[논문 리뷰] A Survey on Recognition Based Graphical User Authentication Algorithms

Farnaz Towhidi, Maslin Masrom|ArXiv.org|2009. 12. 04.

User Authentication and Security Systems참고 문헌 16인용 수 37

한 줄 요약

이 논문은 인식 기반 그래픽 사용자 인증 알고리즘 여덟 가지를 조사하여, ISO 사용성 기준과 일반적인 공격 패tern을 활용해 그들의 사용성과 보안 간의 상충 관계를 분석한다. 핵심적인 취약점을 규명하고 더 견고하고 사용자 友好的한 그래픽 인증 시스템 설계를 안내하기 위한 비교 평가를 제시한다.

ABSTRACT

Nowadays, user authentication is one of the important topics in information security. Strong textbased password schemes could provide with certain degree of security. However, the fact that strong passwords are difficult to memorize often leads their owners to write them down on papers or even save them in a computer file. Graphical authentication has been proposed as a possible alternative solution to textbased authentication, motivated particularly by the fact that humans can remember images better than text. In recent years, many networks, computer systems and Internet based environments try used graphical authentication technique for their users authentication. All of graphical passwords have two different aspects which are usability and security. Unfortunately none of these algorithms were being able to cover both of these aspects at the same time. In this paper, we described eight recognition based authentication algorithms in terms of their drawbacks and attacks. In the next section, the usability standards from ISO and the related attributes for graphical user authentication usability are discussed. The related attack patterns for graphical user authentication security part are also discussed. Finally, a comparison table of all recognition based algorithms is presented based on ISO and attack patterns standards.

연구 동기 및 목표

• 인식 기반 그래픽 사용자 인증(GUA) 체계에서의 사용성과 보안 간의 상충 관계를 분석하기 위해.
• GUA 알고리즘에 영향을 주는 공통된 취약점과 공격 패턴을 규명하기 위해.
• 기존 GUA 방법을 수립된 ISO 사용성 기준에 따라 평가하기 위해.
• 보안 및 사용성 기준에 기반해 인식 기반 GUA 알고리즘을 평가하기 위한 비교 프레임워크를 제공하기 위해.
• 미래 연구가 그래픽 인증 시스템에서 보안과 사용성의 균형을 이루도록 이끌기 위해.

제안 방법

• Draw-a-Secret(DAS), 클릭 기반, 이미지 기반 체계를 포함한 여덟 가지 인식 기반 GUA 알고리즘을 조사하였다.
• 학습 용이성, 효율성, 사용자 만족도에 중점을 두고 ISO 9241-11 기준을 활용해 사용성을 평가하였다.
• 어깨너머 공격, 추측 공격, 타이밍 공격 등의 일반적인 공격 패턴을 식별하여 보안을 분석하였다.
• 각 알고리즘을 사용성 및 보안 기준에 매핑하여 상호 비교를 가능하게 하였다.
• ISO 사용성 속성과 공격 내성에 기반한 상세한 비교 표를 구축하였다.
• 각 알고리즘의 실제 성능 및 한계를 평가하기 위해 이전 연구의 실증적 결과를 활용하였다.

실험 결과

연구 질문

• RQ1 ISO 9241-11 기준에 따르면 인식 기반 그래픽 인증 알고리즘의 사용성은 어떻게 평가되는가?
• RQ2 인식 기반 GUA 체계를 대상으로 하는 가장 흔한 공격 벡터는 무엇인가?
• RQ3 기존 GUA 알고리즘이 사용성과 보안을 어느 정도 균형 있게 유지하는가?
• RQ4 특히 어깨너머 공격 또는 브루트 포스 추측 공격에 취약한 GUA 알고리즘은 무엇인가?
• RQ5 인식 기반 GUA 방법을 평가하기 위한 표준화된 비교 프레임워크는 어떻게 수립될 수 있는가?

주요 결과

• 인식 기반 GUA 알고리즘 중에서 높은 사용성과 강력한 보안을 동시에 달성한 사례는 없었다.
• Passfaces와 같은 이미지 기반 체계는 기억력이 뛰어나지만 어깨너머 공격 및 얼굴 인식 공격에 취약했다.
• 클릭 기반 체계는 추측 공격에 더 강건했지만 사용자 만족도가 낮고 학습 용이성이 떨어졌다.
• DAS(그림을 그려서 비밀을 설정하는) 방법은 예측 가능한 그림 패턴으로 인해 타이밍 공격 및 측면 채널 공격에 매우 취약하다고 밝혀졌다.
• ISO 사용성 지표 분석 결과, 대부분의 GUA 체계가 학습 용이성과 효율성에서 낮은 점수를 받았으며, 특히 초보자 사용자에게서 두드러졌다.
• 포괄적인 비교 표를 개발하여, 몇몇 알고리즘 외에는 기본 사용성 기준을 충족하지 못하고 일반적인 공격에 취약한 것으로 확인되었다.