[논문 리뷰] Evaluation of Account Recovery Strategies with FIDO2-based Passwordless Authentication

Johannes Kunke, Stephan Wiefling외 2명|arXiv (Cornell University)|2021. 05. 26.

User Authentication and Security Systems참고 문헌 12인용 수 4

한 줄 요약

이 논문은 FIDO2 기반의 비밀번호 없는 인증을 위한 12가지 계정 복구 메커니즘을 평가하여 현재의 접근 방식에서 비밀번호에 의존하는 것과 같은 심각한 결함을 밝혀내며, 비밀번호 없는 시스템의 보안 이점을 약화시킨다. 또한 히우리스틱 평가 프레임워크를 제안하고, 강력한 보안을 유지하면서도 사용자 친화적인 복구 패턴을 규명한다.

ABSTRACT

Threats to passwords are still very relevant due to attacks like phishing or credential stuffing. One way to solve this problem is to remove passwords completely. User studies on passwordless FIDO2 authentication using security tokens demonstrated the potential to replace passwords. However, widespread acceptance of FIDO2 depends, among other things, on how user accounts can be recovered when the security token becomes permanently unavailable. For this reason, we provide a heuristic evaluation of 12 account recovery mechanisms regarding their properties for FIDO2 passwordless authentication. Our results show that the currently used methods have many drawbacks. Some even rely on passwords, taking passwordless authentication ad absurdum. Still, our evaluation identifies promising account recovery solutions and provides recommendations for further studies.

연구 동기 및 목표

• FIDO2 비밀번호 없는 인증에서 계정 복구에 대한 핵심적인 격차를 해결함으로써 광범위한 도입을 방해하는 요소를 제거하기 위해.
• 비밀번호 없는 원칙에 부합하는지 여부를 고려하여 기존 계정 복구 메커니즘의 보안성, 사용성, 그리고 일치성 여부를 평가하기 위해.
• 특히 비밀번호 삭제라는 목표에도 불구하고 비밀번호를 재도입하는 메커니즘의 약점을 규명하기 위해.
• 비밀번호 없는 시스템에서 복구 메커니즘을 평가하기 위한 체계적인 평가 프레임워크를 제공하기 위해.
• 미래의 구현 및 연구를 위한 안전하고 비밀번호 없는 복구 패턴을 제안하기 위해.

제안 방법

• 보안 및 사용성 기준에 기반한 자체 개발 평가 프레임워크를 사용하여 12개의 계정 복구 메커니즘에 대한 히우리스틱 평가를 수행함.
• 비밀번호 의존성, 피싱에 대한 저항성, 복구 시간, 사용자 제어성 등의 특성에 따라 메커니즘을 평가함.
• 비밀번호 기반, 다중 요인, 복구 키 기반 접근 방식 등의 범주로 복구 전략을 분류함.
• 각 메커니즘의 위협 모델 영향을 평가함—특히 피싱에 대한 저항성과 장기적인 계정 가용성 측면에서.
• 암호학, 사용성, 위협 모델링을 융합한 다학제적 접근을 통해 상호 교환 조건을 분석함.
• 보안 및 사용성 특성의 매트릭스를 활용하여 메커니즘 간 비교 분석을 수행함으로써 강점과 약점을 규명함.

실험 결과

연구 질문

• RQ1 현재의 FIDO2 기반 비밀번호 없는 인증을 위한 계정 복구 메커니즘은 비밀번호 제거라는 목표와 얼마나 부합하는가?
• RQ2 비밀번호 없는 시스템에서 다양한 복구 전략의 보안성과 사용성 간의 상호 교환 조건은 무엇인가?
• RQ3 어떤 복구 메커니즘이 강력한 피싱 저항성을 유지하면서도 계정 가용성을 보장하는가?
• RQ4 기존의 복구 방법은 FIDO2 인증의 보안 이점에 얼마나 심각하게 영향을 미치는가?
• RQ5 안전하고 사용자 친화적이며 진정으로 비밀번호 없는 복구 메커니즘의 개발을 이끄는 설계 원칙은 무엇인가?

주요 결과

• 현재 많은 계정 복구 메커니즘이 비밀번호에 의존하여 비밀번호 없는 인증의 核심 목표를 위협하고 있으며, 알려진 공격 벡터를 재도입한다.
• 비밀번호 기반 복구 방법(예: 보안 질문 또는 이메일 기반 복구)은 피싱 및 자격 증명 스트링에 취약하여 FIDO2의 보안 약속을 약화시킨다.
• 복구 키 또는 다중 요인 인증을 사용하는 복구 메커니즘은 더 강력한 보안 특성을 보이며 비밀번호 없는 원칙과 더 잘 부합한다.
• 평가 과정에서 복구 키 또는 기기 기반 복구를 사용하는 메커니즘들이 특히 강력한 보안성과 사용성 확보를 가능하게 하며, 비밀번호를 재도입하지 않음.
• 기존의 어떤 메커니즘도 완벽하게 최적화되어 있지 않지만, 몇 가지 메커니즘이 향후 개발 및 표준화를 위해 유망한 것으로 나타났다.
• 히우리스틱 평가 프레임워크는 기존 접근 방식의 심각한 결함를 폭 드러내었으며, 향후 시스템 설계 및 평가에 재사용 가능한 모델을 제공한다.