[论文解读] Alice in Passphraseland: Assessing the Memorability of Familiar Vocabularies for System-Assigned Passphrases

Noopa Jagadeesh, Miguel Vargas Martín|arXiv (Cornell University)|Dec 6, 2021

User Authentication and Security Systems被引用 4

一句话总结

本研究提出了一种由系统分配的口令，通过在用户熟悉的特定词汇（例如来自故事的词汇）上微调GPT-2生成，以提升记忆性，同时保持安全性。通过一项包含500名参与者的在线研究并采用间隔重复法，发现基于熟悉故事的自然英语句子式口令在回忆表现上与随机常见词汇口令相当，表明其具有作为实用且安全的身份认证方法的潜力。

ABSTRACT

Text-based secrets are still the most commonly used authentication mechanism in information systems. IT managers must strike a balance between security and memorability while developing password policies. Initially introduced as more secure authentication keys that people could recall, passphrases are passwords consisting of multiple words. However, when left to the choice of users, they tend to choose predictable natural language patterns in passphrases, resulting in vulnerability to guessing attacks. System-assigned authentication keys can be guaranteed to be secure, but this comes at a cost to memorability. In this study we investigate the memorability of system-assigned passphrases from a familiar vocabulary to the user. The passphrases are generated with the Generative Pre-trained Transformer 2 (GPT-2) model trained on the familiar vocabulary and are readable, pronounceable, sentence like passphrases resembling natural English sentences. Through an online user study with 500 participants on Amazon Mechanical Turk, we test our hypothesis - following a spaced repetition schedule, passphrases as natural English sentences, based on familiar vocabulary are easier to recall than passphrases composed of random common words. As a proof-of-concept, we tested the idea with Amazon Mechanical Turk participants by assigning them GPT-2 generated passphrases based on stories they were familiar with. Contrary to expectations, following a spaced repetition schedule, passphrases as natural English sentences, based on familiar vocabulary performed similarly to system-assigned passphrases based on random common words.

研究动机与目标

• 调查基于熟悉自然语言词汇的系统分配口令是否比随机词汇口令更具记忆性。
• 评估使用GPT-2从用户熟悉的故事情节中生成可读、可发音、类似句子的口令对用户回忆表现的影响。
• 评估间隔重复计划在提升系统分配口令长期记忆性方面的有效性。
• 探索利用个人或兴趣相关词汇生成安全、易记口令的可行性，而无需依赖用户自定义的模式。
• 在受控条件下，比较从自然语言（例如故事）中提取的口令与随机常见词汇口令的记忆性。

提出的方法

• 在从三部公共领域作品中提取的精选、用户熟悉的词汇上对GPT-2进行微调：《傲慢与偏见》、《夏洛克·福尔摩斯探案集》和《爱丽丝梦游仙境》。
• 生成系统分配的口令为自然英语句子（5–7个词），反映源故事的句法和词汇特征。
• 通过亚马逊Mechanical Turk平台开展一项包含500名参与者的在线用户研究，采用六轮回忆测试的间隔重复计划。
• 比较基于熟悉故事的口令（自然语言风格）与随机常见词汇口令（4个词，无结构）的回忆表现。
• 通过回忆准确率和回忆口令与分配口令之间的相似度得分（Jaccard指数）衡量成功程度。
• 使用熵和边际猜测攻击指标评估安全性，其中随机口令的熵为30比特，而基于故事的口令熵在14.7至16.8比特之间。

实验结果

研究问题

• RQ1 从熟悉自然语言词汇中生成系统分配口令是否能显著提升用户记忆性，相比随机常见词汇口令？
• RQ2 间隔重复计划在提升基于熟悉故事的系统分配口令长期回忆表现方面有多有效？
• RQ3 由GPT-2基于故事词汇生成的口令在结构和词汇上与自然英语的相似程度如何？
• RQ4 在受控用户研究中，口令长度、词汇熟悉度与回忆表现之间的关系是什么？
• RQ5 GPT-2生成的、基于故事的口令能否在保持足够安全性的同时，实现与随机口令相当的记忆性？

主要发现

• 基于熟悉故事的口令（例如《爱丽丝梦游仙境》、《傲慢与偏见》）在最后一次回忆测试中的成功率达到89.7%，与随机4词口令条件的100%成功率相当。
• 基于故事的口令失败率随时间下降：《爱丽丝梦游仙境》的失败率从第一轮的33.6%降至第六轮的10.29%，表明间隔重复有效提升了回忆能力。
• 对于《爱丽丝梦游仙境》的7词口令，有22个错误回忆的口令Jaccard相似度得分低于0.40，最低为0.24，表明回忆错误形式多样。
• 随机4词口令的熵为30比特，而表现最佳的基于故事的口令（《傲慢与偏见》，5元组）的边际猜测攻击熵为16.8比特，表明其熵较低但可能更具可用性。
• 尽管熵较低，基于故事的口令仍能以与随机口令相当的准确度被回忆，表明即使熵减少，记忆性也未显著下降。
• 研究发现，在间隔重复计划下，自然语言风格的基于故事的口令与随机常见词汇口令在长期回忆表现上无显著差异。