Estetisk preferanse-gjenkjenning som en potensiell autentiseringsfaktor

En ny artikkel fra Israel har foreslått en autentiseringsordning basert på en brukers estetiske preferanser, hvor brukeren kalibrerer systemet en gang ved å vurdere bilder, og deretter genererer et privat “domene” av denne enkeltpersons visuelle og visuell/konseptuelle preferanser. Senere skulle brukeren bli utfordret under autentiseringstidspunktet til å matche sine registrerte preferanser mot nye bildesett.

Fra prøvingene av en ‘spillbasert’ AEbA-implementering – venstre, brukeren vurderer den estetiske kvaliteten på et bilde; høyre, en score signaleres ved slutten av en fase i den aktive applikasjonsfasen av prøvingene. Kilde: https://arxiv.org/ftp/arxiv/papers/2204/2204.05623.pdf

Systemet kalles Estetisk vurdering-basert autentisering (AEbA), og er en innlevering til 2022 USENIX Annual Technical Conference i California i juli.

AEbA ble prøvd av artiklens forskere i form av en spillserie, hvor deltakerne måtte trene systemet og deretter vurdere nye bilder som stemte overens med deres registrerte smak. En andre runde med tester undersøkte en brukers evne til å gjette andres preferanser.

Fra artikkelen – eksempelbilder, fra pexels.com, egnet for bruk i AEbA.

Slik en tilnærming kan kanskje ikke være egnet for alle mennesker, siden ikke alle har en velutviklet estetisk sans, men kunne fungere godt enten som en primær autentiseringsordning for lav-middelsikkerhetskrav, eller som ett valg i en rekke mulige hjelpemetoder i tofaktorautentisering (2FA).

Men den unge ideen om systemet kunne danne utgangspunkt for mer komplekse estetiske utfordringer, siden antallet bilder som presenteres til brukerne under autentisering kunne skaleres opp som nødvendig, på samme måte som CAPTCHA-utfordringer kan forlenges i tilfelle usikre innledende resultater.

Jo mer detaljert og utvidet utfordringen er, jo høyere sikkerhet kan en slik tilnærming tilby.

En skala for relativ passordstyrke når flere faktorer i en AEbA-utfordring multipliseres: ‘D’ representerer antallet bilder som vises under utfordringen; Dhr representerer antallet bilder som brukeren må velge; og ‘S’ er antallet skjermer (dvs. faser) i den lineære prosessen med estetisk valg.

I forhold til vanlige konvensjoner for menneskelig autentisering, inkorporerer AEbA elementer av Noe du vet (SYK) og Noe du er (SYA), og er basert på tre premisser: at ting vi liker (som representeres i det visuelle området) er lett gjenkjennelige for oss (i henhold til den generelle teorien om mnemonikk);  våre estetiske smaker forblir relativt konsistente; og at det er nok forskjell i smaken til varierte brukere til å gi et skille som ikke kan gjettes i preferanser.

Forfatterne foreslår at teknikken kunne tilpasses inn i maskinlæringsrammeverk som kan forutsi enkeltbrukeres vurderinger.

Artikkelen har tittelen Vakre hemmeligheter: bruk av estetiske bilder til å autentisere brukere, og kommer fra to forskere ved fakultetet for programvare- og informasjonssystemteknikk ved Ben-Gurion University of the Negev i Beersheba.

Kraften i bilde-domener

AEbA avhenger ikke av memorisering, men behandler sluttbrukeren som et trenet bilde-gjenkjenningssystem som har utviklet et robust og svært spesifikt spekter av gledesreaksjoner, og fokuserer på disse svært sterke glede-assosiasjoner.

I essensen henger AEbA på det menneskelige ekvivalentet av abstrakt forhåndskunnskap i datavisjon og bilde-syntese systemer, som kan overføre stil og domene-spesifikke egenskaper uten å være inkorporert i et enkelt og uforanderlig bilde. Det er gjennom anvendelsen av slik forhåndskunnskap at et generativt adversarielt nettverk (GAN) kan trenes til å inkorporere et domene (dvs. ‘Van Gogh’) i genereringen av ellers helt nye bilder.

Den nye studien påviser bevis i tidligere litteratur at bilder er lettere å huske enn ord, at behagelige bilder er lettere å huske enn generelle bilder, og at aktiv vurdering av bilder (slik som under den korte AEbA-treningprosessen) forbedrer huskbarheten av bilder enda mer. Studier fra 1970-tallet har etablert at mennesker besitter ‘massiv lagringskapasitet’ for bilder generelt, og for tidligere viste bilder, og vår evne til å inkorporere bilder i minnet har vist seg å klart overgå vår kapasitet for verbalt minne.

Selv om det er vanlig å tro at domene-eksperter, som radiologer, ville være mest sensitive til bilder fra deres eget domene, har en studie fra 2010 hevdet at minnekapasitet for hverdagsbilder er langt større enn for domene-spesifikke bilder, selv i de med en visuell “spesialitet”.

Preferanse-basert autentisering

Tanken på å utnytte preferanse som en autentiseringsmekanisme kom i søkelyset i to artikler ledet av Markus Jakobsson av Palo Alto Research Center, fra 2008 og utover. Denne forskningsrekken rundt Preferanse-basert autentisering (PBA) foreslo at musikk, mat, kunstverk og andre ting som vi liker er innarbeidet i våre sinn og født av kraftige interne motivasjoner.

PBA ble opprinnelig foreslått bare som et hjelpemiddel for å forenkle tilbakestilling av passord, ved å bruke spørsmål som “Liker du country-musikk?”, og konsentrerte seg om tekstbaserte preferanser langs tradisjonelle mnemoniske prinsipper, snarere enn visuell innputt.

Et senere samarbeid fra Jakobsson i 2012 erstattet tekst med bilder:

Et skjermbilde fra kalibrerings-/registreringsfasen av Markus Jakobsson 2012 PBA-prosjekt. Kilde

Men forfatterne bemerker at dette skjemaet ikke tar hensyn til estetisk vurdering av bildene, men i stedet bruker bilder som proxyer for ord eller konsepter. I motsetning søker AEbA å finne et brukerspesifikt “gledens domene” som ikke er direkte relatert til spesifikke ting eller aktiviteter.

Forfatterne av den nye artikkelen observerer også at det er praktiske begrensninger for antallet elementer som kan presenteres til seeren under tilnærmingen fra 2012, mens utvikling av en mer abstrakt modell av brukerpreferanser fjerner disse begrensningene og gjør eksterne angrep og mimikry (dvs. basert på phishing, personlig kunnskap eller andre metoder for bedrag) langt mer vanskelig.

Tanken om grafiske passord predaterer dette arbeidet, med en rekke ordninger som oppstod på slutten av 1990-tallet. En samtidig studie betrakter PassFaces, hvor brukerne måtte huske ansikter (andre enn deres eget) i stedet for passord. Med denne tilnærmingen ville en potensiell inntrenger teoretisk sett måtte ha en usedvanlig inngående kunnskap om brukerens ansiktspreferanser. I tillegg kunne brukeren antageligvis pålitelig velge de samme ansiktene over tid under orienteringsfasen.

Fra slutten av 1990-tallet, PassFaces-skjemaet som ble testet ved Goldsmiths University i London, krevde at brukeren valgte og husket fire ansikter av andre mennesker. Det innledende valget var basert på brukerens egen preferanse, og i denne forstand er arbeidet relatert til AEbA. Kilde

Det mest nært beslektede med AEbA er Déjà vu, som presenterte seerne med tilfeldige kunstbilder som ikke nødvendigvis var designet for å engasjere glede-responsen, men heller å bruke sjokkerende og disharmoniske bilder for å hjelpe brukerne å huske spesifikke bilder som de ville inkorporere i en “portefølje” under innmelding, og senere bli bedt om å gjenkjenne fra flere mulige bilder under autentiseringstidspunktet.

Samling av en portefølje av ‘foretrukne’ bilder for Déjà vu. Kilde: https://netsec.ethz.ch/publications/papers/usenix.pdf

Som forfatterne av den nye artikkelen påpeker, ignorerer denne tilnærmingen fordeler i neuroestetisk litteratur (dvs. det er liten intern motivasjon til å koble til noen mulige bilder som tilbys).

I tillegg er en slik metode sårbar for “shoulder-surfing”, hvor en nærliggende (eller MiTM) angriper kan ha en mulighet til å se hvilke bilder som velges. I motsetning ville en fullstendig implementering av AEbA ikke gjenta bilder som tidligere var brukt enten i trening eller autentiserings sesjoner.

I tillegg bemerker artikkelen*:

‘Et av problemene som er identifisert i grafiske passord er at, som i vanlige passord, brukerne tenderer til å velge enkle tegninger, som reduserer variasjonen av disse passordene og gjør dem mer sårbare for adversarial angrep. Et annet problem (og kanskje en grunn til det førstnevnte) er potensiell interferens hvis slike ordninger brukes i flere systemer, dvs. brukernes minne av et passord for ett system kan forstyrre deres minne av et passord for ett annet system. Disse problemene er mindre bekymringsfulle når AEbA implementeres, som avhenger av medfødte preferanser som ikke avhenger av spesifikke kontoer eller husking av bilder.’

Forfatterne understreker også en ytterligere fordel med AEbA: kontekstuell persepsjon. Selv om en shoulder-surfer eller RAT-angriper kunne se en autentiserings sesjon, ville de ikke vite hvor langt “mislikte” bilder (dvs. presenterte bilder som brukeren vurderer lavt eller avviser under autentisering) er fra “likte” bildene – en faktor som vil være forskjellig hver gang.

‘Derfor hjelper det ikke nødvendigvis å vite at noen liker et bilde hvis vi ikke vet hvor mye bildet er likt i forhold til andre bilder i det viste settet.’

I tillegg er det umulig for en bruker å lagre sitt passord usikkert for enkelhets skyld, slik som på et stykke papir, fordi deres domene av foretrukket bildeinnhold er usedvanlig abstrakt og ikke-reduktiv.

Testing AEbA

Forskerne implementerte systemet som et spill, i sammenheng med en proof of concept av prosjektets kjernepremisser, ved å kuratere en database på 318 bilder fra gratis bilde-nettsted pexels.com, og også inkludere bilder fra et personlig arkiv.

Bildene ble klassifisert i åtte kategorier (Univers, Natur, Fjell, Skog, Blomster, Bylandskap, Kyst, og Andre), og prøvingene ble delt inn i Innmelding (hvor bildene ble initialt vurdert av brukerne i en enkelt ti-minutters sesjon), et Autentiseringsspill, og til slutt et Angrepsspill (gjette bild-preferanser hos andre).

Etter å ha fjernet ikke-bidragende deltakere, ble bekvemmelighetsutvalg (dvs. prøvegruppen av deltakere) redusert til 33 kvalifiserte spillere, bestående av 21 kvinner og 12 menn.

Innmelding

I innmeldingsfasen ble 3722 vurderinger innhentet for 274 bilder, med en gjennomsnittlig vurdering på 6,07, en medianvurdering på 6, med de mest vanlige verdiene 7 og 8. Det minst likte bildet fikk bare 2,32, og det mest likte 8,63.

Fordelingen av bilde-vurderinger blant topp-utførerne i prøvingene.

Forfatterne hevder at den merkbare skjevheten mot høye og lave verdier i bilde-vurdering, kombinert med variasjonen i slike grader over brukerbasen, bekrefter deres påstand om at brukerne kan anvende svært forskjellige vurderinger av hvor godt de liker bildene til presenterte bilder, uten å måtte inkludere åpenbart frastøtende eller “ute av distribusjon” bilder. Det ser ut til at de generelt varierende innfall og preferanser over selv en liten brukergruppe er nok til å validere det sentrale konseptet.

Eksempelbilder med ulike brukervurderinger.

Autentisering

For autentiserings-spillet ble 264 spill-sesjoner gjennomført, med hver deltaker som fullførte spillet to ganger over en gjennomsnittlig åtte sesjoner. Gjennomsnittlig suksessrate var 76%.

Boks-plot diagram av spill-poengfordeling blant de 33 medlemmene av prøven, med gjennomsnittspoeng markert i svart horisontal linje, viser median, første og tredje kvartil, med minimum, maksimum og outliers.

Selv om det var en “liten nedgang” i ytelse over tid, var dette sterkt redusert blant de øverste 50% av deltakerne, og praktisk talt forsvant blant de 11 øverste deltakerne (en tredjedel av den endelige brukergruppen).

Angrepsspill

Angrepsspill-komponenten bestod av ubegrensede spill (i motsetning til innmelding), og skjedde ti dager etter lanseringen av spill-fasen. 190 spill ble talt for resultater (unntatt spill hvor tekniske problemer oppstod). Gjennomsnittlig antall korrekte valg i angrepsspillet var 2,88, en 36% suksessrate som teknisk sett er ekvivalent til tilfeldighet (spesielt når man tar i betraktning det lave antallet bilder i datasettet). Likevel var det i syv spill at bidragsytere kunne gjette 75% eller mer av de korrekte bildene.

Konklusjon

Den uformelle testmetodikken (slik som bruk av en bekvemmelighetsutvalg for testing av kandidater) i studien indikerer at tilnærmingen for øyeblikket representerer en bred proof-of-concept; en ung indikasjon på at menneske-sentrert “domene-fangst” en dag kan gi en enkel og til og med behagelig metode for autentisering som er vanskelig for en angriper å overta eller forstyrre. Det er klart at mye mer rigorøse tester, med høyere antall deltakere og en ordentlig iscenesatt autentiserings-scenario, ville være nødvendig for å etablere verdien av AEbA.

Forfatterne konkluderer:

‘Det ville også være interessant å studere potensialet for å bruke maskinlærings-teknikker til å forutsi enkeltbrukeres vurderinger og å generere riktige bilder og avledningsbilder som brukeren ikke tidligere har vurdert. Dette kunne øke passord-rommet ved å øke enkeltbrukernes bildesamlinger og deres variasjon.’

*Min konvertering av forfatternes inline-citat til lenker

Først publisert 13. april 2022.