[论文解读] Q-A: Towards the Solution of Usability-Security Tension in User Authentication

Mahdi Nasrullah Al-Ameen, S M Taiabul Haque+1 more|arXiv (Cornell University)|Jul 27, 2014

User Authentication and Security Systems参考文献 27被引用 4

一句话总结

Q-A 是一种基于认知问题的认证系统，通过让用户输入其对个人问题答案中的特定字母（例如：'你最喜欢的童年老师是谁？'），来增强可用性和安全性，从而无需记忆人工秘密。该系统在一周内实现100%的记忆性，可抵抗侧视攻击和键盘记录器，提供28比特的熵值，非常适合用于在线银行等高安全等级账户。

ABSTRACT

Users often choose passwords that are easy to remember but also easy to guess by attackers. Recent studies have revealed the vulnerability of textual passwords to shoulder surfing and keystroke loggers. It remains a critical challenge in password research to develop an authentication scheme that addresses these security issues, in addition to offering good memorability. Motivated by psychology research on humans' cognitive strengths and weaknesses, we explore the potential of cognitive questions as a way to address the major challenges in user authentication. We design, implement, and evaluate Q-A, a novel cognitive-question-based password system that requires a user to enter the letter at a given position in her answer for each of six personal questions (e.g. "What is the name of your favorite childhood teacher?"). In this scheme, the user does not need to memorize new, artificial information as her authentication secret. Our scheme offers 28 bits of theoretical password space, which has been found sufficient to prevent online brute-force attacks. Q-A is also robust against shoulder surfing and keystroke loggers. We conducted a multi-session in-lab user study to evaluate the usability of Q-A; 100% of users were able to remember their Q-A password over the span of one week, although login times were high. We compared our scheme with random six character passwords and found that login success rate in Q-A was significantly higher. Based on our results, we suggest that Q-A would be most appropriate in contexts that demand high security and where logins occur infrequently (e.g., online bank accounts).

研究动机与目标

• 通过利用人类的认知优势，解决用户认证中的可用性与安全性矛盾。
• 开发一种能够抵抗侧视攻击等观察类攻击（如侧视和键盘记录器）的密码方案。
• 通过使用现有的个人知识而非人工秘密，提升记忆性。
• 确保足够的熵值（28比特），以抵抗在线暴力破解攻击。
• 评估认知问题作为传统文本密码可行替代方案的可行性。

提出的方法

• 用户通过从二十个问题中选择并回答六个个人认知问题来注册，例如：'你最喜欢的高中老师是谁？'
• 在认证过程中，系统一次显示一个问题，并请求用户输入其答案中随机选定位置的字母。
• 系统采用不区分大小写的输入方式，以减少输入错误，并提升移动设备上的可用性。
• 该方案旨在防止对人工秘密的记忆，而是依赖记忆线索通过长期记忆检索实现。
• 系统确保答案不会以明文形式存储；每次认证仅使用随机位置的字母。
• 该方案提供28比特的理论密码空间，足以抵抗在线暴力破解攻击。

实验结果

研究问题

• RQ1 认知问题能否用于构建一种既高度易记又安全的密码系统？
• RQ2 使用个人答案中的字母位置是否能提高对侧视和键盘记录攻击的抵抗能力？
• RQ3 用户在不写下答案的情况下，能否在一星期后可靠地回忆起其答案？
• RQ4 Q-A的登录成功率和登录时间与传统六位随机字符密码相比如何？
• RQ5 在真实场景中，Q-A是否被认为比传统密码方案更安全且更易用？

主要发现

• 100%的参与者在一周后成功回忆起其Q-A密码，证明了其完美的记忆性。
• Q-A在两次回忆测试中的登录成功率均为100%，显著优于六位随机字符密码。
• 仅有9%的参与者表示需要写下Q-A密码，而对照组中该比例为46%。
• 由于每次仅输入一个字母，该系统对侧视和击键记录攻击具有强抵抗力。
• 参与者强烈倾向于在高安全场景（如网上银行和电子商务）中使用Q-A。
• 初始登录时间较长，但研究认为随着重复使用，登录时间可能下降。