[論文レビュー] Towards Making Random Passwords Memorable: Leveraging Users' Cognitive Ability Through Multiple Cues

Mahdi Nasrullah Al-Ameen, Matthew Wright+1 more|arXiv (Cornell University)|Mar 8, 2015

User Authentication and Security Systems参考文献 45被引用数 10

ひとこと要約

CuedRは、視覚的、聴覚的、空間的ヒントを活用して、システムが割り当てるランダムパスワードの記憶性を向上させる、新しいキューイング認識認証方式である。ラボ研究において、37名の参加者が登録後1週間で3回以内の試行で全員が正常にログインし、平均ログイン時間は38.0秒で100%の記憶率を達成した。

ABSTRACT

Given the choice, users produce passwords reflecting common strategies and patterns that ease recall but offer uncertain and often weak security. System-assigned passwords provide measurable security but suffer from poor memorability. To address this usability-security tension, we argue that systems should assign random passwords but also help with memorization and recall. We investigate the feasibility of this approach with CuedR, a novel cued-recognition authentication scheme that provides users with multiple cues (visual, verbal, and spatial) and lets them choose the cues that best fit their learning process for later recognition of system-assigned keywords. In our lab study, all 37 of our participants could log in within three attempts one week after registration (mean login time: 38.0 seconds). A pilot study on using multiple CuedR passwords also showed 100% recall within three attempts. Based on our results, we suggest appropriate applications for CuedR, such as financial and e-commerce accounts.

研究の動機と目的

• システムが割り当てるランダムパスワードの記憶性を向上させることで、パスワードシステムにおける使いやすさとセキュリティの両立を図ること。
• 従来のユーザーが選ぶパスワードの限界を克服すること。これらのパスワードはしばしば予測可能で不安全である。
• ユーザーが生成するパスワードに依存することを減らし、パスワードの再利用や弱いセキュリティを回避すること。
• 複数の認知的ヒントが認証資格情報の長期的保持にどのように寄与するかを調査すること。
• 視覚的、聴覚的、空間的ヒントを組み合わせたマルチモーダルなヒント提示により、多様な学習スタイルに対応できるシステムを設計すること。

提案手法

• 異なるパーソナリティ（例：動物、果物、車両）の6つのキーワードを、それぞれ26個の固有のアイテムからランダムに割り当てる。
• 視覚的ヒント（キーワードの画像）、聴覚的ヒント（キーワードごとの番号とフレーズ）、空間的ヒント（ログイン画面での固定位置）を提供する。
• ログイン時にキューイング認識を採用し、ユーザーが視覚的・聴覚的・空間的ヒントの組み合わせを用いて正しいキーワードを選択する。
• ログインインターフェースを実装し、表形式で各キーワードの画像、番号、フレーズ、位置を表示する。
• ログイン時に応じて応答パターンを変化させることで、スカシングやキーロガー攻撃に対する耐性を高める。
• 特にエラボラティブエンコーディング理論を活用し、作業記憶から長期記憶への移行を促進する。

実験結果

リサーチクエスチョン

• RQ1 視覚的、聴覚的、空間的ヒントを組み合わせたマルチモーダルヒントシステムは、システムが割り当てるランダムパスワードの記憶性を顕著に向上させることができるか？
• RQ2 複数のヒントを含めることで、実世界に近い環境下でのログイン時間とユーザー満足度にどのような影響が生じるか？
• RQ3 異なる学習スタイルを持つユーザーが、CuedRを認証に効果的に使用できるか、その程度はどの程度か？
• RQ4 ヒントを添えたシステムが割り当てるランダムパスワードは、従来のシステム割り当てまたはユーザー選択のパスワード方式と比較して、より高い記憶率を達成できるか？
• RQ5 CuedRの性能は、複数のパスワードおよび繰り返しログインセッションにおいて、どのようにスケーリングするか？

主な発見

• 1つのパスワードを対象とした研究において、37名の参加者が登録後1週間で3回以内の試行で全員が正常にログインし、100%の記憶率を達成した。
• 平均ログイン時間は38.0秒であり、従来のテキストパスワードよりも長く感じられたが、参加者たちはこれを受け入れた。
• 84%の参加者が、実生活で従来のテキストパスワードの代替としてCuedRを使用したいと回答した。
• 参加者たちはCuedRのセキュリティ性と使いやすさに高い満足度を示し、強いユーザー受容性が確認された。
• ログイン時の応答パターンの多様性のおかげで、観察攻撃に対して耐性があることが示された。
• 複数のCuedRパスワードを対象としたパイロット研究でも、3回以内の試行で100%の記憶率が達成され、複数パスワード利用へのスケーラビリティが裏付けられた。