Using Episodic Memory for User Authentication

「秘密の質問」による個人認証を,拡張したと言える個人認証の提案と評価に関する論文 (ACM Trans. on Privacy & Security 2019).
ユーザのライフイベントに関する文章(?)を入力とし,そこから質問と回答を抽出して個人認証とする手法LEPs(Life-Experience Passwords)を提案.システムが質問文と正答を抽出することで,安全性と記憶可能性,回答の再利用防止を可能にする手法とのこと.欠点は操作時間が長くなる点.

Read More

Improving user authentication on mobile devices: a touchscreen graphical password

描画式のGraphical passwordを複数レイヤでの図画に拡張する認証手法とその評価に関する論文(MobileHCI 2013).
提案手法名が”Touchscreen Multi-layered Drawing (TMD)”であるので,手法の内容が類推できると思う.著名な描画式の画像認証にDraw A Secret(DAS)があるが,それの拡張であるといえ,評価についてもDASと比較を行なっている.

Read More

Patterns in the wild: a field study of the usability of pattern and pin-based authentication on mobile devices

携帯端末での利用における暗証番号認証とパターンロック認証の利便性(Usability)について評価を行なった論文 (MobileHCI 2013).
測定値自体は暗証番号の方が良い結果なのだが(操作時間や認証成功率),アンケートによる主観的印象ではパターンロックの方が好まれるという結果になっている.ただし,実験条件には注意を払う必要がある.

Read More

Evaluating Attack and Defense Strategies for Smartphone PIN Shoulder Surfing

暗証番号認証に対する覗き見攻撃について,いくつかの対策手法の安全性を実際に評価した論文(CHI 2018).
覗き見られないよう端末を傾けたり,暗証番号入力に圧力を応用しても覗き見攻撃に対してはあまり防御にならないことを実際に評価した研究.

Read More

SwiPIN: Fast and Secure PIN-Entry on Smartphones

暗証番号認証に色とSwipe操作を組み合わせた個人認証の提案に関する研究(CHI 2015).
覗き見攻撃に対する安全性を向上しつつ,高速入力と簡単操作で既存の暗証番号認証からの移行も容易である.

Read More

See you next time: a model for modern shoulder surfers

個人認証における覗き見攻撃リスクの評価法を提案した論文 (MobileHCI 2016).攻撃モデルは,insiderと著者らは記載しているが,要は「人間が複数回覗き見る」という条件を想定しており,何回覗き見すれば,どの程度の確率で秘密情報の特定に至るか?を導出できるようにする手法である.

Read More

On Multiple Password Interference of Touch Screen Patterns and Text Passwords

「パターンロックを複数個保持」するのと「文字列パスワードを複数個保持」するのでは,どちらの方が記憶保持可能か?という調査を行なった論文(CHI 2016).
3個であればパターンロックの方が良い結果になったとのことだが,個数が増えると有意差はないという結果も示されている.

Read More

How Do We Create a Fantabulous Password?

発音可能で安全なパスワードをどう作成するか,に関する研究論文(WWW 2020).
ポートマントー(Portmanteau)というものが存在することを初めて知った.

Read More

Towards Understanding the Link Between Age and Smartphone Authentication

利用者の年齢とスマートフォンのロック利用状況に関する調査を行なった研究 (CHI 2019).
スマートフォンのロックに関する調査研究はいくつかあるものの,いくつかの点でまだ調査が不十分である.本研究では,ユーザの年齢とスマートフォンのロック機能の利用に関する関係性を134名を対象に二ヶ月間にわたり調査した.
その結果,若年層は生体認証を好む一方で,年配の方は自動ロック(auto locks)に依存する傾向があるなど,年齢に依存した大きな差異が見られることが明らかになった.

Read More

Password management strategies for online accounts

大学生のオンラインアカウントにおけるパスワードの管理方法についての調査を行った論文(SOUPS 2006).
オンラインアカウントの窃取(identity theft)が問題になっている.
特に複数のサービスでパスワードを再利用している場合,その脅威はさらに大きくなる.
我々は49人の学部生を対象に,パスワードの個数と再利用状況について調査した.
その結果,多くのユーザのパスワード個数は3個かそれ以下であり再利用していることが明らかになった.またユーザアカウントの数が増えるほど,再利用率が高くなることが分かった.
また,現在のシステムがパスワード管理においてあまり良い支援方法となっていないことと,Webにおける個人認証とパスワードマネージャの方向性について議論する.

Read More

Measuring password guessability for an entire university

大学の教員や学生が実際に使用しているパスワードの調査を行った論文(CCS 2013).
パスワードの研究は多数あるが,調査に用いられているデータセットが実際に使用されているパスワードデータとは異なるため,本当の意味でのパスワードの特性は未だ理解できているとは言えない.
そこで複雑なパスワードポリシーを課している大学の教員・学生25,000人のSSOパスワードを用いて調査を実施した.調査方法は最新のパスワード推測ツールによるoffline-attackである.
その結果,パスワードの強度とユーザの属性・行動的要因とに有意な相関が見られた.またパスワードの安全性が高いほど,入力エラー率も高くなることが分かった.

Read More

Encountering stronger password requirements: user attitudes and behaviors

パスワードポリシーが変更になった時,ユーザはどう振る舞うか?を調査した論文(SOUPS 2010).
大学の情報システムにおけるパスワードポリシーが変更になった時に調査を実施.パスワードの生成と利用に関する調査と,変更されたポリシーに関する意見を聴取した.調査結果は,技術的観点だけでなく,パスワードポリシー更新に対してユーザがどう振る舞うかも考慮しているため,より良いパスワードポリシーを設計する上で役立つ.

Read More

Fourth-factor authentication: somebody you know

個人認証における知識,所有物,生体情報以外の第4の要素として「social network」を用いる個人認証を提案している論文(CCS 2006).
Social networkとは,つまり「あなたが知っている誰か」についてであり,人間同士による検証において昔から使用されている方法といえる.この論文では,他の個人認証手法が使えなくなった場合の緊急用認証として,人間が介在するアクセス制御の概念構築について探求する.また暗号にかかるセキュリティ要件や,ユーザの振る舞い,ソーシャルエンジニアリングについても検討する.

Read More