[논문 리뷰] Typer vs. CAPTCHA: Private information based CAPTCHA to defend against crowdsourcing human cheating

Jianyi Zhang, Xiali Hei외 1명|arXiv (Cornell University)|2019. 04. 29.

User Authentication and Security Systems참고 문헌 20인용 수 5

한 줄 요약

이 논문은 사용자의 비밀 정보—비밀번호 또는 비밀번호 해시와 같은 것—을 활용하여 정상 사용자와 외주받은 '타이퍼'들 사이를 구분하는 새로운 CAPTCHA 설계를 제안한다. 개인 정보를 도전 과정에 통합함으로써, 타이퍼들은 이 정보에 접근하지 못하면 성공할 수 없게 하며, 정상 사용자는 15초 이내에 높은 정확도로 해결할 수 있다. 이는 무작위 추측 공격에 강력한 저항력을 보이며, 기존의 인증 워크플로우를 유지한다.

ABSTRACT

Crowdsourcing human-solving or online typing attacks are destructive problems. However, studies into these topics have been limited. In this paper, we focus on this kind of attacks whereby all the CAPTCHAs can be simply broken because of its design purpose. After pursuing a comprehensive analysis of the Typer phenomenon and the attacking mechanism of CAPTCHA, we present a new CAPTCHA design principle to distinguish human (Typer) from human (user). The core idea is that the challenge process of the CAPTCHA should contain the unique information with a private attribute. The notion of our idea is based on the information asymmetry between humans. Without this private information, Typers will not be able to finish the attack even if they recognize all the characters from the CAPTCHA. We formalize, design and implement two examples on our proposed principle, a character-based, and a datagram-based case, according to a web interaction and password handling program. We challenge the user to select the password from the random characters that are not in the password sequence or to place the randomly sorted sequences into the correct order. A novel generation algorithm with a fuzzy matching method has been proposed to add the capability of human error tolerance and the difficulty of random guess attack. Unlike other solutions, our approach does not need to modify the primary authentication protocol, user interface, and experience of the typical web service. The several user studies' results indicate that our proposed method is both simple (can be solved by humans accurately within less than 20 seconds) and efficient (the Typer can only deploy a random guess attack with a very low success rate).

연구 동기 및 목표

• 공격자가 저렴한 인간 노동력(타이퍼)을 통해 CAPTCHA를 외주하는 증가하는 위협을 해결하기 위해.
• 사용자 정보의 비대칭성을 활용하여 개인 정보 기반의 도전 과정을 통해 정상 사용자와 타이퍼를 구분하는 CAPTCHA 메커니즘을 설계하기 위해.
• 기존 웹 인증 프로토콜, 사용자 인터페이스, 사용자 경험에 영향을 주지 않고도 기존의 방식과의 후행 호환성을 유지하기 위해.
• 문자 기반 및 데이터그램 기반 도전 과정을 포함한 두 가지 실용적 예시를 통해 접근의 타당성과 효과성을 입증하기 위해.

제안 방법

• 사용자 정보 비대칭성에 기반한 새로운 CAPTCHA 설계 원칙을 도입: 도전 과정에 타이퍼들이 알 수 없는 사용자 고유의 정보(예: 비밀번호 또는 해시)를 포함시켜야 한다.
• 사용자가 시퀀스에 포함되지 않은 랜덤 문자들 중에서 정확한 비밀번호를 선택하는 문자 기반 도전 과정을 설계하여, 타이퍼들이 개인 지식 없이 추측할 수 없도록 한다.
• 사용자 고유의 정보에 기반해 무작위로 뒤섞인 시퀀스를 올바른 순서로 재정렬해야 하는 데이터그램 기반 도전 과정을 개발한다.
• 사람의 실수를 수용하고 무작위 추측 공격에 대한 저항력을 높이기 위해 새로운 퍼지 매칭 생성 알고리즘을 제안한다.
• 기존 웹 애플리케이션과의 호환성을 유지하기 위해 도전 및 검증 과정을 표준 HTTP POST 흐름에 통합한다.
• 사용자 비밀번호 또는 그 해시를 개인 정보 속성으로 사용하여 타이퍼들이 접근할 수 없도록 하여 공격에 성공하지 못하도록 한다.

실험 결과

연구 질문

• RQ1 비밀 정보를 지닌 정상 사용자만 해결할 수 있고, 타이퍼들이 모든 문자를 인식하고도 성공하지 못하는 CAPTCHA를 설계할 수 있는가?
• RQ2 기본 인증 프로토콜이나 사용자 인터페이스를 수정하지 않고도 사용자 개인 정보를 CAPTCHA 도전 과정에 통합할 수 있는가?
• RQ3 비밀 정보의 통합이 타이퍼의 무작위 추측 공격 성공률을 어느 정도 낮출 수 있는가?
• RQ4 제안된 방법이 사용성 면에서 높은 수준을 유지하여 정상 사용자가 15초 이내에 CAPTCHA를 해결할 수 있는가?
• RQ5 제안된 접근 방식이 로그인, 등록, 인증서 검증과 같은 일반적인 웹 애플리케이션 시나리오에 스케일링 가능한가?

주요 결과

• 제안된 방법은 타이퍼들이 사용자의 비밀 정보에 접근하지 못하므로, 매우 낮은 성공률로 무작위 추측 공격만 가능하다.
• 정상 사용자들은 15초 이내에 매우 높은 정확도로 CAPTCHA를 해결하여 사용성과 효율성의 강력한 증거를 보였다.
• 기존 웹 서비스와의 후행 호환성을 유지하여, 인증 프로토콜, 사용자 인터페이스, 사용자 경험에 대한 수정 없이도 적용 가능했다.
• 퍼지 매칭 생성 알고리즘이 사람의 실수를 효과적으로 수용하면서도 무작위 추측 공격에 대한 저항력을 유지했다.
• 사용자 연구를 통해 공격자와 타이퍼 간의 공유 검증 연결을 끊음으로써 외주받은 인간의 도용을 효과적으로 방지함을 확인했다.
• 구현된 두 가지 예시—문자 기반 및 데이터그램 기반—은 원칙이 실제 웹 애플리케이션 환경에서의 타당성을 입증했다.