[论文解读] Walk-Unlock: Zero-Interaction Authentication Protected with Multi-Modal Gait Biometrics

Babins Shrestha, Manar Mohamed+1 more|arXiv (Cornell University)|May 3, 2016

Gait Recognition and Analysis参考文献 33被引用 9

一句话总结

本文提出 WUZIA，一种零交互认证系统，利用智能手机和智能手表的多模态步态生物特征，在验证设备丢失或被盗时防止未授权访问。通过融合来自两个设备八个传感器的336个特征，WUZIA 实现了近乎完美的检测准确率（0.2% 的假阴性率，0.3% 的假阳性率），显著提升了 ZIA 的安全性，同时未牺牲可用性。

ABSTRACT

Zero-interaction authentication (ZIA) refers to a form of user-transparent login mechanism using which a terminal (e.g., a desktop computer) can be unlocked by the mere proximity of an authentication token (e.g., a smartphone). Given its appealing usability, ZIA has already been deployed in many real-world applications. However, ZIA contains one major security weakness - unauthorized physical access to the token, e.g., during lunch-time or upon theft, allows the attacker to have unfettered access to the terminal. In this paper, we address this gaping vulnerability with ZIA systems by (un)locking the authentication token with the user's walking pattern as she approaches the terminal to access it. Since a user's walking or gait pattern is believed to be unique, only that user (no imposter) would be able to unlock the token to gain access to the terminal in a ZIA session. While walking-based biometrics schemes have been studied in prior literature for other application settings, our main novelty lies in the careful use of: (1) multiple sensors available on the current breed of devices (e.g., accelerometer, gyroscope and magnetometer), and (2) multiple devices carried by the user (in particular, an "in-pocket" smartphone and a "wrist-worn" smartwatch), that all capture unique facets of user's walking pattern. Our contributions are three-fold. First, we introduce, design and implement WUZIA ("Walk-Unlock ZIA"), a multi-modal walking biometrics approach tailored to enhance the security of ZIA systems (still with zero interaction). Second, we demonstrate that WUZIA offers a high degree of detection accuracy, based on multi-sensor and multi-device fusion. Third, we show that WUZIA can resist active attacks that attempt to mimic a user's walking pattern, especially when multiple devices are used.

研究动机与目标

• 为解决零交互认证（ZIA）系统中的关键安全漏洞，即被盗或丢失的验证设备（如智能手机）可被用于完全访问终端。
• 在保留 ZIA 零交互可用性的前提下，引入一种透明的、基于生物特征的访问控制机制。
• 利用多传感器和多设备数据（智能手机和智能手表）构建用户特定的行走模式特征。
• 评估系统在主动模仿攻击下的鲁棒性，特别是当多个设备被使用时。
• 证明可通过设备间和传感器间的步态生物特征融合，实现近乎无误的检测。

提出的方法

• 系统在用户行走时，从口袋中的智能手机和佩戴在手腕上的智能手表收集多传感器数据（加速度计、陀螺仪、磁力计）。
• 从两个设备的八个传感器中提取336个特征，包括时域、频域和统计特征。
• 通过相关性分析进行特征选择，剔除高度相关的特征（|r| < 0.1），仅保留低相关性、具有区分性的特征。
• 训练机器学习分类器（可能为 SVM 或类似算法），基于融合的步态特征区分合法用户与冒充者。
• 系统在启用 ZIA 协议前实时执行步态认证，确保仅合法用户可解锁终端。
• 通过模拟尝试模仿步态模式，评估系统对主动攻击的抵抗能力，特别是当多个设备被用于攻击时。

实验结果

研究问题

• RQ1 能否有效融合智能手机和智能手表的多模态步态生物特征，以增强零交互认证系统的安全性？
• RQ2 在仅使用单个设备与同时使用两个设备的情况下，基于步态的认证检测准确率如何？
• RQ3 当攻击者尝试使用多个设备复制步态模式时，系统对主动模仿攻击的抵抗能力如何？
• RQ4 在多个传感器和设备之间融合特征，能否使错误拒绝率和错误接受率低于可接受阈值？
• RQ5 与仅使用一个设备相比，同时使用智能手机和智能手表是否能显著提升检测性能？

主要发现

• 同时使用智能手机和智能手表可实现近乎完美的检测准确率，假阴性率仅为 0.2%，假阳性率仅为 0.3%。
• 即使在被动攻击下，系统仍保持高准确率，且当两个设备同时使用时，检测性能显著提升。
• 在两个设备上使用多个传感器（加速度计、陀螺仪、磁力计）可捕捉互补的步态特征，增强唯一性和鲁棒性。
• 系统能有效抵抗主动模仿攻击，特别是当攻击者试图通过多个设备同步复制步态模式时，由于多模态信号同步的复杂性，攻击难度显著增加。
• 基于特征间低相关性（|r| < 0.1）的特征选择，显著提升了系统性能，减少了冗余和噪声。
• 结果表明，多设备、多传感器融合对于在 ZIA 系统中实现高安全性和高可用性至关重要。