃や模倣攻撃に対して、どの程度効果を発揮するか。

主な発見

• SPUは、実世界のデータセット上で96.3%のピーク認証精度を達成し、最先端の暗黙的認証システムを大きく上回る。
• システムはわずか2.4ミリ秒の遅延で動作し、デバイスのアンロック時にリアルタイムかつシームレスな認証が可能である。
• パスワードやバイオメトリクスに依存するシステムと比較して、明示的認証の必要回数を32.9%削減する。
• 平均で2%の追加電力消費にとどまり、モバイルデバイスにおけるパフォーマンスへの影響がほとんどない。
• 動作パターンの独自性と複雑さのおかげで、リプレイ攻撃やロボット攻撃を含むさまざまな模倣攻撃に対して効果的に防御できる。
• インクリメンタルなモデル更新により、ユーザーの行動のずれに長期間にわたり適応でき、再トレーニングやユーザーの干渉なしに高い精度を維持できる。