Nakreslete tajemství - Draw a Secret

Nakreslete tajemství (DAS) je grafický Heslo vstupní schéma vyvinuté Ian Jermyn, Alain Mayer, Fabian Monrose, Michael K. Reiter a Aviel D. Rubin a prezentovány v příspěvku na 8. USENIX Security Symposium v ​​srpnu 1999.[1]

Schéma nahrazuje alfanumerické řetězce hesel s obrázkem nakresleným na mřížce. Místo zadávání alfanumerického hesla umožňuje tato metoda ověřování uživatelům používat sadu gesta nakreslený na mřížce k ověření. Výkres uživatele je namapován na mřížku, ve které je v pořadí zaznamenáno pořadí dvojic souřadnic použitých k nakreslení hesla. Nové souřadnice se vloží do zaznamenané sekvence „hesla“, když uživatel ukončí jeden tah (pohyb stisknutí dolů na obrazovce nebo myši pro zahájení kreslení, následovaný vypnutím stylusu nebo myši pro vytvoření čáry nebo tvaru) a začne další na mřížka.

Přehled

V DAS je heslo obrázek nakreslený ve volné formě na mřížce o velikosti N x N. Každá buňka mřížky je označena dvourozměrnými diskrétními souřadnicemi (x, y) ∈ [1, N] × [1, N]. Dokončený výkres, tj. Tajemství, je zakódován jako seřazená sekvence buněk, které uživatel překročí při konstrukci tajemství.[2]

Převládajícím argumentem ve prospěch grafických nad alfanumerickými hesly je použití Efekt nadřazenosti obrazu který popisuje zlepšený výkon lidské mysli při vyvolávání obrazů a objektů přes řetězce textu. Tento efekt se využívá prostřednictvím DAS, protože složité kresby si lidská mysl zapamatuje méně obtížně než dlouhý řetězec alfanumerických znaků. To umožňuje uživateli relativně snadno zadávat silnější a bezpečnější sekvence prostřednictvím grafických schémat zadávání hesel než konvenční zadávání textu.

Variace

Pozadí nakreslit tajemství (BDAS)

Tato variace původního schématu DAS má zlepšit jak bezpečnost schématu, tak snadnost ověření uživatelem. Stejná mřížka se používá jako původní Draw a Secret, ale obrázek pozadí se jednoduše zobrazí přes mřížku. Obrázek na pozadí pomáhá při rekonstrukci obtížně zapamatovatelných hesel. Důvodem je, že při použití původního systému si uživatel musí nejen pamatovat tahy spojené s heslem, ale také buňky mřížky, kterými tahy procházejí. To může představovat potíže, protože všechny buňky mřížky jsou podobné a nemají žádnou jedinečnost. S BDAS si uživatel může vybrat obrázek, který umístí přes mřížku a který má jedinečné vlastnosti, které napomáhají správnému umístění výkresu.

Studie provedená na univerzitě v Newcastlu ukázala, že s obrázkem na pozadí měli účastníci studie tendenci vytvářet složitější fráze (např. S ​​větší délkou nebo počtem zdvihů) než jiné, které používaly DAS, ačkoli míra odvolání po jednom týdenní období ukázalo téměř identické procento účastníků, kteří měli schopnost vyvolat sekvence DAS přes sekvence BDAS.[2]

Rotační Draw a Secret (R-DAS)

R-DAS je variace původního systému Draw a Secret, kdy je uživateli povoleno otáčet kreslicí mřížku buď mezi tahy v sekvenci, nebo po zadání celé sekvence a nakreslení „tajemství“. Po provedení jedné rotace jsou všechny následující rotace ve stejném směru, aniž by mezi nimi byla opačná rotace, považovány za jednu rotaci.[3]

Níže je uveden příklad přidané síly hesla:[3]

Pokud je původní heslo zadáno následujícím způsobem (prezentováno jako posloupnost tahů mřížkou):

(1,1)(2,1)(3,1)(4,1)(5,1)(6)(5,1)(5,2)(5,3)(5,4)(5,5)(6)(1,1)(1,2)(1,3)(1,4)(1,5)(6)(3,1)(3,2)(3,3)(6)

S R-DAS lze pro zvýšení zabezpečení vložit více směrových změn:

(1,1)(2,1)(3,1)(4,1)(5,1)(6) (-90) (5,1)(5,2)(5,3)(5,4)(5,5)(6) (+90) (-45) (1,1)(1,2)(1,3)(1,4)(1,5)(6) (+225) (3,1)(3,2)(3,3)(6) (+180)

Problémy se zabezpečením

Více přijímaných hesel

Kódování konkrétního tajemství má vztah jedna k mnoha s možnými výkresy, které může představovat, což znamená, že více než jeden výkres může být ve skutečnosti přijat jako úspěšná autentizace uživatele.[2] To platí zejména u malého počtu buněk v mřížce N x N.

Chcete-li tento problém vyřešit, do mřížky lze zahrnout více buněk. Díky tomu je obtížnější procházet všemi buňkami potřebnými pro splnění sekvence hesel. Náklady na toto přidané zabezpečení zvyšují obtížnost reprodukce hesla skutečným uživatelem. Čím více buněk je v mřížce, tím přesnější musí být uživatel při zadávání hesla, aby mohl procházet všechny požadované buňky ve správném pořadí.

Grafický slovník útoky

Pomocí běžných „hotspotů“ nebo „bodů zájmu“ v mřížce nebo na pozadí lze zahájit grafický slovníkový útok za účelem uhodnutí hesel uživatelů.[4] Jiné faktory, jako jsou podobné tvary a objekty na obrázku na pozadí, také tvoří chyby zabezpečení „pořadí objednávek“, protože tyto tvary mohou být seskupeny dohromady a použity v sekvenci.[5]Tyto útoky jsou mnohem častější u variace pozadí Draw a Secret, protože využívá obrázek, který lze použít k využití výše popsaných chyb zabezpečení. Studie z roku 2013[6] také ukázal, že uživatelé mají tendenci procházet podobnými procesy výběru hesla na různých obrázcích na pozadí.

Útoky na procházení ramen

Tuto formu útoku iniciuje náhodný divák, který sleduje, jak uživatel zadává své heslo. Tento útok je přítomen ve většině vstupních schémat pro ověřování, ale schémata DAS jsou obzvláště zranitelná, protože tahy uživatelů se zobrazují na obrazovce, aby je všichni viděli, na rozdíl od alfanumerického zadávání textu, kde se zadané znaky ve skutečnosti nezobrazují na obrazovce.

Pro ochranu systémů DAS a BDAS před útoky na surfování přes rameno byly navrženy tři techniky:[7]

  1. Decoy Strokes - použití úderů, které jsou zadávány jednoduše proto, aby zmátly potenciální diváky, mohou být odlišeny barvami zvolenými uživatelem.[7]
  2. Mizející tahy - každý tah je po zadání uživatelem odstraněn z obrazovky.[7]
  3. Line Snaking - rozšíření metody mizejících tahů, kdy krátce po zahájení mrtvice začne krátce poté mizet konec mrtvice, což vypadá jako „hadí čára“[7]

Implementace

Počáteční implementace DAS byla na PDA (Osobní digitální asistent ). Nedávno s vydáním Windows 8 „Microsoft zahrnul možnost přepnutí na„ obrázkové heslo “. Jedná se v podstatě o implementaci BDAS (protože vyžaduje volbu obrázku na pozadí), ale je omezena pouze na sekvenci tří gest pro nastavení hesla snižující skutečné zabezpečení, které BDAS poskytuje přes běžná alfanumerická hesla.[8]

Reference

  1. ^ Jermyn, Ian; Alain Mayer; Fabian Monrose; Michael K. Reiter; Aviel D. Rubin (1999). Návrh a analýza grafických hesel.
  2. ^ A b C Dunphy, Paul; Yan, Jeffe. „Vylepšují obrázky na pozadí grafická hesla„ Nakreslete tajemství “?“ (PDF). Archivovány od originál (PDF) dne 2010-02-15. Citovat deník vyžaduje | deník = (Pomoc)
  3. ^ A b Chakrabarti, Saikat; Landon, George; Singhal, Mukesh. „GRAFICKÁ HESLA: KRESLENÍ TAJEMSTVÍ S OTÁČENÍM JAKO NOVÝ STUPEŇ SVOBODY“ (PDF). Citovat deník vyžaduje | deník = (Pomoc)
  4. ^ Thorpe, Julie; P.C. van Oorschot. „Lidské útoky a využívání hot-spotů v grafických heslech“ (PDF). Citovat deník vyžaduje | deník = (Pomoc)
  5. ^ Oorschot, Van; Thorpe, Julie. „Využití předvídatelnosti v grafických heslech založených na kliknutí“ (PDF). Citovat deník vyžaduje | deník = (Pomoc)
  6. ^ Zhao, Ziming; Ahn, Gail-Joon; Seo, Jeong-Jin; Hu, Hongxin. „O zabezpečení ověřování gesty obrázků“ (PDF). Citovat deník vyžaduje | deník = (Pomoc)
  7. ^ A b C d Zakaria, Nur Haryani; Griffiths, David; Brostoff Sacha; Yan Jeff. „Obrana procházení ramen pro grafická hesla založená na vyvolání“ (PDF). Citovat deník vyžaduje | deník = (Pomoc)
  8. ^ Msgstr "Přihlásit se pomocí hesla pro obrázek". Chybějící nebo prázdný | url = (Pomoc)