[논문 리뷰] Two-Factor or not Two-Factor? A Comparative Usability Study of Two-Factor Authentication.

Emiliano De Cristofaro, Honglu Du외 2명|arXiv (Cornell University)|2013. 09. 20.

User Authentication and Security Systems참고 문헌 29인용 수 22

한 줄 요약

이 연구는 219명의 참가자에 대한 설문 조사로, 보안 토큰, SMS/이메일 일회성 PIN, 스마트폰 앱을 포함한 세 가지 이중 인증(2F) 방법의 사용성에 대해 평가한다. 연구 결과, 다양한 맥락과 동기 부여 요인에서 2F 기술은 일반적으로 사용 가능하다고 평가되며, 사용 편의성, 인지적 노력, 신뢰성이라는 세 가지 핵심 사용성 요소가 부각된다.

ABSTRACT

Two-factor authentication (2F) aims to enhance resilience of password-based authentication by requiring users to provide an additional authentication factor, e.g., a code generated by a security token. However, it also introduces non-negligible costs for service providers and requires users to carry out additional actions during the authentication process. In this paper, we present an exploratory comparative study of the usability of 2F technologies. First, we conduct a pre-study interview to identify popular technologies as well as contexts and motivations in which they are used. We then present the results of a quantitative study based on a survey completed by 219 Mechanical Turk users, aiming to measure the usability of three popular 2F solutions: codes generated by security tokens, one-time PINs received via email or SMS, and dedicated smartphone apps (e.g., Google Authenticator). We record contexts and motivations, and study their impact on perceived usability. We find that 2F technologies are overall perceived as usable, regardless of motivation and/or context of use. We also present an exploratory factor analysis, highlighting that three metrics -- ease-of-use, required cognitive efforts, and trustworthiness -- are enough to capture key factors affecting 2F usability.

연구 동기 및 목표

• 실생활 맥락에서 널리 사용되는 이중 인증(2F) 기술의 사용성에 대해 조사한다.
• 2F 도입을 위한 사용자 동기와 사용 맥락을 특정한다.
• 맥락과 동기가 2F 솔루션의 사용성 인식에 어떻게 영향을 미치는지 평가한다.
• 2F 시스템과의 사용자 경험을 형성하는 핵심 사용성 요소를 규명한다.
• 보안 토큰, SMS/이메일 OTP, 스마트폰 앱을 포함한 세 가지 널리 사용되는 2F 방법의 상대적 사용성 비교한다.

제안 방법

• 사용자 맥락과 일반적인 2F 기술을 파악하기 위해 사전 인터뷰를 실시하였다.
• Amazon Mechanical Turk를 통해 219명의 참가자에게 정량적 설문 조사를 실시하여 사용성 평가를 수행하였다.
• 사용자 자체 평가 지표인 사용 편의성, 인지적 노력, 신뢰성 등을 사용하여 사용성 측정을 수행하였다.
• 이중 인증 사용성의 잠재적 차원을 규명하기 위해 탐색적 요인 분석을 적용하였다.
• 사용자 동기와 사용 맥락 데이터를 수집하여 사용성 인식에 미치는 영향을 분석하였다.
• 하드웨어 토큰, SMS/이메일 기반 일회성 비밀번호, 모바일 앱(예: Google Authenticator)을 포함한 세 가지 2F 방법을 비교하였다.

실험 결과

연구 질문

• RQ1 사용자들은 다양한 맥락과 동기 부여 요인에서 다른 이중 인증 방법의 사용성에 어떻게 인식하는가?
• RQ2 사용자들이 이중 인증 사용성에 대해 어떻게 평가하는가에 영향을 미치는 주요 요인은 무엇인가?
• RQ3 사용자 동기(예: 보안, 편의성)와 사용 맥락이 2F 솔루션의 사용성 인식에 어떻게 영향을 미치는가?
• RQ4 어떤 사용성 지표가 이중 인증 시스템의 사용자 경험을 가장 잘 반영하는가?
• RQ5 보안 토큰 기반, SMS/이메일 기반, 앱 기반 2F 방법 간에 사용성 인식에 유의미한 차이가 있는가?

주요 결과

• 사용자 동기나 사용 맥락에 관계없이 이중 인증 기술은 일반적으로 사용 가능하다고 평가된다.
• 탐색적 요인 분석을 통해 사용자 편의성, 요구되는 인지적 노력, 신뢰성이 가장 두드러진 사용성 요소로 확인되었다.
• 보안 토큰, SMS/이메일 OTP, 스마트폰 앱을 포함한 세 가지 2F 방법 간에 사용성 인식에 유의미한 차이가 없었다.
• 사용자들은 세 가지 2F 방법 모두에서 높은 수준의 신뢰성을 보였으며, 신뢰성 인식에 큰 격차가 없었다.
• 인지적 노력은 특히 SMS 및 이메일 기반 솔루션에서 사용성 인식에 가장 큰 영향을 미친 요소였다.
• 사용 맥락과 사용자 동기 부여 요인이 세 가지 2F 방법 중 어느 것도 전반적인 사용성 인식에 유의미하게 영향을 주지 않았다.