Esthetische voorkeursherkenning als een potentieel authenticatiefactor

Een nieuw onderzoeksrapport uit Israël heeft een authenticatiesysteem voorgesteld dat gebaseerd is op de esthetische voorkeuren van een gebruiker, waarbij de gebruiker het systeem eenmalig kalibreert door afbeeldingen te beoordelen, waardoor een privé ‘domein’ van de visuele en visueel/conceptuele voorkeuren van die persoon wordt gegenereerd. Later zou de gebruiker worden uitgedaagd om tijdens de authenticatie zijn opgenomen voorkeuren te matchen met nieuwe afbeeldingssets.

Uit de proeven van een ‘game-ized’ AEbA-implementatie – links, de gebruiker beoordeelt de esthetische kwaliteit van een afbeelding; rechts, een score wordt getoond aan het einde van een fase in de actieve toepassingsfase van de proeven. Bron: https://arxiv.org/ftp/arxiv/papers/2204/2204.05623.pdf

Het systeem heet Esthetische Evaluatie-gebaseerde Authenticatie (AEbA), en is een bijdrage aan de 2022 USENIX Annual Technical Conference in Californië in juli.

AEbA werd getest door de onderzoekers in de vorm van een reeks spellen, waarbij deelnemers het systeem moesten trainen en vervolgens nieuwe afbeeldingen moesten beoordelen die overeenkwamen met hun geregistreerde smaak. Een tweede ronde tests onderzocht de mogelijkheid van een gebruiker om de voorkeuren van anderen te raden.

Uit het rapport – voorbeeldafbeeldingen van pexels.com, geschikt voor gebruik in AEbA.

Een dergelijke benadering kan niet geschikt zijn voor alle mensen, aangezien niet iedereen een goed ontwikkelde esthetische gevoeligheid heeft, maar kan dienen als een primaire authenticatieschema voor lage tot middelmatige beveiligingsvereisten, of als een van de opties in een reeks mogelijke aanvullende methoden in tweefactorauthenticatie (2FA).

De nieuwe studie stelt echter dat het idee van het systeem een startpunt kan vormen voor meer complexe esthetiek-gebaseerde uitdagingssystemen, aangezien het aantal afbeeldingen dat aan gebruikers wordt getoond tijdens de authenticatie kan worden opgeschaald naar behoefte, op een manier die vergelijkbaar is met de manier waarop CAPTCHA-uitdagingen kunnen worden verlengd in het geval van onzekere eerste resultaten.

Hoe gedetailleerder en uitgebreider de uitdaging, hoe hoger de beveiliging die een dergelijke benadering kan bieden.

Een schaal van relatieve wachtwoordsterkte wanneer meerdere factoren van een AEbA-uitdaging worden vermenigvuldigd: ‘D’ vertegenwoordigt het aantal afbeeldingen dat tijdens de uitdaging wordt getoond; Dhr vertegenwoordigt het aantal afbeeldingen dat de gebruiker moet selecteren; en ‘S’ is het aantal schermen (d.w.z. fasen) in het lineaire proces van esthetische selectie.

In termen van gemeenschappelijke conventies voor menselijke authenticatie, omvat AEbA elementen van Iets dat je weet (SYK) en Iets dat je bent (SYA), en is gebaseerd op drie premissen: dat dingen die we leuk vinden (zoals weergegeven in het visuele domein) gemakkelijk te onderscheiden zijn voor ons (in overeenstemming met de algemene theorie van mnemonics); onze esthetische smaak blijft relatief consistent; en dat er voldoende verschil is in de smaak van verschillende gebruikers om een niet-guessable onderscheid in voorkeuren te bieden.

De auteurs suggereren dat de techniek kan worden aangepast aan machine learning-kaders die in staat zijn om individuele gebruikersbeoordelingen te voorspellen.

Het rapport heet Mooie geheimen: het gebruik van esthetische afbeeldingen om gebruikers te authenticeren, en komt van twee onderzoekers aan de faculteit Software en Informatiesystemen van de Ben-Gurion Universiteit van de Negev in Beersheba.

De kracht van beeld domeinen

AEbA is niet afhankelijk van memorisatie, maar behandelt de eindgebruiker als een getraind beeldherkenningsysteem dat een robuust en zeer specifiek spectrum van plezierreacties heeft ontwikkeld, en zich richt op deze sterke plezierassociaties.

In wezen draait AEbA om het menselijke equivalent van abstracte priors in computervisie en beeldsynthesesystemen, die stijl en domeinspecifieke kenmerken kunnen overdragen zonder te worden belichaamd in een enkele en onveranderlijke afbeelding. Het is door de toepassing van dergelijke priors dat een Generatief Adversariaal Netwerk (GAN) kan worden getraind om een domein (d.w.z. ‘Van Gogh’) in de generatie van anderszins geheel nieuwe afbeeldingen op te nemen.

De nieuwe studie stelt bewijs uit eerder onderzoek voor dat afbeeldingen gemakkelijker te onthouden zijn dan woorden, dat aangename afbeeldingen gemakkelijker te onthouden zijn dan algemene afbeeldingen, en dat actieve beoordeling van afbeeldingen (zoals tijdens de korte AEbA-trainingsfase) de herinnering van afbeeldingen nog verder verbetert. Studies gaan terug tot de jaren zeventig hebben aangetoond dat mensen een ‘massale opslagcapaciteit’ hebben voor afbeeldingen in het algemeen, en voor eerder bekeken afbeeldingen, en onze mogelijkheid om afbeeldingen in het geheugen op te nemen is aangetoond te opvallend overschrijden onze capaciteit voor verbale geheugen.

Hoewel het gezond verstand suggereert dat domeinexperts, zoals radiologen, het meest gevoelig zouden zijn voor afbeeldingen uit hun eigen domein, heeft een studie uit 2010 gesteld dat de geheugencapaciteit voor alledaagse beelden veel groter is dan voor domeinspecifieke beelden, zelfs bij mensen met een visuele ‘specialiteit’.

Op voorkeur gebaseerde authenticatie

Het idee om voorkeur te gebruiken als een authenticatiemechanisme kwam aan het licht in twee rapporten onder leiding van Markus Jakobsson van het Palo Alto Research Center, vanaf 2008. Deze reeks onderzoek naar Op Voorkeur Gebaseerde Authenticatie (PBA) suggereerde dat muziek, voedsel, kunstwerken en andere dingen die we leuk vinden, diep in ons brein zijn geworteld en worden aangedreven door krachtige interne motivaties.

PBA werd oorspronkelijk voorgesteld als een apparaat om wachtwoordherstel te faciliteren, met vragen zoals ‘Houd je van countrymuziek?’, en zich richtte op tekstgebaseerde voorkeuren volgens traditionele mnemonische principes, in plaats van visuele input.

Een latere samenwerking van Jakobsson in 2012 verving tekst met afbeeldingen:

Een screenshot van de kalibratie/registratiefase van het Markus Jakobsson 2012 PBA-project. Bron

De auteurs merken echter op dat dit schema geen rekening houdt met de esthetische beoordeling van de afbeeldingen, maar in feite afbeeldingen gebruikt als proxies voor woorden of concepten. In tegenstelling tot AEbA, dat ernaar streeft om een gebruikerspecifiek ‘domein van plezier’ te onderscheiden dat niet direct gerelateerd is aan specifieke dingen of activiteiten.

De auteurs van het nieuwe rapport merken ook op dat er praktische beperkingen zijn aan het aantal items dat aan de kijker kan worden gepresenteerd onder de benadering van 2012, terwijl de ontwikkeling van een meer abstract model van gebruikersvoorkeuren deze beperkingen verwijdert en extern aangiftes en nabootsing (d.w.z. op basis van phishing, persoonlijke kennis of andere methoden van bedrog) veel moeilijker maakt.

Het idee van grafische wachtwoorden gaat vooraf aan dit werk, met een verspreiding van schema’s die in de late jaren negentig opkwamen. Een contemporaine studie overweegt PassFaces, waarbij gebruikers moesten onthouden welke gezichten (anders dan hun eigen) ze hadden geselecteerd. Met deze benadering zou een potentiële indringer theoreticsch een buitengewoon intieme domeinkennis van de gebruikersfaciale voorkeuren nodig hebben. Bovendien zou de gebruiker vermoedelijk kunnen worden vertrouwd om dezelfde gezichten te selecteren tijdens de oriëntatiefase.

Uit de late jaren negentig, het PassFaces-schema dat werd getest aan de Goldsmiths University in Londen, vereiste dat de gebruiker vier gezichten van andere mensen koos en onthield. De initiële keuze was gebaseerd op de voorkeur van de gebruiker, en in die zin is het werk gerelateerd aan AEbA. Bron

Het meest gerelateerd aan AEbA is Déjà vu, dat kijkers voorstelde met willekeurige kunstafbeeldingen die niet noodzakelijkerwijs waren ontworpen om de plezierreactie op te wekken, maar om in plaats daarvan storende en disharmonische beelden te gebruiken om gebruikers te helpen specifieke afbeeldingen te onthouden die ze zouden opnemen in een ‘portfolio’ tijdens de initiële inschrijving, en later zouden moeten herkennen vanuit meerdere mogelijke afbeeldingen tijdens de authenticatie.

Het samenstellen van een portfolio van ‘voorkeursafbeeldingen’ voor Déjà vu. Bron: https://netsec.ethz.ch/publications/papers/usenix.pdf

De auteurs van het nieuwe rapport merken op dat deze benadering de voordelen van de neuro-esthetische literatuur (d.w.z. er is weinig interne motivatie om verbinding te maken met enige mogelijke afbeeldingen die worden aangeboden) negeert.

Bovendien is een dergelijke methode kwetsbaar voor ‘shoulder-surfing’, waarbij een nabije (of MiTM) aanvaller de mogelijkheid heeft om te zien welke afbeeldingen worden geselecteerd. In tegenstelling tot een volledige implementatie van AEbA, die geen afbeeldingen herhaalt die eerder zijn gebruikt, noch in de trainings- noch in de authenticatiefase.

Bovendien merkt het rapport op*:

‘Een van de problemen die zijn geïdentificeerd in grafische wachtwoorden is dat gebruikers de neiging hebben om eenvoudige tekeningen te selecteren, wat de variabiliteit van die wachtwoorden vermindert en ze kwetsbaarder maakt voor aanvallen. Een ander probleem (en misschien een reden voor het voorgaande) is potentieel storing als dergelijke schema’s in meerdere systemen worden gebruikt, d.w.z. gebruikersgeheugen van een wachtwoord voor een systeem verstoort hun geheugen van een wachtwoord voor een ander systeem. Deze problemen zijn minder van belang bij de implementatie van AEbA, dat afhankelijk is van aangeboren voorkeuren die niet afhankelijk zijn van specifieke accounts of van het onthouden van afbeeldingen.’

De auteurs benadrukken een extra voordeel van AEbA: contextuele perceptie. Zelfs als een shoulder-surfer of RAT-aanvaller in staat zou zijn om een authenticatiesessie te bekijken, zou hij niet weten hoe ver de ‘ongewenste’ afbeeldingen (d.w.z. afbeeldingen die tijdens de authenticatie laag worden beoordeeld of afgewezen) zijn van de ‘gewenste’ afbeelding – een factor die elke keer anders zal zijn.

‘Derhalve helpt het weten dat iemand een afbeelding leuk vindt niet noodzakelijkerwijs als we niet weten hoeveel de afbeelding wordt gewaardeerd in vergelijking met andere afbeeldingen in de weergegeven set.’

Bovendien is het onmogelijk voor een gebruiker om zijn wachtwoord onveilig op te slaan voor gemak, zoals op een stuk papier, omdat zijn domein van voorkeursafbeeldingen buitengewoon abstract en niet-reductief is.

Testen van AEbA

De onderzoekers hebben het systeem geïmplementeerd als een spel, in de context van een bewijs van concept van de kernpremises van het project, door een database van 318 afbeeldingen van de gratis stockwebsite pexels.com te cureren, en ook afbeeldingen uit een persoonlijke archief op te nemen.

De foto’s werden ingedeeld in acht categorieën (Universum, Natuur, Bergen, Bos, Bloemen, Stadsgezichten, Zeekust, en Anders), en de proeven werden onderverdeeld in Inschrijving (waar de afbeeldingen door de gebruikers werden beoordeeld in een eenmalige tien minuten durende sessie), een Authenticatiespel, en ten slotte een Adversariaal spel (het raden van de afbeeldingsvoorkeuren van anderen).

Na het weren van niet-bijdragende deelnemers, werd de convenience sample (d.w.z. de groep deelnemers) teruggebracht tot 33 in aanmerking komende spelers, bestaande uit 21 vrouwen en 12 mannen.

Inschrijving

In de inschrijvingsfase werden 3722 beoordelingen verkregen voor 274 afbeeldingen, met een gemiddelde beoordeling van 6,07, een mediaan van 6, met de meest voorkomende waarden 7 en 8. De minst gewaardeerde afbeelding scoorde slechts 2,32, en de meest gewaardeerde 8,63.

De verdeling van afbeeldingsbeoordelingen onder de top-presteerders in de proeven.

De auteurs beweren dat de opvallende scheefheid naar hoge en lage waarden in afbeeldingsbeoordeling, gecombineerd met de variatie van dergelijke gradients over de gebruikersbasis, hun bewering ondersteunt dat gebruikers in staat zijn om zeer verschillende beoordelingsscores toe te kennen aan de weergegeven afbeeldingen, zonder de noodzaak om afstotende of ‘uit-distributie’ afbeeldingen op te nemen. Het lijkt erop dat de over het algemeen gevarieerde grillen en voorkeuren over zelfs een kleine gebruikersgroep voldoende zijn om het centrale concept te valideren.

Voorbeeldafbeeldingen met verschillende gebruikersbeoordelingen.

Authenticatie

Voor het authenticatiespel werden 264 speelsessies uitgevoerd, waarbij elke deelnemer het spel tweemaal voltooide in een gemiddelde van acht sessies. Het gemiddelde succespercentage was 76%.

Box plot grafiek van de verdeling van de gamescores onder de 33 leden van de proef, met gemiddelde scores aangegeven in een dikke zwarte horizontale lijn, met mediaan, eerste en derde kwartiel, met minimum, maximum en uitschieters.

Hoewel er een ‘lichte daling’ in prestaties was over tijd, was dit sterk verminderd onder de top 50% van de deelnemers, en verdween het praktisch onder de 11 topdeelnemers (een derde van de finale gebruikersgroep).

Adversariaal spel

Het Adversariaal spel onderdeel omvatte onbeperkt spel (in tegenstelling tot Inschrijving), en vond plaats tien dagen na de lancering van de Spelfase. 190 spellen werden geteld voor de resultaten (met uitzondering van spellen waarbij technische problemen optraden). Het gemiddelde aantal correcte Adversariaal keuzes was 2,88, een succespercentage van 36% dat technisch gelijkwaardig is aan toeval (vooral gezien het lage aantal afbeeldingen in de dataset). Echter, in zeven spellen waren deelnemers in staat om 75% of meer van de correcte afbeeldingen te raden.

Conclusie

De informele testmethodologie (zoals het gebruik van een convenience sample voor testkandidaten) in de studie geeft aan dat de benadering momenteel een breed proof-of-concept vertegenwoordigt; een embryonale indicatie dat mensgerichte ‘domeinverovering’ op een dag een gemakkelijke en zelfs leuke manier van authenticatie kan bieden die moeilijk te approprieren of te storen is. Het is duidelijk dat veel meer rigoureuze tests, met een groter aantal deelnemers en een goed georganiseerd authenticatiescenario, nodig zouden zijn om de waarde van AEbA te vestigen.

De auteurs concluderen:

‘Het zou ook interessant zijn om te onderzoeken of het gebruik van machine learning-technieken om individuele gebruikersbeoordelingen te voorspellen en om sleutels en decoys te genereren die de gebruiker nog niet eerder heeft beoordeeld. Dit zou de wachtwoordruimte kunnen vergroten door de afbeeldingspools van individuele gebruikers en hun variabiliteit te vergroten.’

*Mijn conversie van de inline citaten van de auteurs naar hyperlinks

Publicatie op 13 april 2022.