[論文レビュー] Why Do Developers Get Password Storage Wrong? A Qualitative Usability Study

Alena Naiakshina, Anastasia Danilova+4 more|arXiv (Cornell University)|Aug 29, 2017

User Authentication and Security Systems参考文献 53被引用数 14

ひとこと要約

この定性的ユーザビリティ研究では、開発者がセキュリティ知識を持っているにもかかわらずパスワードを不正に保存してしまう理由を調査し、明示的なセキュリティの想起誘発、古くなった知識、曇ったセキュリティのデフォルト設定が主な要因であることが明らかになった。Springのような安全なフレームワークでさえ、明確に指示されない限り、開発者は適切なハッシュ化を飛ばしがちであり、これが深刻なパスワード漏洩を引き起こす可能性がある。したがって、安全なデフォルト設定とより良い開発者教育の導入が、不可欠である。

ABSTRACT

Passwords are still a mainstay of various security systems, as well as the cause of many usability issues. For end-users, many of these issues have been studied extensively, highlighting problems and informing design decisions for better policies and motivating research into alternatives. However, end-users are not the only ones who have usability problems with passwords! Developers who are tasked with writing the code by which passwords are stored must do so securely. Yet history has shown that this complex task often fails due to human error with catastrophic results. While an end-user who selects a bad password can have dire consequences, the consequences of a developer who forgets to hash and salt a password database can lead to far larger problems. In this paper we present a first qualitative usability study with 20 computer science students to discover how developers deal with password storage and to inform research into aiding developers in the creation of secure password systems.

研究の動機と目的

• 開発者がセキュリティ知識を持っているにもかかわらず、なぜパスワードを安全に保存できないのかを理解すること。
• セキュリティAPIの使いやすさやタスクのフレーミングが、安全な実装に与える影響を調査すること。
• 開発者が現実世界に近い開発タスクにおいて、セキュリティ実践をどのように認識し、適用するかを探索すること。
• 安全なデフォルト設定やフレームワークのサポートが、不安全なパスワード保存をどれほど減らせるかを評価すること。
• より良いツールや教育を通じて、開発者のセキュリティ実践を改善するための今後の研究を支援すること。

提案手法

• 20名のコンピュータサイエンス専攻の学生を対象に、ソーシャルネットワーキングアプリのパスワード保存実装を想定した定性的ラボ研究を実施した。
• 2つのフレームワークを用いた：Spring（組み込みの安全なヘルパー機能を備える）とJSF（手動での実装を要する）。
• タスクを2つの状況に分けた：セキュリティについて明示的に想起誘発された場合、およびまったく想起誘発されない場合。
• 思考 aloud法と後続の半構造化インタビューを用いてデータ収集を行い、意思決定プロセスや認知的モデルを分析した。
• 実装コードと開発者の根拠を分析し、誤解、知識のギャップ、設計選択を特定した。
• パイロット研究を実施してタスク設計を洗練させ、研究設定の妥当性を確保した。

実験結果

リサーチクエスチョン

• RQ1 開発者がセキュリティ知識を持っているにもかかわらず、セキュリティについて明示的に促されない場合、安全なパスワード保存を実装するのか？
• RQ2 安全なフレームワーク機能（例：Spring SecurityのPasswordEncoder）の有無が、開発者の実装選択に与える影響は何か？
• RQ3 セキュリティ概念に気づきがあるにもかかわらず、どれほど多くの開発者が古くさった、あるいは誤ったセキュリティ実践に依存しているのか？
• RQ4 タスクのフレーミングや想起誘発の有無が、機能の優先順位とセキュリティの優先順位に与える影響は何か？
• RQ5 矛盾するセキュリティ基準や助言が、開発者の意思決定に果たす役割は何か？

主な発見

• セキュリティ知識が強い開発者でさえ、明示的にセキュリティについて促されない限り、安全なパスワード保存を実装できなかった。
• セキュリティについて想起誘発されなかった参加者は、タスク自体が本質的にセキュリティに敏感であるにもかかわらず、パスワードを平文で保存していた。
• Springのような安全なフレームワークを使用することでエラーは減少したが、開発者が安全機能を積極的に使用しない限り、それらは無視されたり、誤設定されたりした。
• 多くの開発者が、古くなった知識のせいで、MD5 や SHA-1 といった古くさたハッシュ化手法を用いており、最新の基準を認識しているにもかかわらずそうした方法を採用していた。
• 参加者たちは、送信時のセキュリティ（例：HTTPS）と保存時のセキュリティを頻繁に混同しており、脅威モデルに関する根本的な誤解が示された。
• 安全なAPIにアクセス可能だったにもかかわらず、開発者はしばしば手動実装を選んだり、組み込みの安全関数を無視したりした。これは、オプトアウト型の安全なデフォルト設定の必要性を強調している。