[论文解读] TouchIn: Sightless Two-factor Authentication on Multi-touch Mobile Devices

Jingchao Sun, Rui Zhang+2 more|arXiv (Cornell University)|Feb 6, 2014

User Authentication and Security Systems参考文献 22被引用 6

一句话总结

TouchIn 是一种针对多点触控移动设备的无视觉两步验证系统，利用用户绘制曲线的几何特征与行为特征实现安全、易用且无障碍的认证。其单条曲线密码的真正阳性率为 97.5%，假阳性率为 2.3%，有效抵御侧视攻击与指纹残留攻击，同时支持视障用户使用。

ABSTRACT

Mobile authentication is indispensable for preventing unauthorized access to multi-touch mobile devices. Existing mobile authentication techniques are often cumbersome to use and also vulnerable to shoulder-surfing and smudge attacks. This paper focuses on designing, implementing, and evaluating TouchIn, a two-factor authentication system on multi-touch mobile devices. TouchIn works by letting a user draw on the touchscreen with one or multiple fingers to unlock his mobile device, and the user is authenticated based on the geometric properties of his drawn curves as well as his behavioral and physiological characteristics. TouchIn allows the user to draw on arbitrary regions on the touchscreen without looking at it. This nice sightless feature makes TouchIn very easy to use and also robust to shoulder-surfing and smudge attacks. Comprehensive experiments on Android devices confirm the high security and usability of TouchIn.

研究动机与目标

• 解决现有移动认证方法的局限性，包括易用性问题、易受侧视攻击和指纹残留攻击的影响，以及对视障用户不友好等问题。
• 设计一种两步认证系统，结合用户自定义的几何曲线（你所知道的）与行为及生理特征（你所拥有的），以提升安全性。
• 实现并评估一种无需视觉反馈的认证机制，使用户可在不看屏幕的情况下绘制密码，从而提升可访问性与隐私保护。
• 在如 Google Nexus 7 等多点触控设备上，于真实环境中展示高准确率与低错误率。

提出的方法

• 在注册阶段，用户使用一个或多个手指在触摸屏上绘制任意曲线，系统提取几何特征（x/y 坐标、方向、曲率）以及行为/生理特征（速度、加速度、压力、手部几何特征）。
• 系统将认证过程建模为一个加权优化问题，利用机器学习将多种特征整合为一个鲁棒的模板。
• 在认证阶段，从用户输入中提取候选模板，并使用动态时间规整（DTW）进行曲线匹配，与存储的模板进行比较。
• 系统在九种曲线特征上计算 DTW 距离，并采用基于阈值的决策机制来接受或拒绝认证请求。
• 该方法支持单条与多条曲线密码，验证时间随曲线数量线性增长。
• 注册过程仅需执行一次，且可卸载至可信服务器，以减少设备端计算开销。

实验结果

研究问题

• RQ1 无视觉、基于手势的认证系统能否在保持高准确率与易用性的同时，有效抵御常见攻击（如侧视攻击与指纹残留攻击）？
• RQ2 几何曲线特征与行为/生理特征的结合，在区分合法用户与攻击者方面有多高效？
• RQ3 当用户在无视觉反馈条件下进行认证时，系统在多大程度上仍能保持高性能，特别是对视障用户而言？
• RQ4 与现有无视觉或双因素认证方案相比，该系统在真正阳性率与假阳性率方面的表现如何？

主要发现

• TouchIn 在单条曲线认证中实现了 97.5% 的真正阳性率与 2.3% 的假阳性率，在多条曲线认证中分别达到 99.3% 与 2.2%。
• 系统在 97.7% 的未授权访问尝试中成功阻止了攻击，表明对侧视攻击具有强抵抗力。
• 在可用性研究中，97.5% 的授权用户被正确识别，97.8% 的未授权尝试被拒绝。
• 多条曲线认证的平均验证时间低于 900 毫秒，特征提取与分类耗时不足 1 毫秒。
• 用户认为 TouchIn 易于使用，并更偏好于 PIN 和 Android 图案锁，平均可用性评分为 4.4 至 4.6（满分 5 分）。
• 与 PassChords 相比，TouchIn 在准确率与抗侧视攻击能力方面表现更优，80% 的攻击者在仅观察一次后无法复制手势。