[論文レビュー] What's in Score for Website Users: A Data-driven Long-term Study on Risk-based Authentication Characteristics

Stephan Wiefling, Markus Dürmuth+1 more|arXiv (Cornell University)|Jan 26, 2021

User Authentication and Security Systems参考文献 33被引用数 21

ひとこと要約

本論文は、実世界のオンラインサービスにおける780人のユーザーの1.8年間のログインデータを用いて、リスクベース認証（RBA）の長期的かつデータ駆動型の分析を提示する。2つのRBAモデル—SIMPLEおよびEXTEND—を評価し、特に新規のRTTベースの特徴量を含む、慎重に選択された特徴量が、正当なユーザーの再認証率を低く抑えつつ、標的型攻撃の99.45％以上を検出可能であることを示している。

ABSTRACT

Risk-based authentication (RBA) aims to strengthen password-based authentication rather than replacing it. RBA does this by monitoring and recording additional features during the login process. If feature values at login time differ significantly from those observed before, RBA requests an additional proof of identification. Although RBA is recommended in the NIST digital identity guidelines, it has so far been used almost exclusively by major online services. This is partly due to a lack of open knowledge and implementations that would allow any service provider to roll out RBA protection to its users. To close this gap, we provide a first in-depth analysis of RBA characteristics in a practical deployment. We observed N=780 users with 247 unique features on a real-world online service for over 1.8 years. Based on our collected data set, we provide (i) a behavior analysis of two RBA implementations that were apparently used by major online services in the wild, (ii) a benchmark of the features to extract a subset that is most suitable for RBA use, (iii) a new feature that has not been used in RBA before, and (iv) factors which have a significant effect on RBA performance. Our results show that RBA needs to be carefully tailored to each online service, as even small configuration adjustments can greatly impact RBA's security and usability properties. We provide insights on the selection of features, their weightings, and the risk classification in order to benefit from RBA after a minimum number of login attempts.

研究の動機と目的

• 実世界のRBA構成の特性を分析することで、オープンな知識の欠落を埋める。
• 異なるRBA特徴量セットおよび構成が、実際のセキュリティと使いやすさに与える影響を評価する。
• RBAにおいて最も効果的な特徴量を特定し、検出に使用されていなかった新規の特徴量（RTT）を提案する。
• サービスプロバイダがセキュリティと使いやすさの最適なバランスを実現するための実用的インサイトを提供する。

提案手法

• 実世界のオンラインサービスにおける780人のユーザーの1.8年間のログインデータを収集・分析し、247種類の異なる認証特徴量を取得した。
• OpenAMに基づくSIMPLEモデルと、Freemanらの研究にインspされたもので、Google/Amazon/LinkedInでも使用されているEXTENDモデルを実装・評価した。
• EXTENDモデルの確率的リスクスコア式を用いた：$ S_u(x) = \prod_{k=1}^d \left( \frac{p(x_k)}{p(x_k|u,\text{legitimate})} \right) \cdot \frac{p(u|\text{attack})}{p(u|\text{legitimate})} $、未観測値には線形補間を適用した。
• 特徴量をサブ特徴量（例：IP → ASNおよび国；ユーザーエージェント → ブラウザ/OSおよびデバイスタイプ）に分割し、個別の重み付けを実施した。
• セキュリティ、使いやすさ、パフォーマンス（計算コストおよびスケーラビリティ）をベンチマークとして、特徴量セットを評価した。
• SOCKS5プロキシを用いた攻撃を検出するための新規特徴量「ラウンドトリップタイム（RTT）」を提案・テストした。

実験結果

リサーチクエスチョン

• RQ1 RQ1: RBAはどの程度の頻度で再認証を要求するのか？安定したRBA設定を達成するにはどの程度のログインセッションが必要か？
• RQ2 RQ2: どの特徴量がセキュリティにおいて最も効果的か？どのように組み合わせるべきか？異なる組み合わせが正当なユーザーに対して再認証をどの程度の頻度でトリガーするか？
• RQ3 RQ3: スケーラビリティ、コスト効率、認証速度という観点から、異なるRBA構成はどの程度の性能を示すか？

主な発見

• EXTENDモデルは、正当なユーザーの再認証率を低く抑えつつ、標的型攻撃の99.45％以上を検出できた。
• IPアドレスは依然として重要な特徴量であるが、ASNや国といったサブ特徴量を付加することでその有効性が顕著に向上した。
• 新規に提案されたRTT（ラウンドトリップタイム）特徴量は、位置情報スプーフィングを行うSOCKS5プロキシを用いた攻撃の検出に非常に有効であった。
• クッキーは極めて慎重に使用すべきであり、盗難済みのクッキーと盗難済みの資格情報の組み合わせにより、誤ったログイン試行が正当と誤認される可能性がある。
• 特徴量セットやアクセス閾値といったわずかな構成の変更ですら、RBAのセキュリティと使いやすさの結果を劇的に変える可能性がある。
• 収集された247種類の特徴量のうち、IP、RTT、デバイスタイプといった少数の特徴量のみがRBAパフォーマンスに有意義な貢献を示しており、多くの特徴量は無効または信頼性に欠けることが判明した。