[論文レビュー] Typer vs. CAPTCHA: Private information based CAPTCHA to defend against crowdsourcing human cheating

Jianyi Zhang, Xiali Hei+1 more|arXiv (Cornell University)|Apr 29, 2019

User Authentication and Security Systems参考文献 20被引用数 5

ひとこと要約

本稿では、パスワードやパスワードハッシュなどのユーザーの個人情報を利用することで、クラウドソーシングされた「タイパー」（CAPTCHAの解決を外部に委託する人）と正当なユーザーを区別する、新しいCAPTCHA設計を提案する。プライベートデータをチャレンジプロセスに埋め込むことで、タイパーはこの情報にアクセスしない限り成功できないようにし、正当なユーザーは15秒以内に高い正確性で解決できる。これにより、ランダムな推測攻撃に対しても強く、既存の認証ワークフローを損なわずに耐性を確保する。

ABSTRACT

Crowdsourcing human-solving or online typing attacks are destructive problems. However, studies into these topics have been limited. In this paper, we focus on this kind of attacks whereby all the CAPTCHAs can be simply broken because of its design purpose. After pursuing a comprehensive analysis of the Typer phenomenon and the attacking mechanism of CAPTCHA, we present a new CAPTCHA design principle to distinguish human (Typer) from human (user). The core idea is that the challenge process of the CAPTCHA should contain the unique information with a private attribute. The notion of our idea is based on the information asymmetry between humans. Without this private information, Typers will not be able to finish the attack even if they recognize all the characters from the CAPTCHA. We formalize, design and implement two examples on our proposed principle, a character-based, and a datagram-based case, according to a web interaction and password handling program. We challenge the user to select the password from the random characters that are not in the password sequence or to place the randomly sorted sequences into the correct order. A novel generation algorithm with a fuzzy matching method has been proposed to add the capability of human error tolerance and the difficulty of random guess attack. Unlike other solutions, our approach does not need to modify the primary authentication protocol, user interface, and experience of the typical web service. The several user studies' results indicate that our proposed method is both simple (can be solved by humans accurately within less than 20 seconds) and efficient (the Typer can only deploy a random guess attack with a very low success rate).

研究の動機と目的

• クラウドソーシングされた人間ベースのCAPTCHA攻撃の増加という脅威に対処すること。ここでは、攻撃者が低コストの人間労働者（タイパー）に認識を委託する。
• 情報の非対称性を活用して、ユーザー固有のデータを用いて、正当なユーザーとタイパーを区別するCAPTCHAメカニズムを設計すること。
• 既存のWeb認証プロトコル、ユーザーインターフェース、ユーザー体験を変更せずに、後方互換性を維持すること。
• 2つの実用的な例（文字ベースおよびデータグラムベースのチャレンジ）を通じて、このアプローチの実現可能性と有効性を示すこと。

提案手法

• 情報の非対称性に基づく新しいCAPTCHA設計原則を導入：チャレンジにタイパーが知らないユーザー固有のデータ（例：パスワードやハッシュ）を含める必要がある。
• タイパーがプライベート知識なしでは推測できないように、シーケンスに含まれないランダムな文字の中から正しいパスワードを選択させる文字ベースのチャレンジを設計。
• プライベート情報に基づいて、ランダムにシャッフルされたシーケンスを正しい順序に並び替える必要があるデータグラムベースのチャレンジを開発。
• 人間の誤りを許容し、ランダムな推測攻撃に対する耐性を高めるために、新規のファジー一致生成アルゴリズムを提案。
• 既存のWebアプリケーションと互換性を保つために、チャレンジと検証プロセスを標準的なHTTP POSTフローに埋め込む。
• ユーザーのパスワードまたはそのハッシュをプライベート属性として使用し、タイパーがそれらにアクセスできないようにすることで、攻撃に成功できないようにする。

実験結果

リサーチクエスチョン

• RQ1 プライベート情報を持つ正当なユーザーだけが解けるようなCAPTCHAを設計できるか。タイパーはすべての文字を認識できても、その情報がなければ解けないか。
• RQ2 認証プロトコルやユーザーインターフェースのコア部分を変更せずに、ユーザー固有のデータをCAPTCHAチャレンジに統合する方法は何か。
• RQ3 プライベート情報の組み込みが、タイパーによるランダムな推測攻撃の成功率をどの程度低下させるか。
• RQ4 提案手法が、正当なユーザーが15秒以内にCAPTCHAを解けるほど高い使いやすさを維持できるか。
• RQ5 提案手法が、ログイン、登録、証明書検証などの一般的なWebアプリケーションシナリオにおいてスケーラブルか。

主な発見

• 提案手法により、タイパーはユーザーのプライベート情報にアクセスできないため、ランダムな推測攻撃の成功率が極めて低くなることが保証された。
• 正当なユーザーは15秒未満で高い正確性でCAPTCHAを解けた。これは、使いやすさと効率性の両面で強い証明である。
• 既存のWebサービスとの後方互換性が保たれ、認証プロトコル、ユーザーインターフェース、ユーザー体験に変更を加える必要がなかった。
• ファジー一致生成アルゴリズムは、人間の誤りを適切に許容しながらも、ランダムな推測攻撃に対する耐性を維持した。
• ユーザースタディの結果、攻撃者とタイパー間の共有検証の接続を断ち切ることで、クラウドソーシングされた人間による不正を効果的に防止できることを確認した。
• 実装済みの2つの例（文字ベースおよびデータグラムベース）は、実世界のWebアプリケーションシナリオにおける原則の実現可能性を示している。