[论文解读] Secure Pick Up: Implicit Authentication When You Start Using the Smartphone

Wei‐Han Lee, Xiaochen Liu+3 more|arXiv (Cornell University)|Aug 30, 2017

User Authentication and Security Systems参考文献 1被引用 5

一句话总结

该论文提出了一种轻量级、设备内、非侵入式的隐式认证系统——Secure Pick Up（SPU），利用智能手机的加速度计和陀螺仪数据，基于用户独特的手机拾取动作模式进行身份识别。SPU通过一种新颖的加权多维动态时间规整（DTW）算法，实现了仅2.4ms的延迟和96.3%的认证准确率，同时将显式认证需求减少了32.9%。该系统支持自动、设备内学习，无需外部服务器或大规模训练数据集。

ABSTRACT

We propose Secure Pick Up (SPU), a convenient, lightweight, in-device, non-intrusive and automatic-learning system for smartphone user authentication. Operating in the background, our system implicitly observes users' phone pick-up movements, the way they bend their arms when they pick up a smartphone to interact with the device, to authenticate the users. Our SPU outperforms the state-of-the-art implicit authentication mechanisms in three main aspects: 1) SPU automatically learns the user's behavioral pattern without requiring a large amount of training data (especially those of other users) as previous methods did, making it more deployable. Towards this end, we propose a weighted multi-dimensional Dynamic Time Warping (DTW) algorithm to effectively quantify similarities between users' pick-up movements; 2) SPU does not rely on a remote server for providing further computational power, making SPU efficient and usable even without network access; and 3) our system can adaptively update a user's authentication model to accommodate user's behavioral drift over time with negligible overhead. Through extensive experiments on real world datasets, we demonstrate that SPU can achieve authentication accuracy up to 96.3% with a very low latency of 2.4 milliseconds. It reduces the number of times a user has to do explicit authentication by 32.9%, while effectively defending against various attacks.

研究动机与目标

• 设计一种便捷、轻量且安全的认证机制，通过最小化智能手机上的显式认证步骤来减轻用户负担。
• 解决现有基于行为的系统存在的局限性，如需要大规模训练数据集、依赖远程计算或对用户行为施加严格限制。
• 实现在设备内自动学习用户特定的拾取动作模式，无需依赖外部服务器或他人敏感数据。
• 通过极低计算开销的增量学习机制，长期适应用户行为漂移，保障系统长期可用性。
• 提供一种实用且可部署的解决方案，提升真实智能手机环境下的安全性和可用性。

提出的方法

• SPU在用户自然拾取手机的过程中采集原始的3D加速度计和陀螺仪数据，捕捉动态运动轨迹。
• 采用加权多维动态时间规整（DTW）算法，计算新拾取信号与用户存储的行为特征之间的相似度，同时考虑时间与空间上的变化。
• 系统通过自监督过程自动学习用户独特的动作模式，无需标注训练数据或依赖其他用户输入。
• SPU在设备本地完成所有计算，消除对远程服务器的依赖，确保隐私保护和离线可用性。
• 系统通过增量学习方式随时间自适应更新用户模型，以应对行为漂移，性能开销可忽略不计。
• 采用基于阈值的决策机制，仅当相似度得分低于置信阈值时才触发显式认证，最大限度减少用户干扰。

实验结果

研究问题

• RQ1 能否仅通过用户自然的手机拾取动作，在无需显式训练或外部计算的情况下，实现高精度的隐式认证？
• RQ2 与现有方法相比，加权多维DTW方法在基于用户独特拾取动态特征区分身份方面效果如何？
• RQ3 在保持安全性和低延迟的前提下，设备内自学习系统能在多大程度上减少显式认证需求？
• RQ4 系统能否在无需重新训练或显著资源开销的情况下，适应用户长期的行为漂移？
• RQ5 在真实场景中，SPU对常见欺骗攻击（如重放攻击和机器人攻击）的防御能力如何？

主要发现

• SPU在真实世界数据集上实现了96.3%的峰值认证准确率，显著优于当前最先进的隐式认证系统。
• 系统延迟仅为2.4毫秒，适用于设备解锁过程中的实时、无缝认证。
• 与仅依赖密码或生物识别的系统相比，SPU将所需显式认证操作次数减少了32.9%。
• 系统平均仅增加2%的功耗，表明其在移动设备上具有可忽略的性能开销。
• 由于动作模式的独特性和复杂性，SPU能有效防御各类欺骗攻击，包括重放攻击和机器人攻击。
• 通过增量模型更新，系统能成功适应用户长期的行为漂移，维持高准确率，且无需重新训练或用户干预。