[논문 리뷰] Q-A: Towards the Solution of Usability-Security Tension in User Authentication

Mahdi Nasrullah Al-Ameen, S M Taiabul Haque외 1명|arXiv (Cornell University)|2014. 07. 27.

User Authentication and Security Systems참고 문헌 27인용 수 4

한 줄 요약

Q-A는 사용자가 개인적인 질문에 대한 답변에서 특정한 문자를 입력함으로써 인증하는 인지질문 기반의 인증 시스템으로, 인위적인 비밀번호를 기억할 필요 없이 사용성과 보안성을 향상시킨다. 이 시스템은 1주일 이내에 100%의 기억력 확보를 달성하고, 어깨너머 관찰 및 키로거 공격에 저항하며, 28비트의 엔트로피를 제공하여 온라인 뱅킹과 같은 고보안 계정에 이상적이다.

ABSTRACT

Users often choose passwords that are easy to remember but also easy to guess by attackers. Recent studies have revealed the vulnerability of textual passwords to shoulder surfing and keystroke loggers. It remains a critical challenge in password research to develop an authentication scheme that addresses these security issues, in addition to offering good memorability. Motivated by psychology research on humans' cognitive strengths and weaknesses, we explore the potential of cognitive questions as a way to address the major challenges in user authentication. We design, implement, and evaluate Q-A, a novel cognitive-question-based password system that requires a user to enter the letter at a given position in her answer for each of six personal questions (e.g. "What is the name of your favorite childhood teacher?"). In this scheme, the user does not need to memorize new, artificial information as her authentication secret. Our scheme offers 28 bits of theoretical password space, which has been found sufficient to prevent online brute-force attacks. Q-A is also robust against shoulder surfing and keystroke loggers. We conducted a multi-session in-lab user study to evaluate the usability of Q-A; 100% of users were able to remember their Q-A password over the span of one week, although login times were high. We compared our scheme with random six character passwords and found that login success rate in Q-A was significantly higher. Based on our results, we suggest that Q-A would be most appropriate in contexts that demand high security and where logins occur infrequently (e.g., online bank accounts).

연구 동기 및 목표

• 사용자 인증의 사용성-보안 갈등 문제를 인간의 인지적 강점을 활용하여 해결하고자 한다.
• 어깨너머 관찰 및 키로거 공격과 같은 관찰 공격에 저항하는 암호 체계를 개발하고자 한다.
• 인위적인 비밀번호가 아닌 기존의 개인 지식을 활용하여 기억력을 향상시키고자 한다.
• 온라인 브루트포스 공격에 저항할 수 있는 충분한 엔트로피(28비트)를 확보하고자 한다.
• 인지질문이 전통적인 텍스트 기반 암호의 실질적인 대안이 될 수 있는지 타당성을 평가하고자 한다.

제안 방법

• 사용자는 20개의 질문 중에서 개인적인 인지질문 6개를 선택하고 답변한다.
• 인증 과정에서 시스템은 한 번에 하나의 질문을 표시하고, 사용자의 답변에서 무작위로 선택된 위치의 문자를 요청한다.
• 입력 시 대소문자 구분 없이 처리하여 오류를 줄이고 모바일 기기에서의 사용성을 향상시킨다.
• 이 체계는 인위적인 비밀번호를 암기하는 것을 방지하고, 기억 유도자(메모리 캐시)를 통한 장기 기억 회상에 의존하도록 설계되어 있다.
• 시스템은 답변을 평문으로 저장하지 않으며, 각 인증 시도마다 무작위 위치의 문자만 사용한다.
• 이 체계는 이론적으로 28비트의 암호 공간을 제공하여 온라인 브루트포스 공격에 저항할 수 있다.

실험 결과

연구 질문

• RQ1 인지질문을 활용하여 기억력이 뛰어나고 보안성이 높은 암호 체계를 만들 수 있는가?
• RQ2 개인 답변에서 문자 위치를 사용함으로써 어깨너머 관찰 및 키로거 공격에 대한 저항력이 향상되는가?
• RQ3 기록하지 않고서도 사용자가 1주일 후에 자신의 답변을 신뢰성 있게 떠올릴 수 있는가?
• RQ4 Q-A의 로그인 성공률과 소요 시간은 전통적인 6자리 랜덤 문자 암호와 비교해 어떻게 다른가?
• RQ5 실제 생활 환경에서 Q-A는 기존의 암호 체계보다 더 보안성이 뛰어나고 사용하기 편하다고 평가되는가?

주요 결과

• 참가자 100%가 1주일 후에 Q-A 암호를 정확히 기억해내어 완벽한 기억력이 입증되었다.
• Q-A의 로그인 성공률은 두 번의 기억 시험 모두 100%였으며, 이는 랜덤 6자리 암호보다 뚜렷이 뛰어났다.
• Q-A 암호를 메모한 참가자는 9%에 불과했고, 제어군의 경우 46%에 달했다.
• 각 질문당 한 글자만 입력되기 때문에, Q-A는 어깨너머 관찰 및 키로거 공격에 강건하다.
• 참가자들은 온라인 뱅킹 및 전자상거래와 같은 고보안 환경에서 Q-A를 사용하는 것에 강한 선호도를 보였다.
• 초기에는 로그인 소요 시간이 길었지만, 반복 사용 시에는 감소할 가능성이 연구에서 제기되었다.