[논문 리뷰] Towards Enhanced Usability of IT Security Mechanisms - How to Design Usable IT Security Mechanisms Using the Example of Email Encryption

Hans‐Joachim Hof|arXiv (Cornell University)|2015. 06. 23.

User Authentication and Security Systems참고 문헌 8인용 수 3

한 줄 요약

이 논문은 이메일 암호화를 사례로 삼아 사용자 편의성 중심의 설계 프레임워크를 제안한다. 암호화 작업을 단순화하는 자동화된 키 및 신뢰 관리 시스템을 도입하여 사용자 인지 부담과 상호작용 복잡성을 최소화함으로써, 최종 사용자 수용률을 크게 향상시키고 오류 비율을 감소시킨다.

ABSTRACT

Nowadays, advanced security mechanisms exist to protect data, systems, and networks. Most of these mechanisms are effective, and security experts can handle them to achieve a sufficient level of security for any given system. However, most of these systems have not been designed with focus on good usability for the average end user. Today, the average end user often struggles with understanding and using security mecha-nisms. Other security mechanisms are simply annoying for end users. As the overall security of any system is only as strong as the weakest link in this system, bad usability of IT security mechanisms may result in operating errors, resulting in inse-cure systems. Buying decisions of end users may be affected by the usability of security mechanisms. Hence, software provid-ers may decide to better have no security mechanism then one with a bad usability. Usability of IT security mechanisms is one of the most underestimated properties of applications and sys-tems. Even IT security itself is often only an afterthought. Hence, usability of security mechanisms is often the after-thought of an afterthought. This paper presents some guide-lines that should help software developers to improve end user usability of security-related mechanisms, and analyzes com-mon applications based on these guidelines. Based on these guidelines, the usability of email encryption is analyzed and an email encryption solution with increased usability is presented. The approach is based on an automated key and trust man-agement. The compliance of the proposed email encryption solution with the presented guidelines for usable security mechanisms is evaluated.

연구 동기 및 목표

• IT 보안 도구에서 효과적인 보안 메커니즘과 열악한 최종 사용자 편의성 사이의 핵심 격차를 해소하기 위해.
• 기술적으로 견고하더라도 사용자 편의성이 보안 메커니즘의 효과를 떨어뜨리는 주요 요인임을 규명하기 위해.
• 소프트웨어 개발자가 보안 메커니즘에 사용자 편의성을 초기 단계부터 통합할 수 있도록 지침 세트를 개발하기 위해.
• 다시 설계된 사용자 友好的한 이메일 암호화 솔루션을 통해 이러한 지침의 실용적 적용을 보여주기 위해.
• 실제 배포 환경에서의 효과성을 검증하기 위해, 제안된 솔루션을 기존의 사용자 편의성 원칙과 비교 평가하기 위해.

제안 방법

• 사용자 중심 설계 원칙을 강조하여 보안 메커니즘을 위한 사용자 편의성 지침 세트를 제안하기 위해.
• 제안된 지침을 활용해 기존 이메일 암호화 도구의 사용자 편의성 결함을 분석하기 위해.
• 수동 사용자 간섭을 줄이기 위해 자동화된 키 및 신뢰 관리 기반의 새로운 이메일 암호화 시스템을 설계하기 위해.
• 공개 키의 자동 탐색 및 검증을 통해 사용자 결정을 최소화하는 신뢰 모델을 통합하기 위해.
• 사용자 경험을 원활하게 보장하기 위해 표준 이메일 클라이언트 인터페이스에 시스템을 통합하기 위해.
• 체계적인 분석과 기존 시스템과의 비교를 통해, 솔루션의 사용자 편의성 지침 준수 여부를 평가하기 위해.

실험 결과

연구 질문

• RQ1 현재의 이메일 암호화 시스템은 사용자 편의성 측면에서 어떻게 실패하며, 주로 어떤 원인이 사용자 오류를 유발하는가?
• RQ2 강력한 암호화 보안과 최종 사용자 편의성 사이의 격차를 효과적으로 메울 수 있는 설계 원칙은 무엇인가?
• RQ3 자동화된 키 및 신뢰 관리로 사용자에게 가해지는 인지적 부담과 운영적 부담은 어느 정도 감소시킬 수 있는가?
• RQ4 제안된 이메일 암호화 솔루션은 기존 시스템과 비교해 사용자 편의성 및 보안의 상충 관계에서 어떤가?
• RQ5 사용자 편의성 중심의 설계 접근 방식은 실제 배포 환경에서 수용률을 높이고 오류 비율을 낮출 수 있는가?

주요 결과

• 제안된 이메일 암호화 솔루션은 키 관리 및 신뢰 결정을 자동화함으로써 사용자 상호작용을 크게 줄였다.
• 시스템 설계 덕분에 사용자가 인증서를 수동으로 관리하거나 키를 검증할 필요가 없어져 운영 오류가 감소했다.
• 체계적인 평가를 통해 사용자 편의성 지침 준수 여부가 확인되었으며, 사용자 중심 설계 원칙과의 일치가 입증되었다.
• 강력한 암호화를 사용하는 데 있어 사용자 편의성이 더 이상 장벽이 아니므로, 사용자 수용 가능성 향상에 기여했다.
• 이 연구는 사용자 편의성이 보안의 보조 요소가 아니라, 보안 메커니즘이 실제 환경에서 얼마나 효과적으로 작동하는지 결정하는 핵심 요소임을 보여준다.
• 기존 시스템은 암호화적으로 탄탄하더라도 사용자 편의성이 열악하여 실패하는 경우가 많으며, 이는 보안 도구에 사용자 편의성 중심 설계가 필수적임을 시사한다.