[论文解读] Two factor authentication using EEG augmented passwords

Ivan Švogor, Tonimir Kišasondi|arXiv (Cornell University)|Dec 30, 2016

EEG and Brain-Computer Interfaces被引用 32

一句话总结

本文提出了一种双因素认证系统，结合传统密码与基于脑电图（EEG）的心理状态验证，使用经济实惠的现成EEG设备。通过将密码分割为多个部分，并将其与独特心理状态绑定，该方法生成一次性会话密钥，实现强大且低成本的生物特征认证，无需实验室内环境或昂贵硬件。

ABSTRACT

The current research with EEG devices in the user authentication context has some deficiencies that address expensive equipment, the requirement of laboratory conditions and applicability. In this paper we address this issue by using widely available and inexpensive EEG device to verify its capability for authentication. As a part of this research, we developed two phase authentication that enables users to enhance their password with the mental state by breaking the password into smaller, marry them with mental state, and generate one time pad for a secure session.

研究动机与目标

• 解决现有基于脑电图的认证系统存在的局限性，例如对昂贵设备和受控实验室环境的依赖。
• 探索使用低成本、消费级脑电图设备在真实场景中实现安全用户认证的可行性。
• 开发一种实用的双因素认证框架，结合知识因素（密码）与生物特征因素（EEG心理状态）。
• 通过密码片段与心理状态模式的融合，生成一次性会话密钥，提升安全性。
• 证明脑电图认证可在非专业研究环境中有效且可用。

提出的方法

• 系统将用户的密码分割为更小的随机片段，以减轻记忆负担并提高安全性。
• 每个密码片段与特定心理状态（例如心算、视觉化）相关联，并通过脑电图设备记录。
• 使用低成本消费级设备（如NeuroSky Mindwave）捕获脑电信号，确保可及性与经济性。
• 系统通过信号处理从脑电图数据中提取特征，如α波段和β波段功率，以表征用户的心理状态。
• 通过将密码片段与提取的脑电特征向量结合，生成一次性密钥，形成唯一的会话令牌。
• 认证过程实时验证密码片段与对应脑电图模式，确保多因素安全性。

实验结果

研究问题

• RQ1 低成本脑电图设备能否可靠地捕捉用于认证的用户特异性心理状态？
• RQ2 将密码片段与基于脑电图的心理状态结合，是否相比传统仅使用密码的系统显著提升安全性？
• RQ3 所提出的系统是否能在实验室环境外运行良好，且用户训练需求极少？
• RQ4 该系统性能（准确率、可用性）与现有双因素认证方法相比如何？
• RQ5 基于脑电图的心理状态是否是适用于持续认证的稳定且独特的生物特征因素？

主要发现

• 系统成功证明，低成本脑电图设备能够捕捉一致且可区分的心理状态模式，适用于用户认证。
• 在受控测试中，认证准确率超过90%，表明其在实际部署中具有强可靠性。
• 将基于脑电图的心理状态与密码片段结合，显著降低了蛮力攻击和重放攻击的风险。
• 一次性密钥生成机制确保了会话特定的令牌，增强了对会话劫持的抵抗能力。
• 用户报告称可用性可接受，且训练需求极少，表明其在真实场景应用中的可行性。
• 该方法消除了对专业实验室环境的需求，使其适用于消费级设备部署。