[论文解读] Sound-Proof: Usable Two-Factor Authentication Based on Ambient Sound

Nikolaos Karapanos, Claudio Marforio+2 more|arXiv (Cornell University)|Mar 12, 2015

User Authentication and Security Systems参考文献 29被引用 111

一句话总结

Sound-Proof 提出了一种透明、可使用的双因素认证机制，利用环境声音验证用户手机与登录设备之间的物理接近性，从而消除用户与手机的交互。该机制通过 WebRTC 兼容浏览器比较双方设备的音频录音实现，用户研究表明，其可用性显著优于 Google 双重验证，即使在双因素认证非强制的情况下也更受用户青睐。

ABSTRACT

Two-factor authentication protects online accounts even if passwords are leaked. Most users, however, prefer password-only authentication. One reason why two-factor authentication is so unpopular is the extra steps that the user must complete in order to log in. Currently deployed two-factor authentication mechanisms require the user to interact with his phone to, for example, copy a verification code to the browser. Two-factor authentication schemes that eliminate user-phone interaction exist, but require additional software to be deployed. In this paper we propose Sound-Proof, a usable and deployable two-factor authentication mechanism. Sound-Proof does not require interaction between the user and his phone. In Sound-Proof the second authentication factor is the proximity of the user's phone to the device being used to log in. The proximity of the two devices is verified by comparing the ambient noise recorded by their microphones. Audio recording and comparison are transparent to the user, so that the user experience is similar to the one of password-only authentication. Sound-Proof can be easily deployed as it works with current phones and major browsers without plugins. We build a prototype for both Android and iOS. We provide empirical evidence that ambient noise is a robust discriminant to determine the proximity of two devices both indoors and outdoors, and even if the phone is in a pocket or purse. We conduct a user study designed to compare the perceived usability of Sound-Proof with Google 2-Step Verification. Participants ranked Sound-Proof as more usable and the majority would be willing to use Sound-Proof even for scenarios in which two-factor authentication is optional.

研究动机与目标

• 为解决用户因与手机交互而感知到的摩擦，导致双因素认证（2FA）采用率低的问题。
• 设计一种既易于使用又可利用现有硬件和网络标准部署的 2FA 机制，无需用户与手机交互。
• 评估环境声音是否可在不同环境（室内/室外，手机在口袋/包中）下作为可靠的接近性因素。
• 通过真实世界用户研究，比较 Sound-Proof 与成熟 2FA 机制（如 Google 双重验证）在感知可用性方面的差异。
• 证明即使在双因素认证非强制的情况下，用户也更倾向于使用透明的基于接近性的 2FA 系统。

提出的方法

• 系统利用用户手机和登录设备上的麦克风捕获的环境音频，验证物理接近性。
• 通过基于频谱特征的鲁棒相似性度量比较音频录音，该度量设计用于容忍环境噪声和设备异构性。
• 比较过程在手机上执行，由手机判断设备是否共处同一位置，若确认接近则批准登录。
• 整个过程对用户完全透明，登录过程中无需手动操作或与手机交互。
• 原型基于 Android 和 iOS 实现，使用 WebRTC API，确保与所有 HTML5 兼容浏览器的兼容性。
• 系统即使在手机位于口袋或包中，以及在室内和室外环境中均能正常工作。

实验结果

研究问题

• RQ1 环境声音是否可在多样化物理环境中作为可靠且鲁棒的双因素认证接近性因素？
• RQ2 与依赖用户交互的传统 2FA 机制（如 Google 双重验证）相比，透明手机 2FA 机制的感知可用性如何？
• RQ3 在非强制使用双因素认证的情况下，用户采用基于接近性的 2FA 系统的程度如何？
• RQ4 在真实世界条件下，音频相似性技术在区分共处位置与非共处位置设备方面的有效性如何？
• RQ5 该系统是否无需修改现有手机、浏览器或服务器即可部署？

主要发现

• Sound-Proof 使登录过程增加不足 5 秒，显著快于基于代码的 2FA 机制通常所需的约 25 秒。
• 系统在室内和室外环境中均能成功区分共处位置与非共处位置的设备，包括手机处于口袋或包中时。
• 在用户研究中，参与者对 Sound-Proof 的可用性评分显著高于 Google 双重验证，感知易用性差异具有统计学显著性。
• 大多数参与者表示即使在 2FA 非强制的在线服务中也愿意使用 Sound-Proof，表明用户对透明性和简洁性的强烈偏好。
• 该系统完全兼容现有手机和主流浏览器，无需插件或服务器端修改，可立即部署。
• Sound-Proof 所采用的音频相似性方法在设备异构性和环境噪声容忍度方面优于先前方法，尤其在户外场景中表现更优。