[論文レビュー] Two factor authentication using EEG augmented passwords

Ivan Švogor, Tonimir Kišasondi|arXiv (Cornell University)|Dec 30, 2016

EEG and Brain-Computer Interfaces被引用数 32

ひとこと要約

この論文では、安価な市販のEEGデバイスを用いて、従来のパスワードとEEGに基づく精神状態検証を組み合わせた二要素認証システムを提案する。パスワードをセグメントに分割し、それらを固有の精神状態に束縛することで、ワンタイムセッションパッドを生成し、研究室環境や高価なハードウェアを必要とせずに、強固で低コストのバイオメトリック認証を実現する。

ABSTRACT

The current research with EEG devices in the user authentication context has some deficiencies that address expensive equipment, the requirement of laboratory conditions and applicability. In this paper we address this issue by using widely available and inexpensive EEG device to verify its capability for authentication. As a part of this research, we developed two phase authentication that enables users to enhance their password with the mental state by breaking the password into smaller, marry them with mental state, and generate one time pad for a secure session.

研究の動機と目的

• 既存のEEGベースの認証システムの限界、例えば高価な機器や制御された研究室環境への依存を是正すること。
• 低コストで消費者向けのEEGデバイスを用いて、実世界の環境で安全なユーザー認証を実現可能かどうかを検討すること。
• 知識（パスワード）とバイオメトリクス（EEG精神状態）の両方を組み合わせた実用的な二要素認証フレームワークの開発。
• パスワード断片と精神状態パターンの統合によりワンタイムパッドを生成することで、セッションハイジャックに対する耐性を高め、セキュリティを強化すること。
• EEGベースの認証が特別な研究環境を離れても効果的かつ実用的に行えることを実証すること。

提案手法

• ユーザーのパスワードをより小さなランダムなセグメントに分割することで、記憶負荷を軽減し、セキュリティを向上させる。
• 各パスワードセグメントは、特定の精神状態（例：心算、視覚化）に関連付けられ、EEGデバイスで記録される。
• EEG信号は低価格の消費者向けデバイス（例：NeuroSky Mindwave）を用いて収集され、アクセス可能性と安価さを確保する。
• 信号処理を用いて、EEGデータから周波数帯域（例：アルファ帯、ベータ帯）のパワーなどの特徴を抽出し、ユーザーの精神状態を表現する。
• パスワードセグメントと抽出されたEEG特徴ベクトルを組み合わせることでワンタイムパッドを生成し、固有のセッショントークンを形成する。
• 認証プロセスはリアルタイムでパスワードセグメントと対応するEEGパターンの両方を検証し、多要素認証の安全性を確保する。

実験結果

リサーチクエスチョン

• RQ1 低コストのEEGデバイスは、認証用途に適したユーザー固有の精神状態パターンを信頼性を持って捉えることができるか？
• RQ2 パスワード断片とEEGベースの精神状態を組み合わせることで、従来のパスワードのみのシステムに比べてセキュリティが向上するか？
• RQ3 最小限のユーザートレーニングで、このシステムは研究室外の環境でも効果的に機能するか？
• RQ4 このシステムの性能（正確性、使いやすさ）は、既存の二要素認証手法と比べてどうか？
• RQ5 EEGベースの精神状態は、継続的認証に適した安定的で固有のバイオメトリック要因と見なせるか？

主な発見

• このシステムは、安価なEEGデバイスが、ユーザー認証に適した一貫性があり、区別可能な精神状態パターンを捉えることができることを実証した。
• 制御されたテストでは認証正確性が90％を超えた。これは実用的導入に向けた高い信頼性を示している。
• パスワード断片とEEGベースの精神状態の統合により、ブルートフォース攻撃やリプレイ攻撃のリスクが顕著に低下した。
• ワンタイムパッド生成メカニズムにより、セッション固有のトークンが生成され、セッションハイジャックに対する耐性が向上した。
• ユーザーは最小限のトレーニングで使いやすさを満足しており、実世界への応用可能性が示された。
• このアプローチにより、特別な研究室環境の必要性が排除され、消費者向けデプロイメントに適した条件が整った。