Genkendelse af æstetiske præferencer som en potentiel autentificeringsfaktor

En ny artikel fra Israel har foreslået en autentificeringsmetode baseret på brugernes æstetiske præferencer, hvor brugeren kalibrerer systemet én gang ved at bedømme billeder og derved genererer et privat “domæne” af brugerens visuelle og visuelt/konceptuelle præferencer. Senere skal brugeren udfordres ved autentificeringstidspunktet til at matche deres registrerede præferencer mod nye billedsæt.

Fra prøverne af en ‘spilbaseret’ AEbA-implementering – venstre, brugeren bedømmer den æstetiske kvalitet af et billede; højre, en score signaleres ved slutningen af en fase i den aktive anvendelsesfase af prøverne. Kilde: https://arxiv.org/ftp/arxiv/papers/2204/2204.05623.pdf

Systemet hedder Autentificering baseret på æstetisk evaluering (AEbA), og er en indsendelse til 2022 USENIX Annual Technical Conference i Californien i juli.

AEbA blev testet af artiklens forskere i form af en spilserie, hvor deltagerne skulle træne systemet og derefter bedømme nye billeder, der overensstemmer med deres registrerede smag. En anden runde af tests undersøgte en brugers evne til at gætte andres præferencer.

Fra artiklen – eksempelbilleder, fra pexels.com, egnet til brug i AEbA.

En sådan tilgang kan måske ikke være egnet for alle mennesker, da ikke alle har en veludviklet æstetisk sans, men kan fungere godt enten som en primær autentificeringsmetode for lav-middelhøje sikkerhedsbehov eller som en af flere mulige hjælpefunktioner i to-faktor-autentificering (2FA).

Men den spæde idé om systemet kan danne udgangspunkt for mere komplekse æstetik-baserede udfordringer, da antallet af billeder, der præsenteres for brugere under autentificering, kan skaleres op efter behov, på samme måde som CAPTCHA-udfordringer kan forlænges i tilfælde af usikre første resultater.

Jo mere detaljeret og udvidet udfordringen er, jo højere sikkerhed kan en sådan tilgang tilbyde.

En skala over relativ adgangskode-styrke, når flere faktorer i en AEbA-udfordring multiplikeres: ‘D’ repræsenterer antallet af billeder, der vises under udfordringen; Dhr repræsenterer antallet af billeder, som brugeren skal vælge; og ‘S’ er antallet af skærme (dvs. faser) i den lineære proces for æstetisk udvælgelse.

I forhold til almindelige konventioner for menneskelig autentificering, AEbA inkorporerer elementer af Noget, du ved (SYK) og Noget, du er (SYA), og er baseret på tre præmisser: at ting, vi kan lide (som repræsenteres i den visuelle verden), er lette at skelne for os (i overensstemmelse med den generelle teori om hukommelsesteknikker); vores æstetiske smag forbliver relativt konstant; og at der er tilstrækkelig forskel i smagen hos forskellige brugere til at give en ikke-gættelig forskel i præferencer.

Forfatterne foreslår, at teknikken kunne tilpasses til maskinlæringsrammer, der kan forudsige enkeltbrugeres vurderinger.

Artiklen har titlen Smukke hemmeligheder: brug af æstetiske billeder til at autentificere brugere, og kommer fra to forskere ved Software og Information Systems Engineering-fakultetet ved Ben-Gurion University of the Negev i Beersheba.

Billeddomænernes kraft

AEbA afhænger ikke af memorering, men behandler slutbrugeren som et trænet billedgenkendelsessystem, der har udviklet en robust og meget specifik glædesrespons, og fokuserer på disse meget stærke glædesassociationer.

I essensen afhænger AEbA af det menneskelige ækvivalent til abstrakt forhåndsviden i computersyn og billedsyntesesystemer, der kan overføre stil og domænespecifikke egenskaber uden at være inkorporeret i et enkelt og uforanderligt billede. Det er gennem anvendelsen af sådan forhåndsviden, at et generativt adversarielt netværk (GAN) kan trænes til at inkorporere et domæne (dvs. ‘Van Gogh’) i genereringen af helt nye billeder.

Det nye studie henviser til tidligere forskning, der viser, at billeder er lettere at huske end ord, at behagelige billeder er lettere at huske end almindelige billeder, og at aktiv vurdering af billeder (som under den korte AEbA-træning) forbedrer huskbarheden af billeder endnu mere. Studier fra 1970’erne har fastslået, at mennesker besidder ‘massiv lagringskapacitet’ for billeder i almindelighed, og for tidligere sete billeder, og vores evne til at inkorporere billeder i hukommelsen er vist at klart overgå vores kapacitet for verbal hukommelse.

Selv om det er almindelig sund fornuft, at domæneeksperter, såsom radiologer, ville være mest følsomme over for billeder fra deres eget domæne, har et studie fra 2010 hævdet, at hukommelseskapacitet for hverdagsbilleder er langt større end for domænespecifikke billeder, selv hos personer med en visuel “specialitet”.

Præference-baseret autentificering

Idéen om at udnytte præferencer som en autentificeringsmekanisme kom i fokus i to artikler ledet af Markus Jakobsson fra Palo Alto Research Center, fra 2008 og fremefter. Denne række af forskning om Præference-baseret Autentificering (PBA) foreslog, at musik, mad, kunst og andre ting, vi kan lide, er indarbejdet i vores sind og fødes af kraftfulde interne motiver.

PBA blev oprindeligt foreslået som en hjælp til at facilitere adgangskode-nulstilling, ved hjælp af spørgsmål som “Kan du lide country-musik?”, og fokuserede på tekstbaserede præferencer efter traditionelle mnemoniske principper, snarere end visuel input.

Et senere samarbejde fra Jakobsson i 2012 erstattede tekst med billeder:

Et skærmbillede fra kalibrerings-/registreringsfasen af Markus Jakobsson 2012 PBA-projekt. Kilde

Men forfatterne bemærker, at dette skema ikke tager højde for æstetisk vurdering af billederne, men i stedet bruger billeder som proxyer for ord eller begreber. I modsætning hertil søger AEbA at fastlægge et brugerspecifikt “glædesdomæne”, der ikke er direkte relateret til bestemte ting eller aktiviteter.

Forfatterne af den nye artikel observerer også, at der er praktiske begrænsninger for antallet af elementer, der kan præsenteres for seeren under denne tilgang, hvorimod udviklingen af en mere abstrakt model for brugerpræferencer fjerner disse begrænsninger og gør eksterne angreb og efterligning (f.eks. baseret på phishing, personlig viden eller andre former for bedrag) langt vanskeligere.

Idéen om grafiske adgangskoder er bemærkelsesværdigt ældre end dette arbejde, med en mængde af skemaer, der opstod i slutningen af 1990’erne. Et samtidigt studie overvejer PassFaces, hvor brugere skulle huske ansigter (andre end deres eget) i stedet for adgangskoder. Med denne tilgang ville en potentiel indtrænger teoretisk set skulle have en ekstraordinær intim viden om brugerens ansigtpræferencer. Derudover kunne brugeren forventes at vælge de samme ansigter over tid under orienteringsfasen.

Fra slutningen af 1990’erne, PassFaces-skemaet afprøvet på London’s Goldsmiths University krævede, at brugeren skulle vælge og huske fire ansigter af andre mennesker. Det første valg var baseret på brugerens egen præference, og på denne måde er arbejdet relateret til AEbA.

Det nærmest relaterede til AEbA er Déjà vu, der præsenterede seere for tilfældige kunstbilleder, der ikke nødvendigvis var designet til at engagere glædesresponsen, men brugte i stedet forstyrrende og disharmoniske billeder til at hjælpe brugere med at huske bestemte billeder, som de ville inkorporere i en “portefølje” under den første tilmelding, og senere skulle genkende fra multiple mulige billeder under autentificeringstidspunktet.

Samling af en ‘foretrukken’ billedportefølje til Déjà vu. Kilde: https://netsec.ethz.ch/publications/papers/usenix.pdf

Som forfatterne af den nye artikel observerer, ignorerer denne tilgang fordelene i neuroæstetisk litteratur (dvs. der er lidt intern motivation til at forbinde sig med nogen billeder, der tilbydes).

Derudover er en sådan metode sårbar over for “shoulder-surfing”, hvor en nær (eller MiTM) angriber kan have mulighed for at se, hvilke billeder der vælges. I modsætning hertil ville en fuld implementering af AEbA ikke gentage billeder, der tidligere er blevet brugt enten under træning eller autentificeringssessioner.

Derudover bemærker artiklen*:

‘Et af de problemer, der er identificeret i grafiske adgangskoder, er, at brugere tenderer til at vælge simple tegninger, hvilket reducerer variabiliteten af disse adgangskoder og gør dem mere sårbare over for angreb. Et andet problem (og måske en grund til det foregående) er potentiel interferens, hvis sådanne skemaer bruges i flere systemer, dvs. brugernes hukommelse af en adgangskode til et system kan forstyrre deres hukommelse af en adgangskode til et andet system. Disse problemer er mindre af en bekymring, når AEbA implementeres, som afhænger af indre præferencer, der ikke afhænger af bestemte konti eller huskning af billeder.’

Forfatterne fremhæver også en yderligere fordel ved AEbA: kontekstuel perception. Selv hvis en shoulder-surfer eller RAT-angriber kunne se en autentificeringssession, ville de ikke vide, hvor langt billeder, som brugeren ikke kan lide (dvs. præsenterede billeder, som brugeren vurderer lavt eller afviser under autentificering) er fra det vellidte billede – en faktor, der vil være forskellig hver gang.

‘Følgelig hjælper det ikke nødvendigvis at vide, at nogen kan lide et billede, hvis vi ikke ved, hvor godt brugeren kan lide billedet i forhold til andre billeder i den viste samling.’

Derudover er det umuligt for en bruger at gemme deres adgangskode usikkert til bekvemmelighed, såsom på et stykke papir, fordi deres domæne af foretrukne billedindhold er ekstraordinært abstrakt og ikke-reducerbart.

Test af AEbA

Forskerne implementerede systemet som et spil, i sammenhæng med en proof-of-concept af projektets kernepræmisser, ved at sammensætte en database af 318 billeder fra den gratis billedbank pexels.com, og også inkludere billeder fra en personlig samling.

Billederne blev klassificeret i otte kategorier (Univers, Natur, Bjerge, Skov, Blomster, Bybilleder, Kyst, og Andet), og testene blev inddelt i Tilmelding (hvor billederne blev vurderet af brugerne i en enkelt 10-minutters session), et Autentificeringsspil, og endelig et Adversarialt spil (gætte andres billedpræferencer).

Efter at have sorteret ikke-bidragende deltagere fra, blev bekvemmelighedsudvalget (dvs. testgruppen af deltagere) reduceret til 33 berettigede spillere, bestående af 21 kvinder og 12 mænd.

Tilmelding

I tilmeldingsfasen blev 3722 vurderinger erhvervet for 274 billeder, med en gennemsnitlig vurdering på 6,07, en medianvurdering på 6, med de mest hyppige værdier 7 og 8. Det mindst værdsatte billede fik kun 2,32, og det mest værdsatte 8,63.

Fordelingen af billedvurderinger blandt top-performere i testen.

Forfatterne påstår, at den bemærkelsesværdige skævhed mod høje og lave værdier i billedvurdering, kombineret med variationen af disse graderinger over brugerbasen, bekræfter deres påstand om, at brugere kan anvende meget forskellige vurderinger til præsenterede billeder, uden at der er behov for at inkludere åbenbart frastødende eller “udenfor-distribution” billeder. Det ser ud til, at de generelt varierede indfald og præferencer over selv en lille brugergruppe er nok til at validere den centrale idé.

Eksempelbilleder med forskellige bruger-vurderinger.

Autentificering

For autentificeringsspillet blev 264 spillesessioner gennemført, hvor hver deltager gennemførte spillet to gange over gennemsnitligt otte sessioner. Gennemsnitlig succesrate var 76%.

Box plot-kort over spilvurderingsfordeling blandt de 33 medlemmer af testen, med gennemsnitsvurderinger markeret med sort horisontal linje, viser median, første og tredje kvartiler, med minimum, maksimum og outliers.

Selv om der var en “let nedgang” i præstation over tid, blev denne reduceret betragteligt blandt de øverste 50% af deltagere, og forsvandt næsten blandt de 11 øverste deltagere (en tredjedel af den endelige brugergruppe).

Adversarialt spil

Det adversarielle spil indeholdt ubegrænset spil (i modsætning til tilmelding), og fandt sted ti dage efter lanceringen af spillet. 190 spil blev talt for resultaterne (med undtagelse af spil, hvor tekniske problemer opstod). Gennemsnittet af korrekte valg i angrebsspillet var 2,88, en succesrate på 36 %, der teknisk set er lig med tilfældighed (især når man tager højde for det lave antal billeder i datasættet). Dog var der i syv spil, hvor bidragydere kunne gætte 75% eller mere af de korrekte billeder.

Konklusion

Den afslappede testmetodik (såsom brug af en bekvemmelighedsudvalg til testkandidater) i studiet indikerer, at tilgangen i øjeblikket repræsenterer en bred proof-of-concept; en spæd indikation af, at menneske-centreret “domæne-fangst” en dag kan give en let og endda behagelig metode til autentificering, der er svær for en angriber at overtage eller forstyrre. Det er klart, at langt mere rigorøse tests, med højere antal deltagere og et ordentligt tilrettelagt autentificeringsscenarie, ville være nødvendigt for at etablere værdien af AEbA.

Forfatterne konkluderer:

‘Det ville også være interessant at undersøge potentialet for at bruge maskinlærings-teknikker til at forudsige enkeltbrugeres vurderinger og til at generere rigtige billeder og afledningsbilleder, som brugeren ikke tidligere har vurderet. Dette kunne øge adgangskode-rummet ved at øge enkeltbrugeres billedpuljer og deres variabilitet.’

*Min konvertering af forfatternes inline-citationer til hyperlinks

Først publiceret 13. april 2022.