[논문 리뷰] TouchIn: Sightless Two-factor Authentication on Multi-touch Mobile Devices

Jingchao Sun, Rui Zhang외 2명|arXiv (Cornell University)|2014. 02. 06.

User Authentication and Security Systems참고 문헌 22인용 수 6

한 줄 요약

TouchIn은 사용자가 그린 곡선의 기하학적 및 행동적 특성을 활용하여 시각 장애인을 고려한 다중 터치 모바일 기기에서 안전하고 사용자 친화적이며 접근성이 뛰어난 비시각적 이중 요인 인증 시스템이다. 단일 곡선 암호에서 97.5%의 참 양성률과 2.3%의 참 음성률을 달성하여 어깨를 들여다보는 공격과 지문 자국 공격에 효과적으로 저항하면서도 시각 장애인 사용자도 활용할 수 있다.

ABSTRACT

Mobile authentication is indispensable for preventing unauthorized access to multi-touch mobile devices. Existing mobile authentication techniques are often cumbersome to use and also vulnerable to shoulder-surfing and smudge attacks. This paper focuses on designing, implementing, and evaluating TouchIn, a two-factor authentication system on multi-touch mobile devices. TouchIn works by letting a user draw on the touchscreen with one or multiple fingers to unlock his mobile device, and the user is authenticated based on the geometric properties of his drawn curves as well as his behavioral and physiological characteristics. TouchIn allows the user to draw on arbitrary regions on the touchscreen without looking at it. This nice sightless feature makes TouchIn very easy to use and also robust to shoulder-surfing and smudge attacks. Comprehensive experiments on Android devices confirm the high security and usability of TouchIn.

연구 동기 및 목표

• 기존의 모바일 인증 방식의 한계, 즉 사용성 문제, 어깨를 들여다보는 공격과 지문 자국 공격에 대한 취약성, 시각 장애인 사용자에 대한 접근성 부족을 해결하기 위해.
• 사용자가 정의한 기하학적 곡선(암호를 안다는 것)과 행동적·생리적 특성(신체적 특성)을 결합한 이중 요인 인증 시스템을 설계하여 보안성을 향상시키기 위해.
• 사용자가 화면을 보지 않고도 암호를 그릴 수 있도록 하는 비시각적 인증 메커니즘을 구현하고 평가하여 접근성과 프라이버시를 향상시키기 위해.
• Google Nexus 7과 같은 다중 터치 기기에서 실제 환경 조건에서 높은 정확도와 낮은 오류율을 입증하기 위해.

제안 방법

• 등록 단계에서 사용자는 하나 이상의 손가락을 사용하여 터치스크린에 임의의 곡선을 그린다. 시스템은 기하학적 특성(좌표 x/y, 방향, 곡률)과 행동/생리적 특성(속도, 가속도, 압력, 손 모양)을 추출한다.
• 기계 학습을 활용하여 다중 특성을 융합하는 가중치 최적화 문제로 인증 과정을 모델링하여 강력한 템플릿을 생성한다.
• 인증 단계에서 사용자의 입력에서 후보 템플릿을 추출하고, 곡선 매칭을 위해 동적 시간 왜곡(DTW)을 사용하여 저장된 템플릿과 비교한다.
• 시스템은 9개의 곡선 특성에 대해 DTW 거리를 계산하고 임계값 기반 결정을 통해 인증 시도를 수락하거나 거부한다.
• 단일 및 다중 곡선 암호 모두를 지원하며, 검증 시간은 곡선 수에 따라 선형적으로 증가한다.
• 등록은 한 번만 수행되며, 장치 측의 계산 부담을 줄이기 위해 신뢰할 수 있는 서버로 이관할 수 있다.

실험 결과

연구 질문

• RQ1 비시각적 제스처 기반 인증 시스템은 어깨를 들여다보는 공격과 지문 자국 공격과 같은 일반적인 공격에 저항하면서도 높은 정확도와 사용성을 달성할 수 있는가?
• RQ2 기하학적 곡선 특성과 행동/생리적 특성의 조합이 정상 사용자와 위임자 간의 구분에 얼마나 효과적인가?
• RQ3 특히 시각 장애인을 대상으로 할 때, 사용자가 시각 피드백 없이 인증을 수행할 경우 시스템의 성능이 얼마나 유지되는가?
• RQ4 기존의 비시각적 또는 다중 요인 인증 체계와 비교했을 때, 시스템의 성능은 참 양성률 및 참 음성률 측면에서 어떻게 평가되는가?

주요 결과

• TouchIn은 단일 곡선 인증에서 97.5%의 참 양성률과 2.3%의 참 음성률을 달성했으며, 다중 곡선 인증에서는 각각 99.3%와 2.2%를 기록했다.
• 불법 접근 對 97.7%의 시도에서 성공적으로 차단하여 어깨를 들여다보는 공격에 강력한 저항력을 보였다.
• 사용성 연구에서 97.5%의 정상 사용자가 정확하게 인증되었고, 97.8%의 불법 시도가 거부되었다.
• 다중 곡선 인증의 평균 검증 시간은 900ms 이하였으며, 특징 추출 및 분류에 소요되는 시간은 1ms 미만이었다.
• 사용자들은 TouchIn이 PIN과 안드로이드 패턴 잠금보다 사용하기 쉽고 선호한다고 평가했으며, 평균 사용성 점수는 5점 만점에 4.4~4.6점이었다.
• PassChords보다 정확도와 어깨를 들여다보는 공격에 대한 저항력에서 뛰어나 80%의 공격자가 한 번 관찰한 후 제스처를 재현하지 못했다.