[논문 리뷰] Text Entry Method Affects Password Security

Yulong Yang, Janne Lindqvist외 1명|arXiv (Cornell University)|2014. 03. 08.

User Authentication and Security Systems참고 문헌 39인용 수 5

한 줄 요약

이 연구는 물리적 키보드, 터치스크린 키보드, 제한된 액세스를 가진 가상 키보드와 같은 텍스트 입력 방식이 비밀번호 보안에 미치는 영향을 조사한다. 63명의 참가자로 수행된 군 간 실험을 통해, 입력 방식이 비밀번호 구성에 상당한 영향을 미치며, 더 어려운 입력 방식일수록 소문자만으로 이루어진 비밀번호 비율이 높아지고, 표준 엔트로피 및 마르코프 기반 지표와는 달리 표적 공격에 대한 저항력이 감소하는 것으로 나타났다.

ABSTRACT

Text-based passwords continue to be the prime form of authentication to computer systems. Today, they are increasingly created and used with mobile text entry methods, such as touchscreens and mobile keyboards, in addition to traditional physical keyboards. This raises a foundational question for usable security: whether text entry methods affect password generation and password security. This paper presents results from a between-group study with 63 participants, in which each group generated passwords for multiple virtual accounts using a different text entry method. Participants were also asked to recall their passwords afterwards. We applied analysis of structures and probabilities, with standard and recent security metrics and also performed cracking attacks on the collected data. The results show a significant effect of text entry methods on passwords. In particular, one of the experimental groups created passwords with significantly more lowercase letters per password than the control group ($t(60) = 2.99, p = 0.004$). The choices for character types in each group were also significantly different ($p=0.048, FET$). Our cracking attacks consequently expose significantly different resistance across groups ($p=0.031, FET$) and text entry method vulnerabilities. Our findings contribute to the understanding of password security in the context of usable interfaces.

연구 동기 및 목표

• 텍스트 입력 방식이 사용자가 생성한 비밀번호의 구조와 보안에 영향을 미치는지 조사하기.
• 키보드 레이아웃과 키 접근성의 차이가 비밀번호 생성 시 문자 선택에 어떻게 영향을 미치는지 분석하기.
• 표준 비밀번호 강도 지표(예: 엔트로피, 마르코프 모델)가 다양한 입력 방식 간 실제 크래킹 저항력과 얼마나 정확히 관련되어 있는지 평가하기.
• 더 강력하고 다양한 비밀번호를 생성하도록 돕는 텍스트 입력 시스템의 설계 시사점 도출하기.
• 특정 텍스트 입력 방식이 공격자가 방식 전용 비밀번호 크래킹 전략을 통해 악용할 수 있는 체계적 취약성을 유도하는지 확인하기.

제안 방법

• 63명의 참가자를 무작위로 배정하여 세 가지 텍스트 입력 방식 조건(통제군인 물리적 키보드, 터치스크린 키보드, 초기 키 액세스가 제한된 제한된 가상 키보드)에 배정한 군 간 실험 연구를 수행했다.
• 참가자들은 은행, 이메일, 잡지용 별도의 가상 계정을 위해 각각 세 개의 비밀번호를 생성하였고, 10일 후에 즉각적 및 지연된 재기억 세션을 실시했다.
• 정량적 보안 지표를 적용: 샤논 엔트로피, NIST 엔트로피, 마르코프 모델 기반 적응형 비밀번호 강도 미터(APSM).
• 규칙 기반 및 사전 기반 기법을 사용한 실증적 비밀번호 크래킹 공격을 수행하여 그룹 간 저항력 비교를 수행했다.
• 표본 평균 차이 비교를 위해 t-검정 및 피어슨의 정확 검정을 사용하여 그룹 간 문자 분포, 비밀번호 구조, 크래킹 저항력의 유의성 차이를 분석했다.
• 크래킹된 비밀번호의 패턴을 분석하여, 특정 문자 범주(예: 소문자만으로 이루어진 비밀번호)에서 크래킹 성공률이 급격히 증가하는 등 방식 전용 취약점을 규명했다.

실험 결과

연구 질문

• RQ1 텍스트 입력 방식의 설계가 사용자가 생성한 비밀번호의 문자 조합에 상당한 영향을 미치는가?
• RQ2 다양한 텍스트 입력 방식이 실제 크래킹 공격에 대한 비밀번호 저항력에 어떻게 영향을 미치는가?
• RQ3 표준 비밀번호 강도 지표(예: 엔트로피, 마르코프 모델)가 다양한 입력 방식 간 실제 크래킹 저항력과 얼마나 관련이 깊은가?
• RQ4 특정 텍스트 입력 방식을 사용할 경우 특정 문자 유형이나 패턴이 비밀번호에서 과도하게 나타나는가?
• RQ5 인터페이스 설계로 인해 특정 방식 전용 취약성이 비밀번호 집단에 나타나는가, 만약 그렇다면 이를 어떻게 악용할 수 있는가?

주요 결과

• 제한된 가상 키보드를 사용한 그룹은 통제군에 비해 소문자 비율이 유의미하게 높았다 (t(60) = 2.99, p = 0.004).
• 그룹 간 문자 유형 분포는 유의미하게 다를 바 있었다 (p = 0.048, 피어슨의 정확 검정), 이는 텍스트 입력 방식이 사용자가 선택하는 문자에 영향을 미친다는 것을 시사한다.
• 엔트로피 및 APSM와 같은 표준 지표 점수는 유사했지만, 비밀번호의 크래킹 저항력은 그룹 간에 유의미하게 다를 바 있었다 (p = 0.031, 피어슨의 정확 검정).
• 두 번째 그룹(터치스크린 키보드)에서 100만~1억 번의 시도 사이에 크래킹 성공률이 급격히 상승했으며, 이는 소문자만으로 이루어진 비밀번호의 높은 확률 때문이었다.
• 통제군(물리적 키보드)에서 생성된 비밀번호는 더 높은 다양성을 보였지만, 여전히 간단한 변형 패턴(대문자 변환, 숫자 접미사 등)을 사용하는 규칙 기반 공격에 취약했다.
• 본 연구는 중요한 괴리점을 드러냈다: 표준 지표는 인터페이스 설계로 인해 발생하는 실제 세계의 취약성을 감지하지 못하며, 비밀번호 보안 평가에서 공격 기반 검증의 필요성을 강조한다.