La reconnaissance des préférences esthétiques comme facteur d’authentification potentiel

Un nouvel article publié en Israël propose un schéma d’authentification basé sur les préférences esthétiques de l’utilisateur, dans lequel l’utilisateur calibre le système une fois en évaluant des images, générant ainsi un domaine privé de préférences visuelles et conceptuelles de l’individu. Plus tard, l’utilisateur serait invité à faire correspondre ses préférences enregistrées avec de nouveaux ensembles d’images lors de l’authentification.

Des essais d’une implémentation de l’AEbA « gamifiée » – à gauche, l’utilisateur évalue la qualité esthétique d’une image; à droite, un score est signalé à la fin d’une étape de la phase d’application active des essais. Source: https://arxiv.org/ftp/arxiv/papers/2204/2204.05623.pdf

Le système est intitulé Authentification basée sur l’évaluation esthétique (AEbA), et est une soumission à la Conférence technique annuelle USENIX 2022 en Californie en juillet.

L’AEbA a été testé par les chercheurs de l’article sous la forme d’une série de jeux, où les participants devaient former le système et évaluer de nouvelles images qui correspondaient à leurs goûts enregistrés. Un deuxième tour d’essais a examiné la capacité d’un utilisateur à deviner les préférences des autres.

Des images d’exemple de l’article, provenant de pexels.com, adaptées pour une utilisation dans l’AEbA.

Une telle approche peut ne pas convenir à tout le monde, car tout le monde n’a pas un sens esthétique bien développé, mais pourrait servir bien soit comme schéma d’authentification principal pour des exigences de sécurité faible à moyenne, soit comme l’un des choix dans une gamme de méthodes d’authentification à deux facteurs (2FA) possibles.

Cependant, l’idée naissante du système pourrait constituer un point de départ pour des systèmes de défis basés sur l’esthétique plus complexes, car le nombre d’images présentées aux utilisateurs pendant l’authentification pourrait être augmenté par défaut si nécessaire, de la même manière que les défis CAPTCHA peuvent être prolongés en cas de résultats initiaux incertains.

Plus le défi est granulaire et étendu, plus la sécurité qu’une telle approche peut offrir est élevée.

Une échelle de force de mot de passe relative lorsque plusieurs facteurs d’un défi AEbA se multiplient: ‘D’ représente le nombre d’images affichées pendant le défi; Dhr représente le nombre d’images que l’utilisateur est invité à sélectionner; et ‘S’ est le nombre d’écrans (c’est-à-dire les étapes) dans le processus linéaire de sélection esthétique.

En termes de conventions courantes pour l’authentification humaine, l’AEbA intègre des éléments de quelque chose que vous savez (SYK) et quelque chose que vous êtes (SYA), et repose sur trois prémisses: que les choses que nous aimons (telles que représentées dans le domaine visuel) sont facilement distinguables pour nous (conformément à la théorie générale des mnémoniques); que nos goûts esthétiques restent relativement constants; et qu’il y a une différence suffisante dans les goûts des utilisateurs variés pour fournir une distinction non devinable dans les préférences.

Les auteurs suggèrent que la technique pourrait être adaptée dans des cadres d’apprentissage automatique capables de prédire les évaluations individuelles des utilisateurs.

L’article intitulé Beautiful secrets: utiliser des images esthétiques pour authentifier les utilisateurs provient de deux chercheurs de la faculté de génie logiciel et de systèmes d’information de l’Université Ben-Gurion du Néguev à Beersheba.

Le pouvoir des domaines d’images

L’AEbA ne repose pas sur la mémorisation, mais traite plutôt l’utilisateur final comme un système de reconnaissance d’images formé qui a développé une gamme robuste et très spécifique de réponses de plaisir, et se concentre sur ces fortes associations de plaisir.

En essence, l’AEbA repose sur l’équivalent humain des priors abstraits dans les systèmes de vision et de synthèse d’images, qui peuvent transmettre le style et les caractéristiques spécifiques au domaine sans être incarnés dans une image unique et immuable. C’est grâce à l’application de ces priors qu’un réseau antagoniste génératif (GAN) peut être formé pour incorporer un domaine (par exemple, « Van Gogh ») dans la génération d’images entièrement nouvelles.

La nouvelle étude apporte des preuves issues de la littérature antérieure que les images sont plus faciles à mémoriser que les mots, que les images plaisantes sont plus faciles à mémoriser que les images générales, et que l’évaluation active des images (telle que pendant la courte phase de formation de l’AEbA) améliore encore la mémorabilité des images. Des études remontant aux années 1970 ont établi que les humains possèdent une « capacité de stockage massive » pour les images en général, et pour les images précédemment vues, et que notre capacité à incorporer des images dans la mémoire a été démontrée pour dépasser de manière notable notre capacité de mémoire verbale.

Bien que le bon sens suggère que les experts en domaine, tels que les radiologues, seraient les plus sensibles aux images de leur propre domaine, une étude de 2010 a affirmé que la capacité de mémoire pour les images du quotidien est beaucoup plus grande que pour les images spécifiques au domaine, même chez ceux qui ont une spécialité visuelle.

Authentification basée sur les préférences

La notion d’utiliser les préférences comme mécanisme d’authentification est devenue populaire dans deux articles dirigés par Markus Jakobsson du Palo Alto Research Center, à partir de 2008. Cette série de recherches sur l’authentification basée sur les préférences (PBA) a suggéré que la musique, la nourriture, les œuvres d’art et d’autres choses que nous aimons sont ancrées dans nos esprits et alimentées par des motivations internes puissantes.

La PBA a été suggérée à l’origine simplement comme un dispositif pour faciliter la réinitialisation des mots de passe, en utilisant des questions telles que « Aimez-vous la musique country? », et en se concentrant sur les préférences basées sur le texte le long de principes mnémoniques traditionnels, plutôt que sur les entrées visuelles.

Une collaboration ultérieure de Jakobsson en 2012 a substitué le texte à des images:

Une capture d’écran de la phase de calibration / d’enregistrement du projet PBA de Markus Jakobsson en 2012. Source

Cependant, les auteurs notent que ce schéma ne tient pas compte de l’évaluation esthétique des images, mais utilise en fait des images comme des proxys pour des mots ou des concepts. En revanche, l’AEbA cherche à discerner un « domaine de plaisir » spécifique à l’utilisateur qui n’est pas directement lié à des choses ou des activités spécifiques.

Les auteurs de la nouvelle étude observent également qu’il y a des limites pratiques au nombre d’éléments qui peuvent être présentés au spectateur dans l’approche de 2012, alors que le développement d’un modèle plus abstrait de préférences utilisateur supprime ces limites et rend les attaques externes et la mimicry (c’est-à-dire basées sur le phishing, les connaissances personnelles ou d’autres méthodes de subterfuge) beaucoup plus difficiles.

L’idée de mots de passe graphiques est notablement antérieure à ce travail, avec une prolifération de schémas émergeant à la fin des années 1990. Une étude contemporaine examine les PassFaces, où les utilisateurs devaient mémoriser des visages (autres que le leur) plutôt que des mots de passe. Avec cette approche, un infiltrateur potentiel aurait théoriquement besoin d’une connaissance intime exceptionnelle des préférences faciales de l’utilisateur. De plus, l’utilisateur pourrait présumément être invité à sélectionner les mêmes visages au fil du temps pendant la phase d’orientation.

Des essais de PassFaces à l’Université Goldsmiths de Londres à la fin des années 1990, qui ont nécessité que l’utilisateur choisisse et mémorise quatre visages de personnes autres que lui. Le choix initial était basé sur les préférences de l’utilisateur, et dans ce sens, le travail est lié à l’AEbA. Source

Le plus proche de l’AEbA est Déjà vu, qui a présenté aux spectateurs des images d’art aléatoires non nécessairement conçues pour engager la réponse de plaisir, mais plutôt pour utiliser des images choquantes et discordantes pour aider les utilisateurs à mémoriser des images spécifiques qu’ils incorporeraient dans un « portfolio » lors de l’enregistrement initial, et plus tard, ils seraient invités à les reconnaître parmi plusieurs images possibles lors de l’authentification.

Assemblage d’un portfolio d’images « préférées » pour Déjà vu. Source: https://netsec.ethz.ch/publications/papers/usenix.pdf

Comme l’observent les auteurs de la nouvelle étude, cette approche ignore les avantages énoncés dans la littérature neuroesthétique (c’est-à-dire qu’il y a peu de motivation interne pour se connecter à des images possibles qui sont proposées).

En outre, une telle méthode est vulnérable au « shoulder-surfing », où un attaquant proximal (ou MiTM) pourrait avoir l’occasion de voir quelles images sont choisies. En revanche, une mise en œuvre complète de l’AEbA ne répéterait pas d’images précédemment utilisées, ni lors de la formation ni lors des sessions d’authentification.

En outre, l’article note*:

‘L’un des problèmes identifiés dans les mots de passe graphiques est que, comme dans les mots de passe réguliers, les utilisateurs ont tendance à sélectionner des dessins simples, ce qui diminue la variabilité de ces mots de passe et les rend plus sensibles aux attaques adverses. Un autre problème (et peut-être une raison pour le précédent) est l’interférence potentielle si de tels schémas sont utilisés dans plusieurs systèmes, c’est-à-dire que la mémoire d’un mot de passe pour un système gêne la mémoire d’un mot de passe pour un autre système. Ces problèmes sont moins préoccupants lors de la mise en œuvre de l’AEbA, qui repose sur des préférences innées qui ne dépendent pas de comptes spécifiques ou de la mémorisation d’images.’

Les auteurs soulignent également un avantage supplémentaire de l’AEbA: la perception contextuelle. Même si un « shoulder-surfer » ou un attaquant RAT pouvait voir une session d’authentification, il ne saurait pas à quel point les images « non aimées » (c’est-à-dire les images présentées qui sont évaluées faiblement ou rejetées par l’utilisateur pendant l’authentification) sont éloignées de l’image « aimée » – un facteur qui sera différent à chaque fois.

‘Par conséquent, savoir que quelqu’un aime une image ne nous aide pas nécessairement si nous ne savons pas à quel point l’image est aimée par rapport aux autres images de l’ensemble affiché.’

En outre, il est impossible pour un utilisateur de stocker son mot de passe de manière non sécurisée pour des raisons de commodité, telle qu’une note sur un morceau de papier, car son domaine de contenu d’image préféré est extrêmement abstrait et non réductible.

Test de l’AEbA

Les chercheurs ont mis en œuvre le système sous la forme d’un jeu, dans le contexte d’une preuve de concept des prémisses fondamentales du projet, en créant une base de données de 318 images à partir d’un site Web d’images libres pexels.com, et en incluant également des images d’une archive personnelle.

Les photos ont été classées en huit catégories (Univers, Nature, Montagnes, Forêt, Fleurs, Paysages urbains, Littoral et Autre), et les essais ont été divisés en enregistrement (où les images ont été évaluées pour la première fois par les utilisateurs lors d’une session unique de dix minutes), un jeu d’authentification et enfin un jeu adverse (deviner les préférences d’images des autres).

Après avoir éliminé les participants non contributeurs, l’échantillon de convenance (c’est-à-dire le groupe d’essai des participants) a été réduit à 33 joueurs éligibles, composé de 21 femmes et 12 hommes.

Enregistrement

Lors de la phase d’enregistrement, 3722 évaluations ont été obtenues pour 274 images, avec une évaluation moyenne de 6,07, une évaluation médiane de 6, ce qui a donné les valeurs les plus fréquentes 7 et 8. L’image la moins aimée a obtenu un score de 2,32, et l’image la plus aimée a obtenu un score de 8,63.

La distribution des évaluations d’images parmi les meilleurs performers lors des essais.

Les auteurs affirment que les écarts notables vers les valeurs élevées et faibles dans les évaluations d’images, combinés avec la variété de ces gradients à travers la base d’utilisateurs, confirment leur affirmation selon laquelle les utilisateurs sont capables d’appliquer des scores de préférence très différents aux images présentées, sans avoir besoin d’inclure des images manifestement repoussantes ou « hors de distribution ». Il semble que les préférences et les caprices généralement variés à travers même un petit groupe d’utilisateurs soient suffisants pour valider le concept central.

Exemples d’images avec des évaluations d’utilisateurs.

Authentification

Pour le jeu d’authentification, 264 sessions de jeu ont été menées, avec chaque participant complétant le jeu deux fois en moyenne lors de huit sessions. Le taux de réussite moyen était de 76 %.

Graphique en boîte de la distribution des scores de jeu parmi les 33 membres du groupe d’essai, avec des scores moyens indiqués par une ligne noire horizontale en gras, affichant la médiane, les premier et troisième quartiles, avec les minimum, maximum et les valeurs aberrantes.

Bien qu’il y ait eu un « léger déclin » des performances au fil du temps, celui-ci a été fortement réduit parmi les 50 % des meilleurs participants, pratiquement disparu parmi les 11 meilleurs participants (un tiers du groupe final d’utilisateurs).

Jeux adverses

Le composant du jeu adverse a présenté un jeu sans restriction (contrairement à l’enregistrement), et a eu lieu dix jours après le lancement de la phase de jeu. 190 jeux ont été comptabilisés pour les résultats (en excluant les jeux où des problèmes techniques se sont produits). Le nombre moyen de choix adverses corrects était de 2,88, soit un taux de réussite de 36 % équivalent à celui du hasard (en particulier compte tenu du faible nombre d’images dans la base de données). Cependant, dans sept jeux, les contributeurs ont été capables de deviner 75 % ou plus des images correctes.

Conclusion

La méthodologie de test informelle (telle que l’utilisation d’un échantillon de convenance pour les candidats à l’essai) dans l’étude signifie que l’approche représente actuellement une large preuve de concept; une indication naissante que la « capture de domaine » centrée sur l’humain pourrait un jour fournir une méthode d’authentification facile et même agréable qui est difficile à usurper ou à perturber. Il est clair que des essais beaucoup plus rigoureux, avec un plus grand nombre de participants et un scénario d’authentification correctement mis en scène, seraient nécessaires pour établir la valeur de l’AEbA.

Les auteurs concluent:

‘Il serait également intéressant d’étudier le potentiel de l’utilisation de techniques d’apprentissage automatique pour prédire les évaluations individuelles des utilisateurs et pour générer des clés et des leurres que l’utilisateur n’a pas précédemment évalués. Cela pourrait augmenter l’espace des mots de passe en augmentant les pools d’images et la variabilité des utilisateurs individuels.’

* Ma conversion des citations en ligne des auteurs en hyperliens

Publié pour la première fois le 13 avril 2022.