[论文解读] What's in Score for Website Users: A Data-driven Long-term Study on Risk-based Authentication Characteristics

Stephan Wiefling, Markus Dürmuth+1 more|arXiv (Cornell University)|Jan 26, 2021

User Authentication and Security Systems参考文献 33被引用 21

一句话总结

本文基于真实在线服务中780名用户的1.8年登录数据，对基于风险的认证（RBA）进行了长期、数据驱动的分析。评估了两种RBA模型——SIMPLE和EXTEND，表明通过精心选择的特征（包括一种新型基于RTT的特征），可在对合法用户造成低误重新认证率的前提下，实现超过99.45%的针对性攻击检测率。

ABSTRACT

Risk-based authentication (RBA) aims to strengthen password-based authentication rather than replacing it. RBA does this by monitoring and recording additional features during the login process. If feature values at login time differ significantly from those observed before, RBA requests an additional proof of identification. Although RBA is recommended in the NIST digital identity guidelines, it has so far been used almost exclusively by major online services. This is partly due to a lack of open knowledge and implementations that would allow any service provider to roll out RBA protection to its users. To close this gap, we provide a first in-depth analysis of RBA characteristics in a practical deployment. We observed N=780 users with 247 unique features on a real-world online service for over 1.8 years. Based on our collected data set, we provide (i) a behavior analysis of two RBA implementations that were apparently used by major online services in the wild, (ii) a benchmark of the features to extract a subset that is most suitable for RBA use, (iii) a new feature that has not been used in RBA before, and (iv) factors which have a significant effect on RBA performance. Our results show that RBA needs to be carefully tailored to each online service, as even small configuration adjustments can greatly impact RBA's security and usability properties. We provide insights on the selection of features, their weightings, and the risk classification in order to benefit from RBA after a minimum number of login attempts.

研究动机与目标

• 通过分析真实部署特性，填补现有关于RBA配置知识的空白。
• 评估不同RBA特征集与配置在实际应用中对安全性和可用性的影响。
• 识别出对RBA最有效的特征，并提出一种此前未使用过的新型特征（RTT）用于检测。
• 为服务提供商提供可操作的建议，以实现安全性和可用性之间的最佳平衡。

提出的方法

• 收集并分析了真实在线服务中780名用户的1.8年登录数据，涵盖247种不同的认证特征。
• 实现了两种RBA模型并进行评估：SIMPLE（基于OpenAM）和EXTEND（受Freeman等人工作启发，并被Google/Amazon/LinkedIn使用）。
• 使用EXTEND模型的概率风险评分公式：$ S_u(x) = \prod_{k=1}^d \left( \frac{p(x_k)}{p(x_k|u,\text{legitimate})} \right) \cdot \frac{p(u|\text{attack})}{p(u|\text{legitimate})} $，对未见值采用线性插值。
• 将特征细分为子特征（例如，IP → ASN和国家；用户代理 → 浏览器/操作系统和设备类型），并为每个子特征分配独立权重。
• 对特征集的性能、安全性、可用性及计算成本和可扩展性进行了基准测试。
• 提出并测试了一项新型特征——往返时间（RTT），用于检测使用SOCKS5代理的攻击。

实验结果

研究问题

• RQ1 RQ1：RBA多频繁地请求重新认证？需要多少登录会话才能实现稳定的RBA配置？
• RQ2 RQ2：哪些特征对安全性最有效？应如何组合？不同组合在合法用户中触发重新认证的频率如何？
• RQ3 RQ3：不同RBA配置在可扩展性、成本效益和认证速度方面的表现如何？

主要发现

• EXTEND模型在对合法用户保持低重新认证率的同时，实现了超过99.45%的针对性攻击检测率。
• IP地址仍是关键特征，但其有效性在与ASN和国家等子特征结合后显著提升。
• 新型RTT（往返时间）特征在检测使用SOCKS5代理的攻击（尤其是伪造地理位置的攻击）方面表现极为有效。
• 应极其谨慎地使用Cookie，因为被盗的Cookie与被盗凭证结合可能错误地验证登录尝试。
• 即使微小的配置更改（如特征集或访问阈值）也会显著改变RBA的安全性和可用性结果。
• 在收集的247个特征中，仅一小部分（如IP、RTT、设备类型）对RBA性能有实质性贡献；许多特征无效或不可靠。