[論文レビュー] Sound-Proof: Usable Two-Factor Authentication Based on Ambient Sound

Nikolaos Karapanos, Claudio Marforio+2 more|arXiv (Cornell University)|Mar 12, 2015

User Authentication and Security Systems参考文献 29被引用数 111

ひとこと要約

Sound-Proof は、ユーザーの携帯端末とログインデバイスの間の物理的接近を、周囲の音を用いて検証する透明で使いやすい二要素認証メカニズムを提案する。この方法により、ユーザーと携帯端末の相互作用が不要となる。WebRTC互換ブラウザを介して両デバイスからの音声録音を比較することで実現され、ユーザースタディーの結果、Google 2-Step Verification よりもはるかに使いやすく、2FA が必須でない場合でさえ好まれることが示された。

ABSTRACT

Two-factor authentication protects online accounts even if passwords are leaked. Most users, however, prefer password-only authentication. One reason why two-factor authentication is so unpopular is the extra steps that the user must complete in order to log in. Currently deployed two-factor authentication mechanisms require the user to interact with his phone to, for example, copy a verification code to the browser. Two-factor authentication schemes that eliminate user-phone interaction exist, but require additional software to be deployed. In this paper we propose Sound-Proof, a usable and deployable two-factor authentication mechanism. Sound-Proof does not require interaction between the user and his phone. In Sound-Proof the second authentication factor is the proximity of the user's phone to the device being used to log in. The proximity of the two devices is verified by comparing the ambient noise recorded by their microphones. Audio recording and comparison are transparent to the user, so that the user experience is similar to the one of password-only authentication. Sound-Proof can be easily deployed as it works with current phones and major browsers without plugins. We build a prototype for both Android and iOS. We provide empirical evidence that ambient noise is a robust discriminant to determine the proximity of two devices both indoors and outdoors, and even if the phone is in a pocket or purse. We conduct a user study designed to compare the perceived usability of Sound-Proof with Google 2-Step Verification. Participants ranked Sound-Proof as more usable and the majority would be willing to use Sound-Proof even for scenarios in which two-factor authentication is optional.

研究の動機と目的

• ユーザーが携帯端末との相互作用に起因する負担を感じることで二要素認証（2FA）の導入が低調であるという問題に対処すること。
• 既存のハードウェアとウェブ標準に準拠した、ユーザーと携帯端末の相互作用を必要としない、使いやすく展開可能な2FAメカニズムを設計すること。
• さまざまな環境（屋内／屋外、携帯端末をポケット／財布に入れた状態）において、周囲の音が信頼性のある接近要因として機能するかを評価すること。
• 実世界のユーザースタディーを通じて、Sound-Proof の主観的使いやすさを Google 2-Step Verification などの既存2FAメカニズムと比較すること。
• 2FA が必須でない状況でも、ユーザーが透明性とシンプルさを重視した接近ベースの2FAシステムを好むかどうかを実証すること。

提案手法

• システムは、ユーザーの携帯端末とログインデバイスの両方のマイクを用いて周囲の音声を収集し、物理的接近を検証する。
• 周囲のノイズや機器の違いに耐性を持つスペクトル特徴に基づく頑健な類似度測定法を用いて、音声録音を比較する。
• 比較処理は携帯端末上で実行され、デバイスが同じ場所にいることが確認されるとログインを承認する。
• この全プロセスはユーザーに対して完全に透明であり、ログイン時に携帯端末との手動入力や操作が一切不要である。
• Android および iOS 向けに WebRTC API を用いてプロトタイプを実装しており、すべての HTML5 対応ブラウザと互換性を持つ。
• 携帯端末がポケットや財布の中に入っていても、屋内・屋外を問わず動作可能である。

実験結果

リサーチクエスチョン

• RQ1 さまざまな物理的環境において、周囲の音が二要素認証の信頼性と頑健性を持つ接近要因として機能するか？
• RQ2 携帯端末との相互作用を必要としない2FAメカニズムの主観的使いやすさは、Google 2-Step Verification のような従来の方法と比べてどうか？
• RQ3 2FA が必須でない状況でも、ユーザーが接近ベースの2FAシステムをどれほど採用するか？
• RQ4 実世界の条件下で、音声類似度技術が共存するデバイスと非共存デバイスをどれだけ正確に区別できるか？
• RQ5 既存のスマートフォン、ブラウザ、サーバーに変更を加えずにシステムを展開できるか？

主な発見

• Sound-Proof はログインプロセスに 5 秒未満の追加時間を要し、コードベース2FAの一般的な約 25 秒よりも顕著に高速である。
• 屋内・屋外の両環境で、携帯端末をポケットや財布に入れた状態でも、共存デバイスと非共存デバイスを正しく区別できた。
• ユーザースタディーの結果、参加者は Sound-Proof を Google 2-Step Verification よりもはるかに使いやすいと評価しており、主観的な使いやすさに統計的に有意な差が認められた。
• 大多数の参加者が、2FA が必須でないオンラインサービスに対しても Sound-Proof を使用することに前向きであると表明し、透明性とシンプルさへの強いユーザーの好みを示した。
• システムは現在のスマートフォンと主要ブラウザと完全に互換性があり、プラグインやサーバー側の変更が不要で、即時展開が可能である。
• Sound-Proof で用いられる音声類似度手法は、機器の多様性や環境ノイズに対して、特に屋外環境で、先行手法を上回る頑健性を示した。