[논문 리뷰] MetaSecure: A Passwordless Authentication for the Metaverse

Sibi Chakkaravarthy Sethuraman, Aditya Mitra외 3명|arXiv (Cornell University)|2023. 01. 04.

Face recognition and analysis인용 수 9

한 줄 요약

MetaSecure는 FIDO2 기반 기기 인증, 보안 키, 얼굴 인식을 사용하여 메타버스를 위한 비밀번호 없는 다-factor 인증 시스템을 제안하며, VR/XR 플랫폼용 SDK와 SSO 워크플로우를 제공합니다.

ABSTRACT

Metaverse in general holds a potential future for cyberspace. At the beginning of Web 2.0, it was witnessed that people were signing in with various pseudonyms or 'nyms', risking their online identities by increasing presence of fake accounts leading to difficulty in unique identification for different roles. However, in Web 3.0, the metaverse, a user's identity is tied to their original identity, where risking one poses a significant risk to the other. Therefore, this paper proposes a novel authentication system for securing digital assets, online identity, avatars, and accounts called Metasecure where a unique id for every entity or user to develop a human establishment is essential on a digital platform. The proposed passwordless system provides three layers of security using device attestation, facial recognition and use of physical security keys, security keys, or smartcards in accordance to Fast IDentity Online (FIDO2) specifications. It provides SDKs for authentication on any system including VR/XR glasses, thus ensuring seamlessness in accessing services in the Metaverse.

연구 동기 및 목표

• 메타버스에서 보안적이고 변조에 강하며 원활한 사용자 인증을 촉진하여 디지털 아이덴티티와 자산을 보호한다.
• 가짜 또는 일회용 계정을 방지하고 사이버 범죄를 줄이기 위해 사용자의 가상 아이덴티티를 실제 아이덴티티와 연결한다.
• FIDO2, 기기 인증, 생체인식을 활용한 트리플-레이어 인증 프레임워크를 제안하여 메타버스 접속을 보호한다.

제안 방법

• 세 가지 층으로 구성된 비밀번호 없는 다중 요인 인증 시스템으로 Metasecure를 소개한다: 기기 인증, 물리적 보안 키, 얼굴 인식.
• 피싱 방지 및 하드웨어 토큰에 비공개 키 저장 보안을 보장하기 위해 FIDO2/WebAuthn 스타일의 암호학적 챌린지를 활용한다.
• VR/XR, 모바일 앱, IoT, 메타버스 엔진과의 교차 플랫폼 통합을 위한 SSO 아키텍처 및 SDK/API를 제공한다.
• 딥페이크 및 스푸핑에 대응하기 위해 얼굴 인식에 Presentation Attack Detection(PAD)을 도입하며, MobilenetV2 기반 PAD 모델과 보고된 지표를 포함한다.
• 클라우드 컴포넌트(Azure/AWS)와 Flutter 기반 모바일 클라이언트가 있는 메타버스 포크(VRSpace/Babylon 엔진)에서의 배포를 시연한다.

실험 결과

연구 질문

• RQ1 기기 인증, 보안 키 및 얼굴 인식을 사용한 비밀번호 없는 다중 요인 인증 프레임워크가 메타버스 접근을 안전하고 원활하게 제공할 수 있는가?
• RQ2 메타시큐어가 전통적 패스워드 기반 및 다른 비밀번호 없는 인증 방식과 비교했을 때 속도와 보안 측면에서 어떤 차이가 있는가?
• RQ3 메타버스 환경에서 장치와 서비스 제공자 간에 사용자를 인증하는 전체 워크플로우는 어떻게 되는가?
• RQ4 메타버스 맥락에서 얼굴 인식의 프레젠테이션 공격에 대해 PAD가 어느 정도 보호를 제공하는가?

주요 결과

인증 모델	소요 시간	보안
Metasecure(FIDO Authentication + 기기 인증 + 얼굴 인식)	128 + 496.4 = 624.4 ms	매우 높음

• Metasecure은 구성 요소를 결합했을 때 전체 처리 시간이 약 624.4 ms로 더 빠른 인증 워크플로우를 달성한다.
• 비밀번호, 얼굴 인식 및 일반적인 비밀번호 없는 방법과 비교했을 때 다중 레이어 MFA 및 PAD 통합으로 더 높은 보안/견고함을 주장한다.
• FIDO2 기반 스킴은 피싱 및 재생 공격을 완화하기 위해 암호학적 챌렌지와 공개키 암호화를 활용하며 개인 키는 하드웨어 토큰에 저장된다.
• PAD를 갖춘 얼굴 인식은 스푸핑 위험을 줄이고 검증 시나리오에서 높은 검증 정확도를 달성한다(검증 99.4%, 테스트 98.13%).
• 아키텍처는 VR/AR 기기, 콘솔, IoT를 포함한 광범위한 플랫폼 호환성을 위한 SSO 및 SDK를 지원한다.