[논문 리뷰] MFA is a Waste of Time! Understanding Negative Connotation Towards MFA Applications via User Generated Content

Sanchari Das, Bingxing Wang외 1명|arXiv (Cornell University)|2019. 08. 16.

Digital Communication and Language참고 문헌 21인용 수 13

한 줄 요약

이 연구는 주요 앱 스토어에서 유저가 생성한 12,500건의 리뷰를 분석하여, 보안상의 이점이 있음에도 불구하고 사용자가 다중 인증(MFA)을 거부하는 이유를 조사한다. 사용자 정서의 정량적·정성적 분석을 통해 복잡한 설정, 기기 호환성 문제, 명확하지 않은 위험 대비 조건 등 주요 사용성 장벽을 특정하고, MFA의 도입과 사용자 경험 향상을 위한 설계, 교육, 커뮤니케이션 개선 방안을 제안한다.

ABSTRACT

Traditional single-factor authentication possesses several critical security vulnerabilities due to single-point failure feature. Multi-factor authentication (MFA), intends to enhance security by providing additional verification steps. However, in practical deployment, users often experience dissatisfaction while using MFA, which leads to non-adoption. In order to understand the current design and usability issues with MFA, we analyze aggregated user generated comments (N = 12,500) about application-based MFA tools from major distributors, such as, Amazon, Google Play, Apple App Store, and others. While some users acknowledge the security benefits of MFA, majority of them still faced problems with initial configuration, system design understanding, limited device compatibility, and risk trade-offs leading to non-adoption of MFA. Based on these results, we provide actionable recommendations in technological design, initial training, and risk communication to improve the adoption and user experience of MFA.

연구 동기 및 목표

• 사용자 인증 애플리케이션에 대한 불만의 근본 원인을 이해하기 위해.
• 앱 스토어에서의 실제 사용자 피드백을 바탕으로 MFA 도구의 사용성 및 설계 결함을 특정하기 위해.
• 사용자가 인식하는 위험 대비 조건, 설정의 복잡성, 기기 호환성 문제 등이 MFA 도입에 어떤 영향을 미치는지 분석하기 위해.
• MFA 설계, 초보자 교육, 위험 커뮤니케이션 향상을 위한 실천 가능한 권고안을 제공하기 위해.
• 사용자 중심의 통찰을 통해 MFA의 보안 이점과 실제 적용률이 낮은 현상 사이의 격차를 메우기 위해.

제안 방법

• 아마존, 구글 플레이, 애플 앱스토어 및 기타 주요 유통처에서 애플리케이션 기반 MFA 도구에 대한 사용자가 생성한 총 12,500건의 댓글을 수집하고 집계하였다.
• 사용자 리뷰에 대한 정서 분석과 주제 코드화를 수행하여 MFA에 대한 반복적인 고통점과 부정적 인식을 식별하였다.
• 초기 설정 어려움, 시스템 설계에 대한 이해 부족, 기기 호환성 문제 등의 주제로 사용자 피드백을 분류하였다.
• 사용자가 위험 대비 조건을 어떻게 인식하는지 분석하였으며, 특히 접근 상실 또는 취약한 채널에 의존하는 것에 대한 우려를 포함하였다.
• 정성적 인사이트를 바탕으로 MFA의 사용성 및 도입 향상을 위한 설계 및 커뮤니케이션 권고안을 도출하였다.
• 사용자 경험을 맥락화하기 위해 인간-컴퓨터 상호작용, 암호학, 보안 분야의 기존 문헌과 연구 결과를 검토하여 발견한 바를 검증하였다.

실험 결과

연구 질문

• RQ1 사용자가 생성한 콘텐츠에서 MFA 애플리케이션에 대해 부정적인 감정을 표현하는 주요 이유는 무엇인가?
• RQ2 복잡한 설정 및 기기 호환성 문제와 같은 사용성 문제들이 MFA 도입에 어떤 영향을 미치는가?
• RQ3 사용자가 다양한 MFA 방법과 관련된 위험 대비 조건을 얼마나 잘못 이해하고 있는가?
• RQ4 사용자 곤경을 줄이고 도입률을 높이기 위해 MFA 설계와 사용자 온보딩은 어떻게 개선될 수 있는가?
• RQ5 위험 커뮤니케이션이 MFA 보안 이점과 사용성 비용 간의 사용자 인식을 어떻게 형성하는가?

주요 결과

• MFA에 불만을 제기한 대부분의 사용자가 초도 설정 과정이 복잡하거나 시간이 오래 걸린다고 느끼며 주요 장벽으로 지적하였다.
• 사용자들은 특히 오래된 기기나 스마트폰이 아닌 기기에서의 기기 호환성 부족을 자주 언급하였으며, 이로 인해 MFA 혜택에서 배제되는 경우가 있었다.
• 많은 사용자가 MFA의 보안 모델을 잘못 이해하였으며, 특히 스마트폰이나 SMS에 의존할 경우 발생하는 위험을 잘못 인지하여 신뢰를 잃거나 MFA를 기피하는 경우가 있었다.
• MFA의 보안 이점을 인정하면서도, 부정적인 리뷰의 40%는 사용성 문제를 비롯한 주요 이유로 MFA 도입을 기피하거나 비활성화한다고 밝혔다.
• 기기 분실 또는 교체 시 접근을 상실하는 데 대한 사용자들의 분노는 복구 메커니즘과 사용자 교육의 필요성을 강조하고 있었다.
• SMS 기반 MFA의 보안 취약성에 대한 명확하지 않은 커뮤니케이션은 사용자들의 회의감과 기피 행동을 크게 유발한 것으로 확인되었다.