[논문 리뷰] What's in Score for Website Users: A Data-driven Long-term Study on Risk-based Authentication Characteristics

Stephan Wiefling, Markus Dürmuth외 1명|arXiv (Cornell University)|2021. 01. 26.

User Authentication and Security Systems참고 문헌 33인용 수 21

한 줄 요약

이 논문은 실제 온라인 서비스에서 780명의 사용자로부터 확보한 1.8년 치 로그인 데이터를 바탕으로 한 장기적이고 데이터 기반의 위험 기반 인증(RBA) 분석을 제시한다. 두 가지 RBA 모델인 SIMPLE 및 EXTEND을 평가하여, 새로운 RTT 기반 특징을 포함한 철저히 선택된 특징들이 표적 공격의 99.45% 이상을 탐지할 수 있으며, 정상 사용자의 재인증 오류율도 낮게 유지할 수 있음을 입증한다.

ABSTRACT

Risk-based authentication (RBA) aims to strengthen password-based authentication rather than replacing it. RBA does this by monitoring and recording additional features during the login process. If feature values at login time differ significantly from those observed before, RBA requests an additional proof of identification. Although RBA is recommended in the NIST digital identity guidelines, it has so far been used almost exclusively by major online services. This is partly due to a lack of open knowledge and implementations that would allow any service provider to roll out RBA protection to its users. To close this gap, we provide a first in-depth analysis of RBA characteristics in a practical deployment. We observed N=780 users with 247 unique features on a real-world online service for over 1.8 years. Based on our collected data set, we provide (i) a behavior analysis of two RBA implementations that were apparently used by major online services in the wild, (ii) a benchmark of the features to extract a subset that is most suitable for RBA use, (iii) a new feature that has not been used in RBA before, and (iv) factors which have a significant effect on RBA performance. Our results show that RBA needs to be carefully tailored to each online service, as even small configuration adjustments can greatly impact RBA's security and usability properties. We provide insights on the selection of features, their weightings, and the risk classification in order to benefit from RBA after a minimum number of login attempts.

연구 동기 및 목표

• 실제 구현 환경의 특성 분석을 통해 RBA 설정에 대한 열린 지식의 격차를 메우기 위해.
• 다양한 RBA 특징 집합과 설정이 실제로 보안과 사용성에 어떤 영향을 미치는지 평가하기 위해.
• RBA에 가장 효과적인 특징을 규명하고, 탐지에 사용된 바가 없는 새로운 특징(RTT)을 제안하기 위해.
• 서비스 제공자가 보안과 사용성의 최적 균형을 확보할 수 있도록 실질적인 통찰을 제공하기 위해.

제안 방법

• 실제 온라인 서비스에서 780명의 사용자로부터 1.8년 치 로그인 데이터를 수집하고 분석하여 총 247개의 다양한 인증 특징을 확보하였다.
• OpenAM 기반의 SIMPLE 모델과 프리먼 등의 연구를 영감으로 삼고 구글/아마존/링크드인에서 사용하는 EXTEND 모델을 구현 및 평가하였다.
• EXTEND 모델의 확률적 위험 점수 공식을 사용하였다: $ S_u(x) = \prod_{k=1}^d \left( \frac{p(x_k)}{p(x_k|u,\text{legitimate})} \right) \cdot \frac{p(u|\text{attack})}{p(u|\text{legitimate})} $, 미리보기 없는 값에 대해서는 선형 보간을 적용하였다.
• 특징들을 하위 특징으로 분할(예: IP → ASN 및 국가; 사용자 에이전트 → 브라우저/OS 및 기기 유형)하고 개별 가중치를 설정하였다.
• 보안, 사용성, 성능(계산 비용 및 확장성 포함)을 기준으로 특징 집합을 벤치마킹하였다.
• SOCKS5 프록시를 사용하는 공격을 탐지하기 위해 새로운 특징인 라운드트립 타임(RTT)을 제안하고 테스트하였다.

실험 결과

연구 질문

• RQ1 RQ1: RBA는 얼마나 자주 재인증을 요청하며, 안정적인 RBA 설정을 확보하기 위해 얼마나 많은 로그인 세션이 필요한가?
• RQ2 RQ2: 어떤 특징이 보안에 가장 효과적인가? 어떻게 조합되어야 하며, 다양한 조합은 정상 사용자에게 얼마나 자주 재인증을 유도하는가?
• RQ3 RQ3: 다양한 RBA 설정은 확장성, 비용 효율성, 인증 속도 측면에서 어떻게 성능을 보이는가?

주요 결과

• EXTEND 모델은 표적 공격의 99.45% 이상을 탐지하면서도 정상 사용자의 재인증 비율을 낮게 유지하였다.
• IP 주소는 여전히 핵심적인 특징이지만, ASN 및 국가와 같은 하위 특징을 함께 사용할 경우 그 효과가 크게 향상된다.
• 새로운 RTT(Round-Trip Time) 특징은 특히 지리적 위치를 위장하는 SOCKS5 프록시를 사용하는 공격을 매우 효과적으로 탐지하는 데 기여하였다.
• 쿠키는 매우 주의 깊이 사용되어야 하며, 도용된 쿠키와 도용된 자격 증명이 결합될 경우 잘못된 로그인 시도를 정상으로 잘못 판단할 수 있다.
• 특징 집합이나 접근 임계값과 같은 작은 설정 변경만으로도 RBA의 보안 및 사용성 결과가 근본적으로 달라질 수 있다.
• 수집된 247개 특징 중 일부(예: IP, RTT, 기기 유형)만이 RBA 성능 향상에 실질적인 기여를 하였으며, 많은 특징들은 효과적이거나 신뢰할 수 없었다.