[논문 리뷰] Studying the Impact of Managers on Password Strength and Reuse

Sanam Ghorbani Lyastani, Michael Schilling외 3명|arXiv (Cornell University)|2017. 12. 24.

User Authentication and Security Systems참고 문헌 43인용 수 5

한 줄 요약

이 연구는 브라우저 플러그인을 통해 170명의 사용자로부터 현장에서의 비밀번호 입력 데이터를 수집함으로써 비밀번호 관리자가 비밀번호 강도와 재사용에 미치는 영향을 조사한다. 그 결과, 관리자가 강력한 생성 전략과 통합될 경우에만 비밀번호 품질이 향상되며, 특히 내장된 비밀번호 생성기 사용 시에 그 효과가 두드러진다. 반면 생성기가 없는 관리자는 재사용과 약한 비밀번호를 악화시킬 수 있다.

ABSTRACT

Despite their well-known security problems, passwords are still the incumbent authentication method for virtually all online services. To remedy the situation, end-users are very often referred to password managers as a solution to the password reuse and password weakness problems. However, to date the actual impact of password managers on password security and reuse has not been studied systematically. In this paper, we provide the first large-scale study of the password managers' influence on users' real-life passwords. From 476 participants of an online survey on users' password creation and management strategies, we recruit 170 participants that allowed us to monitor their passwords in-situ through a browser plugin. In contrast to prior work, we collect the passwords' entry methods (e.g., human or password manager) in addition to the passwords and their metrics. Based on our collected data and our survey, we gain a more complete picture of the factors that influence our participants' passwords' strength and reuse. We quantify for the first time that password managers indeed benefit the password strength and uniqueness, however, also our results also suggest that those benefits depend on the users' strategies and that managers without password generators rather aggravate the existing problems.

연구 동기 및 목표

• 기존 연구들이 정교한 입력 방법 탐지 기능이 부족했던 점을 감안해, 비밀번호 관리자가 실제 세계의 비밀번호 강도와 재사용에 미치는 영향을 이해하기 위해.
• 비밀번호 관리자가 진정으로 보안을 향상시키는지, 아니면 사용자가 만든 약한 비밀번호를 단지 저장하기만 하는지 조사하기 위해.
• 사용자의 비밀번호 생성 및 저장 전략이 관리자 사용과 어떻게 상호작용하는지, 특히 비밀번호 생성 및 입력 방법과 관련하여 조사하기 위해.
• 브라우저 기반 비밀번호 관리자(예: Chrome의 것)가 비밀번호 재사용과 약화를 줄이거나 악화시키는지 평가하기 위해.
• 사용자 행동에 기반한 실제 환경에서 비밀번호 관리자가 의미 있는 보안 이점을 제공하는 조건을 특정하기 위해.

제안 방법

• 비밀번호 생성, 저장, 관리 전략(신뢰도, 기술 수준, 과거 경험 포함)을 포함해 사용자 프로파일링을 위한 온라인 설문 조사에 476명의 참가자를 모집함.
• 브라우저 플러그인 설치를 동의한 170명의 참가자를 모집하여 실시간 비밀번호 입력 방식(예: 수동 입력, 관리자에 의한 자동 채우기, 복사-붙여넣기)을 모니터링함.
• 실제 비밀번호와 함께 입력 방식 및 보안 메트릭스(예: 엔트로피, 유일성, 재사용 패턴)를 수집하고 분석함.
• 기본 데이터 분석 및 통계 모델링(회귀 분석 포함)을 통해 입력 방식과 사용자 전략이 비밀번호 강도와 재사용과 어떻게 연관되는지 분석함.
• 내장된 비밀번호 생성기가 있는지 없는지에 따라 비밀번호 관리자를 구분하여 그 차별적 영향을 평가함.
• qualitative 응답을 통해 사용자 인식을 평가하여, 예를 들어 키로거로부터의 보호 기능에 대한 오해와 같은 비밀번호 관리자의 보안에 대한 오해를 이해함.

실험 결과

연구 질문

• RQ1 비밀번호 관리자의 사용이 실제 사용 상황에서 더 강력하고 고유한 비밀번호로 이어지는가?
• RQ2 비밀번호 관리자에 내장된 비밀번호 생성기가 존재하는지 여부가 비밀번호 강도와 재사용에 어떤 영향을 미치는가?
• RQ3 사용자의 비밀번호 생성 및 저장 전략이 비밀번호 관리자의 효과성에 어느 정도 기여하는가?
• RQ4 브라우저 통합 비밀번호 관리자(예: Google Chrome)는 다른 관리자들과 비교해 비밀번호 재사용을 줄이거나 증가시키는가?
• RQ5 사용자들이 비밀번호 관리자가 키로거로부터 보호한다고 잘못 이해하고 있는가?

주요 결과

• 사용자가 비밀번호 생성을 위해 비밀번호 관리자를 활용할 경우, 특히 내장된 비밀번호 생성기를 사용할 경우 비밀번호 관리자가 비밀번호 강도와 유일성을 크게 향상시킨다.
• 특히 생성기가 있는 비밀번호 관리자를 도구로 사용해 비밀번호를 만든 사용자들은, 이후 수동 입력이나 복사-붙여넣기 방식으로 입력하더라도 더 강력하고 고유한 비밀번호를 생성했다.
• 비밀번호 생성기가 없는 비밀번호 관리자는 보안 향상에 실패했으며, 비밀번호 재사용 빈도와 약한 비밀번호 비율이 높아, 주로 저장소 역할을 할 뿐 보안 보조 도구로 기능하지 못함을 시사한다.
• Google Chrome의 내장 비밀번호 관리자는 비밀번호 재사용을 악화시키는 것으로 밝혀졌으며, 이는 편리함 중심의 설계와 강력한 생성 기본 설정의 부재 때문일 가능성이 높다.
• 많은 사용자들이 비밀번호 관리자가 키로거로부터 보호한다고 잘못 믿고 있었으며, 이는 실제 위협 모델에 대한 이해를 떨어뜨리는 오해를 낳고 있다.
• 사용자들이 비밀번호 관리자의 보안에 대한 인식이 현실과 다소 괴리되어 있었으며, 알려진 악성 소프트웨어 및 기기 해킹에 취약한 점을 고려할 때도 브라우저 기반 관리자를 안전하다고 보는 경향이 있었다.