[논문 리뷰] Frictionless Authentication Systems: Emerging Trends, Research Challenges and Opportunities

Tim Van hamme, Vera Rimmer외 5명|arXiv (Cornell University)|2018. 02. 20.

User Authentication and Security Systems참고 문헌 28인용 수 4

한 줄 요약

이 논문은 사용자 행동 및 맥락적 생체 정보를 통해 지속적으로 사용자를 인증하는 마찰 없는 인증 시스템을 제안하며, 수동 입력을 제거한다. 기기 간 협업형 다중 요인 맥락 인식 메커니즘을 통해 보안과 사용성은 향상시키면서도, 템플릿 보호 및 데이터 최소화를 통해 개인정보 보호 과제도 해결한다.

ABSTRACT

Authentication and authorization are critical security layers to protect a wide range of online systems, services and content. However, the increased prevalence of wearable and mobile devices, the expectations of a frictionless experience and the diverse user environments will challenge the way users are authenticated. Consumers demand secure and privacy-aware access from any device, whenever and wherever they are, without any obstacles. This paper reviews emerging trends and challenges with frictionless authentication systems and identifies opportunities for further research related to the enrollment of users, the usability of authentication schemes, as well as security and privacy trade-offs of mobile and wearable continuous authentication systems.

연구 동기 및 목표

• 모바일 및 웨어러블 환경에서의 원활하고 안전한 인증에 대한 증가하는 수요를 충족시키기 위해.
• 기존 비밀번호 기반 시스템과 정적 다중 요인 인증의 한계를 극복하기 위해.
• 다양한 기기 간 행동 및 맥락 데이터를 활용한 협업형 지속적 인증을 탐구하기 위해.
• 실제 구현 환경에서 보안, 사용성, 개인정보 보호 간 균형을 확보하기 위해.
• 행동 생체 정보의 등록, 템플릿 보호, 개인정보 보존 설계의 연구 격차를 특정하기 위해.

제안 방법

• 스마트폰, 웨어러블 기기 및 기타 센서를 통해 다기기 협업을 활용해 사용자 행동과 맥락(예: 키 입력, 움직임, 위치)을 지속적으로 모니터링한다.
• 기계 학습 기반의 분류 및 군집 알고리즘을 적용해 사용자 행동을 모델링하고 이상 징후를 탐지한다.
• 공개 키密码학 및 인증서 기반 메커니즘(피코 개념을 영감으로 삼음)을 적용해 안전한 키 교환과 강력한 상호 인증을 구현한다.
• 활동 기반 인증을 동적 위험 적응 정책과 통합해 맥락과 행동에 따라 정책을 자동 조정한다.
• 생체 정보 템플릿 보호 기법과 데이터 최소화 원칙을 활용해 민감한 행동 및 생리적 데이터를 보호한다.
• 사용자 상호작용을 최소화하면서도 강력한 보안 보장을 유지할 수 있도록 배경에서 투명하게 작동하는 시스템을 설계한다.

실험 결과

연구 질문

• RQ1 다양한 모바일 및 웨어러블 기기 간 협업형 지속적 인증이 기존 방법에 비해 보안과 사용성에 어떻게 기여하는가?
• RQ2 지속적 인증을 위한 행동 및 맥락 데이터 수집 및 분석과 관련된 주요 개인정보 유출 위험은 무엇인가?
• RQ3 행동 생체 정보의 경우, 통제되지 않은 환경에서 안정적이고 신뢰할 수 있는 사용자 등록을 어떻게 달성할 수 있는가?
• RQ4 마찰 없는 시스템에서 생체 정보 템플릿을 보호하고 재활용 가능한 방식으로 보장하기 위한 가장 효과적인 기법은 무엇인가?
• RQ5 다양한 사용자 환경와 위협 모델에서 보안, 사용성, 개인정보 보호 간 균형을 어떻게 유지할 수 있는가?

주요 결과

• 협업형 다기기 지속 모니터링 기반의 마찰 없는 인증 시스템은 다중 요인 행동 및 맥락 분석을 통해 사용자 부담을 크게 줄이며 보안 수준을 향상시킨다.
• 기계 학습 기반 행동 모델은 효과적이지만, 특히 통제되지 않은 환경에서의 등록 단계에서 오염 공격에 취약하다.
• 생체 정보 템플릿 저장은 취소 가능한 생체 정보나 안전한 템플릿 기법을 통해 보호하지 않으면 보안 위험을 야기한다.
• 키 입력 또는 움직임 데이터에 접근 가능한 서비스 제공자는 민감한 사용자 활동을 재구성할 수 있으므로, 데이터 최소화 및 액세스 제어가 필수적이다.
• 공개 키 암호화 및 인증서 기반 메커니즘(예: 피코 개념을 영감으로 삼음)은 일반적인 비밀번호 공격 및 피싱 공격에 강력한 저항력을 제공한다.
• 활동 기반의 맥락 인식 인증 시스템은 기기 도난이나 분실에 더 강건한 보호를 제공하며, 한 대의 기기가 해킹되더라도 전체 시스템이 손상되지 않을 가능성이 높다.