[论文解读] Prospects for Improving Password Selection

Eryn Ma, Summer Hasama+2 more|arXiv (Cornell University)|Jan 4, 2022

User Authentication and Security Systems被引用 4

一句话总结

本研究将前景理论——特别是参照依赖效应——应用于密码选择，通过将弱密码相对于更强替代方案视为一种损失来改善密码选择。在762名参与者的用户研究中，负面框架提示使25%的用户提升了密码强度，并将弱密码使用率降低了25%，表明损失框架能有效引导用户选择更强的密码。

ABSTRACT

User-chosen passwords remain essential to online security, and yet people continue to choose weak, insecure passwords. In this work, we investigate whether prospect theory, a behavioral model of how people evaluate risk, can provide insights into how users choose passwords and whether it can motivate new designs for password selection mechanisms that will nudge users to select stronger passwords. We ran a user study with 762 participants, and we found that an intervention guided by prospect theory -- which leverages the reference-dependence effect by framing selecting weak passwords as a loss relative to choosing a stronger password -- causes approximately 25% of users to improve the strength of their password (significantly more than alternative interventions) and reduced the final number of weak passwords by approximately 25%. We also evaluate the relation between user behavior and users' mental models of hacking and password attacks. These results provide guidance for designing and implementing account registration mechanisms that will significantly improve the strength of user-selected passwords, thereby leveraging insights from prospect theory to improve the security of systems that use password-based authentication.

研究动机与目标

• 探讨前景理论中的参照依赖效应是否适用于用户密码选择决策。
• 评估将密码强度提升表述为损失是否能有效引导用户选择更强密码。
• 评估用户对网络攻击和密码攻击的心理模型对其在账户注册过程中行为的影响。
• 确定提示语的表述方式（具体 vs. 模糊）是否影响用户加强密码的决策。
• 为密码注册机制提供可操作的设计启示，通过行为引导提升系统整体安全性。

提出的方法

• 开展一项包含762名参与者的用户研究，参与者完成模拟账户注册流程。
• 向选择弱密码或中等强度密码的用户展示一个交互式后续提示，该提示在框架（正面、中性、负面）和表述方式（具体、模糊）上有所不同。
• 采用负面框架，强调选择弱密码相比更强密码会造成安全损失。
• 使用基于字典的方法测量密码强度，以识别常见且弱密码模式。
• 收集后续调查数据，评估用户对网络攻击威胁和密码风险的心理模型。
• 应用统计分析（p值）评估不同框架和表述方式下密码改进率差异的显著性。

实验结果

研究问题

• RQ1 前景理论中的参照依赖效应是否会影响用户在账户创建过程中加强弱密码的决策？
• RQ2 源依赖效应——具体而言，提示语是具体表述还是模糊表述——是否会影响用户加强密码强度的意愿？
• RQ3 用户对网络攻击和密码攻击的心理模型与他们的实际密码选择行为之间有何关联？
• RQ4 基于前景理论的干预措施是否能显著减少在类似真实场景的注册过程中弱密码的选择数量？
• RQ5 损失框架的效果是否在不同用户对密码风险的心理模型下保持一致？

主要发现

• 与中性或正面框架相比，负面框架提示（将弱密码选择视为相对于更强替代方案的损失）显著提高了密码改进率（p < .001）。
• 约25%最初选择弱或中等强度密码的用户，在与负面框架提示互动后提升了密码强度。
• 干预后弱密码的选择数量显著低于初始数量（p = .019），证实了弱密码使用率的可测量降低。
• 源依赖效应未显著影响用户行为，提示语的表述方式（具体 vs. 模糊）对密码改进无显著影响（p = .611）。
• 用户对黑客攻击目标的心理模型与密码选择相关，但密码强度决策在不同心理模型下保持一致。
• 本研究证明，基于前景理论的损失框架是一种强大且合乎伦理的行为引导方式，可有效提升现实系统中的密码安全性。