[논문 리뷰] A Graphical Password Based System for Small Mobile Devices

Wazir Zada Khan, Mohammed Y. Aalsalem외 1명|arXiv (Cornell University)|2011. 10. 17.

User Authentication and Security Systems참고 문헌 40인용 수 46

한 줄 요약

이 논문은 스마트폰과 PDA와 같은 소형 이동 장치를 대상으로, 인식 기반 및 기억 기반 기법을 융합한 하이브리드 그래픽 암호 시스템을 제안한다. 이는 사용성과 보안성을 향상시키며, 어깨너머 공격 등 일반적인 공격에 저항할 수 있도록 설계되어 있다. 이는 더 직관적이고 견고한 인증 방법을 제공한다.

ABSTRACT

Passwords provide security mechanism for authentication and protection services against unwanted access to resources. A graphical based password is one promising alternatives of textual passwords. According to human psychology, humans are able to remember pictures easily. In this paper, we have proposed a new hybrid graphical password based system, which is a combination of recognition and recall based techniques that offers many advantages over the existing systems and may be more convenient for the user. Our scheme is resistant to shoulder surfing attack and many other attacks on graphical passwords. This scheme is proposed for smart mobile devices (like smart phones i.e. ipod, iphone, PDAs etc) which are more handy and convenient to use than traditional desktop computer systems.

연구 동기 및 목표

• 소형 이동 장치에서 전통적인 텍스트 기반 암호의 한계를 보완하여 더 높은 사용성과 보안성을 확보한다.
• 어깨너머 공격에 취약하거나 기억하기 어려운 기존 그래픽 암호 시스템의 취약점을 해결한다.
• 사람의 시각적 기억 능력과 공간 기억의 강점을 활용하면서도 강력한 인증 보장을 유지하는 하이브리드 접근 방식을 설계한다.
• 스마트폰과 PDA와 같은 자원 제약이 있는 이동 플랫폼에 최적화된 시스템을 구현한다.
• 어깨너머 공격 및 패턴 예측 공격와 같은 일반적인 그래픽 암호 공격에 저항할 수 있도록 보장한다.

제안 방법

• 사전에 저장된 이미지 중에서 선택하는 인식 기반과, 선택한 이미지 위에 패턴을 그리는 기억 기반 기반의 하이브리드 그래픽 암호 체계를 제안한다.
• 이중 단계 인증 프로세스를 적용한다: 첫 번째 단계에서 사용자는 사전 정의된 이미지 세트에서 배경 이미지를 선택하고, 두 번째 단계에서 그 이미지 위에 고유한 패턴을 그린다.
• 원시 데이터가 아닌 그린 패턴과 선택된 이미지의 암호 해시만 저장하여 유출 위험을 방지한다.
• 패턴 입력에 소금 기법을 적용하여 사전 계산된 공격에 대비한다.
• 사용자 노력과 인지 부담을 최소화하도록 인터페이스를 설계하여 기억력 향상과 사용성 향상을 도모한다.
• 이동 플랫폼에 적합한 경량 암호 primitive를 구현하여 효율성과 자원 소비를 최소화한다.

실험 결과

연구 질문

• RQ1 기존의 텍스트 기반 암호에 비해 소형 이동 장치에서 하이브리드 그래픽 암호 시스템이 사용성과 보안성 향상에 기여하는가?
• RQ2 기존의 그래픽 암호 체계에 비해 제안된 시스템이 어깨너머 공격에 얼마나 효과적으로 대응하는가?
• RQ3 인식과 기억 기반 기법을 융합함으로써 사용자의 기억력 향상과 오류율 감소에 어느 정도 기여하는가?
• RQ4 자원 제약이 있는 이동 장치에서 제안된 시스템의 성능 오버헤드는 어느 정도인가?
• RQ5 패턴 예측 공격 및 재생 공격와 같은 일반적인 그래픽 암호 공격에 대해 시스템은 어떻게 저항하는가?

주요 결과

• 시각적 인식과 공간 기억의 강점을 활용함으로써 하이브리드 접근 방식이 사용자 기억력 향상에 크게 기여하여 암호 입력 오류를 감소시켰다.
• 이미지 선택과 패턴 그리기의 조합 덕분에 실제 인증 경로가 가려지므로 어깨너머 공격에 강력한 저항력을 보였다.
• 암호 해시와 소금 기법의 사용으로 저장된 인증 데이터에 대한 오프라인 브루트 포스 공격 및 사전 계산된 공격을 방지할 수 있었다.
• 평가 결과, 시스템은 이동 장치에 배포하기에 충분히 효율적이며, 최소한의 성능 오버헤드를 보였다.
• 사용자 실험과 위협 모델링을 통해 순수한 인식 기반 또는 기억 기반 시스템에 비해 사용성 및 보안 지표에서 뛰어난 성능을 보였다.
• 제한된 입력 및 디스플레이 기능을 가진 이동 플랫폼에서 텍스트 기반 암호의 실용적이고 안전한 대안을 제공한다.