[논문 리뷰] Secure Pick Up: Implicit Authentication When You Start Using the Smartphone

Wei‐Han Lee, Xiaochen Liu외 3명|arXiv (Cornell University)|2017. 08. 30.

User Authentication and Security Systems참고 문헌 1인용 수 5

한 줄 요약

이 논문은 스마트폰의 가속도계 및 자이로스코프 데이터를 사용하여 사용자의 고유한 전화 집기 동작 패턴을 기반으로 사용자를 식별하는 경량이며, 장치 내부에서 작동하는 비침습적 암시적 인증 시스템인 Secure Pick Up(SPU)을 제안한다. SPU는 외부 서버나 대규모 학습 데이터셋이 필요 없이 자동으로 장치 내에서 학습이 가능한 새로운 가중 다차원 동적 시간 왜곡(DTW) 알고리즘을 사용하여 단지 2.4ms의 지연 시간으로 96.3%의 인증 정확도를 달성하며, 명시적 인증의 필요성을 32.9% 감소시킨다.

ABSTRACT

We propose Secure Pick Up (SPU), a convenient, lightweight, in-device, non-intrusive and automatic-learning system for smartphone user authentication. Operating in the background, our system implicitly observes users' phone pick-up movements, the way they bend their arms when they pick up a smartphone to interact with the device, to authenticate the users. Our SPU outperforms the state-of-the-art implicit authentication mechanisms in three main aspects: 1) SPU automatically learns the user's behavioral pattern without requiring a large amount of training data (especially those of other users) as previous methods did, making it more deployable. Towards this end, we propose a weighted multi-dimensional Dynamic Time Warping (DTW) algorithm to effectively quantify similarities between users' pick-up movements; 2) SPU does not rely on a remote server for providing further computational power, making SPU efficient and usable even without network access; and 3) our system can adaptively update a user's authentication model to accommodate user's behavioral drift over time with negligible overhead. Through extensive experiments on real world datasets, we demonstrate that SPU can achieve authentication accuracy up to 96.3% with a very low latency of 2.4 milliseconds. It reduces the number of times a user has to do explicit authentication by 32.9%, while effectively defending against various attacks.

연구 동기 및 목표

• 스마트폰에서 명시적 인증 단계를 최소화함으로써 사용자 부담을 줄이는 편리하고 가벼우며 안전한 인증 메커니즘을 설계하는 것.
• 기존의 행동 기반 시스템이 요구하는 대규모 학습 데이터셋, 원격 계산 또는 제한적인 사용자 행동에 대한 제약을 해결하는 것.
• 외부 서버나 다른 사용자의 민감한 데이터에 의존하지 않고 장치 내에서 사용자 고유의 집기 패턴을 자동으로 학습할 수 있도록 하는 것.
• 최소한의 계산 오버헤드로 장기적인 사용성을 확보하기 위해 사용자 행동의 변화를 시간이 지남에 따라 적응적으로 반영하는 것.
• 실세계 스마트폰 환경에서 보안성과 사용성을 향상시키는 실용적이고 구현 가능한 솔루션을 제공하는 것.

제안 방법

• SPU는 사용자가 자연스럽게 전화를 집는 동작 중에 원시적인 3차원 가속도계 및 자이로스코프 데이터를 수집하여 동적 운동 궤적을 캡처한다.
• 시간적 및 공간적 변동을 고려하여 새로운 집기 신호와 사용자가 저장한 행동 프로파일 간의 유사도를 계산하기 위해 가중 다차원 동적 시간 왜곡(DTW) 알고리즘을 적용한다.
• 라벨이 부여된 학습 데이터나 다른 사용자로부터의 입력이 필요 없이, 레이블 없음(self-supervised) 과정을 통해 사용자의 고유한 운동 패턴을 자동으로 학습한다.
• SPU는 모든 계산을 장치 내부에서 수행하므로 외부 서버에 의존하지 않으며, 개인정보 보호 및 오프라인 사용 가능성을 보장한다.
• 유저 모델을 시간이 지남에 따라 점진적 학습을 통해 적응적으로 업데이트하여 행동의 변화를 수용하며, 성능에 미치는 영향은 극히 미미하다.
• 유사도 점수가 신뢰도 임계값 이하로 떨어지면 임계값 기반의 결정 메커니즘이 작동하여 명시적 인증을 트리거함으로써 사용자 간섭을 최소화한다.

실험 결과

연구 질문

• RQ1 사용자의 자연스러운 전화 집기 동작만을 사용하여 명시적 학습이나 외부 계산 없이도 고정밀도 암시적 인증을 달성할 수 있는가?
• RQ2 가중 다차원 DTW 접근 방식은 기존 방법에 비해 사용자 고유의 집기 동역학을 얼마나 효과적으로 구분하는가?
• RQ3 장치 내에서 자율적으로 학습하는 시스템이 보안성과 낮은 지연 시간을 유지하면서 명시적 인증이 필요한 횟수를 얼마나 줄일 수 있는가?
• RQ4 재학습 없이도 또는 상당한 자원 오버헤드 없이 장기적인 사용자 행동의 변화를 어떻게 적응할 수 있는가?
• RQ5 실세계 환경에서 일반적인 모조 및 침입 공격에 대해 SPU는 어떤 성능을 보이는가?

주요 결과

• SPU는 실제 세계 데이터셋에서 최고 96.3%의 인증 정확도를 달성하며, 최신 기술 수준의 암시적 인증 시스템을 크게 능가한다.
• 시스템은 단지 2.4밀리초의 지연 시간으로 작동하여 기기 잠금 해제 시 실시간으로 원활한 인증이 가능하다.
• 비밀번호나 생체 인식에만 의존하는 시스템에 비해 명시적 인증 조치가 32.9% 감소한다.
• 평균적으로 추가 전력 소모가 2%에 불과하여 모바일 장치에서 성능 오버헤드가 극히 미미하다.
• 운동 패턴의 고유성과 복잡성 덕분에 재생 공격 및 로봇 공격과 같은 다양한 침입 공격에 효과적으로 대응한다.
• 점진적 모델 업데이트를 통해 사용자 행동의 변화를 시간이 지남에 따라 성공적으로 적응하며, 재학습이나 사용자 간섭 없이도 높은 정확도를 유지한다.