[论文解读] MFA is a Waste of Time! Understanding Negative Connotation Towards MFA Applications via User Generated Content

Sanchari Das, Bingxing Wang+1 more|arXiv (Cornell University)|Aug 16, 2019

Digital Communication and Language参考文献 21被引用 13

一句话总结

本研究分析了来自主要应用商店的12,500条用户生成评论，以探究尽管多因素认证（MFA）具有安全优势，用户为何仍会拒绝使用。通过用户情绪的定性与定量分析，论文识别出关键的可用性障碍，如设置复杂、设备不兼容以及风险权衡不明确，并提出了改进设计、培训和沟通的方案，以提升MFA的采用率和用户体验。

ABSTRACT

Traditional single-factor authentication possesses several critical security vulnerabilities due to single-point failure feature. Multi-factor authentication (MFA), intends to enhance security by providing additional verification steps. However, in practical deployment, users often experience dissatisfaction while using MFA, which leads to non-adoption. In order to understand the current design and usability issues with MFA, we analyze aggregated user generated comments (N = 12,500) about application-based MFA tools from major distributors, such as, Amazon, Google Play, Apple App Store, and others. While some users acknowledge the security benefits of MFA, majority of them still faced problems with initial configuration, system design understanding, limited device compatibility, and risk trade-offs leading to non-adoption of MFA. Based on these results, we provide actionable recommendations in technological design, initial training, and risk communication to improve the adoption and user experience of MFA.

研究动机与目标

• 理解用户对多因素认证（MFA）应用不满的根本原因。
• 基于应用商店中的真实用户反馈，识别MFA工具在可用性和设计上的缺陷。
• 研究用户对风险权衡的感知、配置复杂性以及设备兼容性对MFA采用的影响。
• 提供切实可行的建议，以改进MFA设计、初始用户培训和风险沟通。
• 通过以用户为中心的洞察，弥合MFA安全优势与其实用中低采用率之间的差距。

提出的方法

• 从亚马逊、谷歌应用市场、苹果App Store及其他主要分发平台收集并汇总了12,500条关于基于应用的MFA工具的用户生成评论。
• 对用户评论进行情感分析和主题编码，以识别反复出现的痛点及对MFA的负面情绪。
• 将用户反馈归类为若干主题，如初始配置困难、对系统设计理解不足以及设备兼容性问题。
• 分析用户对风险权衡的感知，包括对丢失访问权限或依赖脆弱通信渠道的担忧。
• 利用定性洞察推导出改进MFA可用性和采用率的设计与沟通建议。
• 将研究发现与人机交互、密码学和安全领域的现有文献进行对比，以 contextualize 用户体验。

实验结果

研究问题

• RQ1 用户在用户生成内容中表达对MFA应用负面情绪的主要原因是什么？
• RQ2 诸如复杂设置和设备不兼容等可用性挑战在多大程度上影响了MFA的采用？
• RQ3 用户在多大程度上误解了不同MFA方法相关的风险权衡？
• RQ4 如何改进MFA设计和用户引导流程，以减少用户挫败感并提高采用率？
• RQ5 风险沟通在塑造用户对MFA安全优势与可用性成本之间权衡的感知方面发挥什么作用？

主要发现

• 大多数对MFA表示不满的用户将初始配置视为主要障碍，常认为设置过程混乱或耗时过长。
• 用户频繁报告设备兼容性有限，尤其是老旧设备或非智能手机，导致无法享受MFA带来的好处。
• 许多用户误解了MFA的安全模型，特别是依赖手机或短信带来的风险，导致不信任或拒绝使用。
• 尽管承认MFA的安全优势，仍有40%的负面评论将可用性问题列为非采用或停用的主要原因。
• 用户对设备丢失或更换后无法访问表示沮丧，凸显了改进恢复机制和用户教育的必要性。
• 研究发现，关于风险权衡的沟通不清晰——例如短信MFA的安全隐患——显著加剧了用户的怀疑和拒绝心理。