[論文レビュー] Studying the Impact of Managers on Password Strength and Reuse

Sanam Ghorbani Lyastani, Michael Schilling+3 more|arXiv (Cornell University)|Dec 24, 2017

User Authentication and Security Systems参考文献 43被引用数 5

ひとこと要約

本研究では、ブラウザープラグインを通じて170人のユーザーの実地でのパスワード入力データを収集することで、パスワードマネージャーがパスワードの強度と再利用に与える影響を調査した。その結果、マネージャーが強力な作成戦略と統合されている場合にのみ、パスワードの質が向上することが判明した。特に、組み込みパスワードジェネレータを活用している場合に顕著であった。一方、ジェネレータを備えないマネージャーは、再利用や弱いパスワードの悪化を助長する可能性がある。

ABSTRACT

Despite their well-known security problems, passwords are still the incumbent authentication method for virtually all online services. To remedy the situation, end-users are very often referred to password managers as a solution to the password reuse and password weakness problems. However, to date the actual impact of password managers on password security and reuse has not been studied systematically. In this paper, we provide the first large-scale study of the password managers' influence on users' real-life passwords. From 476 participants of an online survey on users' password creation and management strategies, we recruit 170 participants that allowed us to monitor their passwords in-situ through a browser plugin. In contrast to prior work, we collect the passwords' entry methods (e.g., human or password manager) in addition to the passwords and their metrics. Based on our collected data and our survey, we gain a more complete picture of the factors that influence our participants' passwords' strength and reuse. We quantify for the first time that password managers indeed benefit the password strength and uniqueness, however, also our results also suggest that those benefits depend on the users' strategies and that managers without password generators rather aggravate the existing problems.

研究の動機と目的

• 従来の研究が入力方法の細分化を捉えられなかったのに対し、実世界におけるパスワードマネージャーのパスワード強度と再利用への影響を理解すること。
• パスワードマネージャーが本当にセキュリティを高めるのか、それともユーザーが作成した弱いパスワードを単に保管しているにすぎないのかを調査すること。
• ユーザーのパスワード作成および保存戦略が、マネージャー使用とどのように相互作用するか、特にパスワード生成と入力方法に関して検討すること。
• ブラウザ統合型パスワードマネージャー（例：Chromeのもの）が、他のマネージャーよりもパスワードの再利用や弱さを減少させるか、悪化させるかを評価すること。
• 実際のユーザー行動に基づいて、パスワードマネージャーが意味のあるセキュリティ的利益を提供する条件を同定すること。

提案手法

• パスワード作成、保存、管理戦略（信頼度、技術的スキル、過去の経験を含む）をプロファイリングする目的で、476名の参加者に対してオンライン調査を実施した。
• ブラウザープラグインのインストールに同意した170名の参加者を参加者として採用し、リアルタイムでのパスワード入力方法（例：手入力、マネージャーによる自動入力、コピー＆ペースト）を監視した。
• 実際のパスワードに加え、その入力方法とセキュリティメトリクス（例：エントロピー、一意性、再利用パターン）を収集・分析した。
• 入力方法とユーザー戦略がパスワード強度と再利用に与える影響を相関づけるために、探索的データ分析および統計モデリング（回帰分析を含む）を用いた。
• 組み込みパスワードジェネレータの有無に応じてマネージャーを区別し、その差による影響を評価した。
• 定性的な回答を通じてユーザーの認識を評価し、キーロガーからの保護といったパスワードマネージャーのセキュリティに関する誤解を明らかにした。

実験結果

リサーチクエスチョン

• RQ1 パスワードマネージャーの使用は、実世界の使用においてより強固で一意なパスワードを生み出すのか？
• RQ2 パスワードマネージャーに組み込みパスワードジェネレータが存在するか否かが、パスワード強度と再利用に与える影響は何か？
• RQ3 ユーザーのパスワード作成および保存戦略が、パスワードマネージャーの効果にどの程度影響を及ぼすか？
• RQ4 ブラウザ統合型パスワードマネージャー（例：Google Chrome）は、他のマネージャーよりもパスワード再利用を減少させるか、増加させるか？
• RQ5 ユーザーは、パスワードマネージャーがキーロガーから保護するといったセキュリティメリットを誤解していないか？

主な発見

• ユーザーがパスワードマネージャーのパスワード生成機能に依存している場合、特に組み込みパスワードジェネレータを使用している場合に、パスワードマネージャーはパスワードの強度と一意性を顕著に向上させる。
• 特にジェネレータを備えたマネージャーの助けを借りてパスワードを作成したユーザーは、その後に手入力やコピー＆ペーストで入力した場合でも、より強固で一意なパスワードを生成した。
• パスワードジェネレータを備えないマネージャーはセキュリティ向上に寄与せず、パスワード再利用や弱いパスワードの発生率が高くなる傾向にあり、主に保存ツールとしての機能にとどまることが示唆された。
• Google Chromeの組み込みパスワードマネージャーは、使いやすさを重視した設計と、強力な生成デフォルトの欠如により、パスワード再利用を悪化させたと判明した。
• 多くのユーザーが、パスワードマネージャーがキーロガーから保護すると誤解しており、これは実際の脅威モデルに対する理解の欠如を示している。
• ユーザーのパスワードマネージャーのセキュリティ認識は、現実と一致せず、マルウェアやデバイスの侵害に対する既知の脆弱性にもかかわらず、ブラウザベースのマネージャーを安全だと見なすユーザーが多いことが明らかになった。