[论文解读] Two-Factor or not Two-Factor? A Comparative Usability Study of Two-Factor Authentication.

Emiliano De Cristofaro, Honglu Du+2 more|arXiv (Cornell University)|Sep 20, 2013

User Authentication and Security Systems参考文献 29被引用 22

一句话总结

本研究通过219名参与者的调查，评估了三种双因素认证（2F）方法——安全令牌、短信/电子邮件一次性PIN码以及智能手机应用——的可用性。研究发现，2F技术在各种情境和动机下普遍被认为具有可用性，其中易用性、认知努力和可信度成为三个核心可用性因素。

ABSTRACT

Two-factor authentication (2F) aims to enhance resilience of password-based authentication by requiring users to provide an additional authentication factor, e.g., a code generated by a security token. However, it also introduces non-negligible costs for service providers and requires users to carry out additional actions during the authentication process. In this paper, we present an exploratory comparative study of the usability of 2F technologies. First, we conduct a pre-study interview to identify popular technologies as well as contexts and motivations in which they are used. We then present the results of a quantitative study based on a survey completed by 219 Mechanical Turk users, aiming to measure the usability of three popular 2F solutions: codes generated by security tokens, one-time PINs received via email or SMS, and dedicated smartphone apps (e.g., Google Authenticator). We record contexts and motivations, and study their impact on perceived usability. We find that 2F technologies are overall perceived as usable, regardless of motivation and/or context of use. We also present an exploratory factor analysis, highlighting that three metrics -- ease-of-use, required cognitive efforts, and trustworthiness -- are enough to capture key factors affecting 2F usability.

研究动机与目标

• 调查在真实情境中流行的双因素认证（2F）技术的可用性。
• 识别用户采用2F的动机和使用情境。
• 评估情境和动机如何影响用户对2F解决方案可用性的感知。
• 确定塑造用户与2F系统交互体验的关键可用性因素。
• 比较三种广泛使用的2F方法——安全令牌、短信/电子邮件一次性密码和智能手机应用——的相对可用性。

提出的方法

• 通过预研究访谈识别出主流的2F技术和用户情境。
• 在Amazon Mechanical Turk上对219名参与者进行定量调查，以评估可用性。
• 使用自报指标（包括易用性、认知努力和可信度）衡量可用性。
• 应用探索性因子分析，识别2F可用性的潜在维度。
• 收集用户动机和使用情境的数据，以分析其对可用性感知的影响。
• 比较三种2F方法：硬件令牌、基于短信/电子邮件的一次性密码和移动应用（如Google Authenticator）。

实验结果

研究问题

• RQ1 用户在不同情境和动机下如何感知不同双因素认证方法的可用性？
• RQ2 哪些主要因素影响用户对双因素认证可用性的感知？
• RQ3 动机（如安全性、便利性）和使用情境如何影响2F解决方案的感知可用性？
• RQ4 哪些可用性度量最能捕捉双因素认证系统的用户体验？
• RQ5 基于令牌、短信/电子邮件和基于应用的2F方法在感知可用性上是否存在显著差异？

主要发现

• 无论用户动机或使用情境如何，双因素认证技术普遍被认为具有可用性。
• 探索性因子分析揭示，最显著的三个可用性因素为易用性、所需认知努力和可信度。
• 在三种2F方法——安全令牌、短信/电子邮件一次性密码和智能手机应用——之间未发现感知可用性的显著差异。
• 用户对这三种2F方法均表现出高度可信度，感知可靠性方面无显著差异。
• 认知努力是影响可用性感知的最关键因素，尤其对短信和电子邮件解决方案影响更大。
• 使用情境和用户动机并未显著改变任何一种2F方法的整体可用性感知。