[论文解读] Towards Making Random Passwords Memorable: Leveraging Users' Cognitive Ability Through Multiple Cues

Mahdi Nasrullah Al-Ameen, Matthew Wright+1 more|arXiv (Cornell University)|Mar 8, 2015

User Authentication and Security Systems参考文献 45被引用 10

一句话总结

CuedR 是一种新颖的提示识别认证方案，通过利用视觉、语言和空间提示，提升系统分配的随机密码的记忆性。在实验室研究中，37名参与者在注册后一周内均能在三次尝试内成功登录，实现100%的回忆率，平均登录时间为38.0秒。

ABSTRACT

Given the choice, users produce passwords reflecting common strategies and patterns that ease recall but offer uncertain and often weak security. System-assigned passwords provide measurable security but suffer from poor memorability. To address this usability-security tension, we argue that systems should assign random passwords but also help with memorization and recall. We investigate the feasibility of this approach with CuedR, a novel cued-recognition authentication scheme that provides users with multiple cues (visual, verbal, and spatial) and lets them choose the cues that best fit their learning process for later recognition of system-assigned keywords. In our lab study, all 37 of our participants could log in within three attempts one week after registration (mean login time: 38.0 seconds). A pilot study on using multiple CuedR passwords also showed 100% recall within three attempts. Based on our results, we suggest appropriate applications for CuedR, such as financial and e-commerce accounts.

研究动机与目标

• 通过提升系统分配的随机密码的记忆性，缓解密码系统中的可用性与安全性矛盾。
• 克服传统用户自选密码的局限性，后者往往具有可预测性且不安全。
• 减少对用户生成密码的依赖，以避免密码复用和弱安全性问题。
• 探索多种认知提示如何提升长期记忆认证凭证的效果。
• 设计一种支持多种学习风格的多模态提示（视觉、语言、空间）系统。

提出的方法

• 从不同主题的资料库（如动物、水果、交通工具）中为用户分配六个随机关键词，每个主题包含26个唯一项目。
• 提供视觉提示（关键词的图像）、语言提示（每个关键词的编号和短语）以及空间提示（登录界面上固定的显示位置）。
• 在登录时使用提示识别机制，用户通过组合提示从一组选项中选择正确的关键词。
• 实现一个登录界面，以表格形式展示每个关键词的提示信息：图像、编号、短语和位置。
• 设计系统以支持登录过程中响应的多种变体，以抵御肩窥和键盘记录攻击。
• 基于记忆的认知理论，特别是精细编码理论，促进工作记忆向长期记忆的转移。

实验结果

研究问题

• RQ1 多模态提示系统（视觉、语言、空间）是否能显著提升系统分配的随机密码的记忆性？
• RQ2 在类似真实场景的环境中，多种提示的引入如何影响登录时间和用户满意度？
• RQ3 不同学习风格的用户在多大程度上能有效使用 CuedR 进行认证？
• RQ4 使用提示的系统分配随机密码是否比现有系统分配或用户自选方案带来更高的回忆率？
• RQ5 CuedR 在多个密码和重复登录会话中的表现如何扩展？

主要发现

• 在单密码研究中，37名参与者在注册后一周内均能在三次尝试内成功登录，实现100%的回忆率。
• 平均登录时间为38.0秒，尽管高于传统文本密码，但参与者认为该时间可接受。
• 84%的参与者表示愿意在现实生活中使用 CuedR 替代传统文本密码。
• 参与者对 CuedR 的安全性和可用性表示高度满意，表明用户接受度高。
• 由于登录过程中响应模式的多样性，该方案对观察攻击表现出良好的抗性。
• 针对多 CuedR 密码的试点研究也实现了三次尝试内100%的回忆率，支持其在多密码使用场景下的可扩展性。