การยอมรับความชอบทาง审美เป็นปัจจัยการยืนยันตัวตน

วิจัยใหม่จากอิสราเอลได้เสนอระบบการยืนยันตัวตนโดยอาศัยความชอบทาง审美ของผู้ใช้ โดยผู้ใช้จะต้องปรับระบบเพียงครั้งเดียวโดยการให้คะแนนรูปภาพ ซึ่งจะสร้าง “โดเมน” ส่วนตัวของความชอบทางภาพและแนวคิดของผู้ใช้ จากนั้น ผู้ใช้จะต้องจับคู่ความชอบที่บันทึกไว้กับรูปภาพใหม่ในช่วงเวลาในการยืนยันตัวตน

จากการทดลองของการนำ AEbA ไปใช้ในรูปแบบ ‘เกม’ – ซ้าย ผู้ใช้ให้คะแนนคุณภาพทาง审美ของรูปภาพ; ขวา คะแนนจะแสดง ณ สิ้นสุดของแต่ละขั้นในระยะการนำไปใช้งานของการทดลอง Source: https://arxiv.org/ftp/arxiv/papers/2204/2204.05623.pdf

ระบบนี้มีชื่อว่า การยืนยันตัวตนด้วยการประเมินความชอบทาง审美 (AEbA) และเป็นข้อเสนอในการนำเสนอที่จะจัดขึ้นที่ USENIX Annual Technical Conference ในแคลิฟอร์เนียในเดือนกรกฎาคม

AEbA ถูกทดลองโดยนักวิจัยในรูปแบบของซีรีส์เกม โดยผู้เข้าร่วมจะต้องฝึกอบรมระบบและให้คะแนนรูปภาพใหม่ที่สอดคล้องกับความชอบของตนเอง การทดลองรอบที่สองได้ตรวจสอบความสามารถของผู้ใช้ในการเดาความชอบของคนอื่น

จากเอกสาร – ตัวอย่างรูปภาพจาก pexels.com ที่เหมาะสมสำหรับการใช้งาน AEbA

แนวทางนี้อาจไม่เหมาะสมสำหรับทุกคน เนื่องจากไม่ทุกคนที่มีความสามารถในการรับรู้ความชอบทาง审美ที่ดี แต่สามารถใช้เป็นระบบการยืนยนตัวตนที่เหมาะสมสำหรับความต้องการด้านความปลอดภัยระดับต่ำถึงปานกลาง หรือเป็นหนึ่งในหลายวิธีการยืนยันตัวตนที่เป็นไปได้ในการยืนยันตัวตนที่มีการยืนยันตัวตนแบบสองขั้นตอน (2FA)

อย่างไรก็ตาม ความคิดที่ยังไม่สมบูรณ์ของระบบอาจเป็นจุดเริ่มต้นสำหรับระบบที่ซับซ้อนมากขึ้น โดยสามารถปรับขนาดการนำเสนอของรูปภาพที่แสดงให้ผู้ใช้ในช่วงเวลาในการยืนยันตัวตนได้ตามความจำเป็น

การนำเสนอรูปภาพที่มีรายละเอียดและขยายออกไปจะทำให้ระบบมีความปลอดภัยมากขึ้น

การวัดความปลอดภัยของ AEbA เมื่อพิจารณาปัจจัยหลายอย่าง: ‘D’ หมายถึงจำนวนรูปภาพที่แสดงในช่วงเวลาในการยืนยันตัวตน; Dhr หมายถึงจำนวนรูปภาพที่ผู้ใช้ต้องเลือก; และ ‘S’ หมายถึงจำนวนหน้าจอ (หรือระยะ) ในกระบวนการรับรู้ความชอบทาง审美

ในแง่ของ แนวปฏิบัติทั่วไปในการยืนยันตัวตนของมนุษย์ AEbA รวมถึงองค์ประกอบของ สิ่งที่คุณรู้ (SYK) และ สิ่งที่คุณเป็น (SYA) และอาศัยสามสมมติฐาน: สิ่งที่เราชอบ (ที่แสดงในรูปภาพ) สามารถแยกแยะได้ง่ายสำหรับเรา; ความชอบทาง审美ของเรามีความสม่ำเสมอ; และมีความแตกต่างที่เพียงพอในความชอบของผู้ใช้ที่หลากหลายเพื่อให้ได้ความแตกต่างที่ไม่สามารถเดาได้

ผู้เขียนเสนอว่าเทคนิคนี้สามารถปรับให้เข้ากับกรอบการทำงานของการเรียนรู้ของเครื่องจักรที่สามารถคาดการณ์การประเมินของผู้ใช้แต่ละคน

เอกสาร นี้ มีชื่อว่า ความลับสวยงาม: การใช้รูปภาพที่สวยงามเพื่อยืนยันตัวตนผู้ใช้ และมาจากนักวิจัยสองคนจากคณะวิศวกรรมซอฟต์แวร์และระบบข้อมูลที่ Ben-Gurion University of the Negev ใน Beersheba

พลังของโดเมนภาพ

AEbA ไม่พึ่งพาการจดจำ แต่ให้รับการรับรู้ของผู้ใช้โดยตรงโดยพัฒนาการตอบสนองความชอบที่เข้มข้นและเฉพาะเจาะจง และจดจำความสัมพันธ์ระหว่างรูปภาพเหล่านั้น

โดยหลักการ AEbA ขึ้นอยู่กับ ความสัมพันธ์ระหว่างรูปภาพและความชอบ ในระบบการรับรู้ภาพและ 합성ภาพของเครื่องจักร ซึ่งสามารถแสดงถึงรูปแบบและคุณลักษณะเฉพาะโดเมนโดยไม่ต้องแสดงในรูปภาพที่ไม่เปลี่ยนแปลง

การศึกษาก่อนหน้านี้พบว่ารูปภาพง่ายต่อการจำมากกว่าคำ และรูปภาพที่น่าพอใจก็ยิ่งง่ายต่อการจำมากกว่ารูปภาพทั่วไป และการประเมินรูปภาพอย่างแข็งขัน (เช่น ในช่วงการฝึกอบรม AEbA) ทำให้รูปภาพมีความจำได้ดีขึ้น

การยืนยันตัวตนโดยอาศัยความชอบ

แนวคิดในการใช้ความชอบเป็นกลไกการยืนยันตัวตนได้รับความสนใจในสองเอกสารที่นำโดย Markus Jakobsson ของ Palo Alto Research Center ตั้งแต่ปี 2008

การยืนยันตัวตนโดยอาศัยความชอบ (PBA) ถูกเสนอเพียงเพื่ออำนวยความสะดวกในการรีเซ็ตพาสเวิร์ด โดยใช้คำถามเช่น ‘คุณชอบดนตรีประเทศหรือไม่?’ และมุ่งเน้นไปที่ความชอบทางข้อความตามหลักการของความจำ

การทำงานร่วมกัน ในภายหลัง จาก Jakobsson ในปี 2012 แทนที่ข้อความด้วยรูปภาพ:

หน้าจอจากช่วงการฝึกอบรม/การลงทะเบียนของโครงการ PBA ของ Markus Jakobsson ในปี 2012 แหล่งที่มา

อย่างไรก็ตาม ผู้เขียนสังเกตว่าแนวทางนี้ไม่ได้คำนึงถึงการประเมินความชอบทาง审美ของรูปภาพ แต่ใช้รูปภาพเป็นตัวแทนของคำหรือแนวคิดแทน

ผู้เขียนของเอกสารใหม่ยังระบุด้วยว่ามีข้อจำกัดที่เป็นไปได้ในการนำเสนอจำนวนของรูปภาพที่สามารถแสดงให้ผู้ใช้ได้ ในขณะที่การพัฒนามデルของความชอบของผู้ใช้ที่เป็นนามธรรมจะไม่มีข้อจำกัดเหล่านี้และทำให้การโจมตีและการเลียนแบบจากภายนอกยากขึ้น

แนวคิดของพาสเวิร์ดกราฟฟิกมีช่วงเวลาก่อนหน้านี้ โดยมีการนำเสนอหลายรูปแบบในปลายทศวรรษ 1990

จากปลายทศวรรษ 1990 โครงการ PassFaces ที่ Goldsmiths University ในลอนดอนต้องการให้ผู้ใช้เลือกรูปภาพและจดจำรูปภาพของคนอื่น Source

ที่เกี่ยวข้องมากที่สุดกับ AEbA คือ Déjà vu ซึ่งแสดงรูปภาพศิลปะที่ไม่จำเป็นต้องมีการตอบสนองความชอบ แต่เพื่อช่วยให้ผู้ใช้จำรูปภาพที่เฉพาะเจาะจงและรวมเข้ากับ ‘พอร์ตโฟลิโอ’ ในช่วงการลงทะเบียน และต่อมาเรียกรูปภาพเหล่านั้นจากหลายรูปภาพที่แสดงในช่วงเวลาในการยืนยันตัวตน

การสร้างพอร์ตโฟลิโอของรูปภาพที่ชอบสำหรับ Déjà vu Source: https://netsec.ethz.ch/publications/papers/usenix.pdf

ผู้เขียนของเอกสารใหม่สังเกตว่าแนวทางนี้ไม่คำนึงถึงประโยชน์ที่ระบุไว้ในเอกสารเกี่ยวกับประสาทวิทยาของ审美 (เช่น ไม่มีการเชื่อมต่อภายในเพื่อเชื่อมโยงกับรูปภาพใดๆ ที่นำเสนอ)

นอกจากนี้ วิธีนี้ยังเสี่ยงต่อการ ‘shoulder-surfing’ โดยที่ผู้โจมตีที่อยู่ใกล้เคียงหรือ MiTM อาจมีโอกาสได้เห็นรูปภาพที่เลือก

การทดสอบ AEbA

นักวิจัยได้ดำเนินการระบบนี้ในรูปแบบของเกม เพื่อทดสอบสมมติฐานหลักของโครงการ

รูปภาพถูกจัดกลุ่มเป็น 8 หมวด (จักรวาล, ธรรมชาติ, ภูเขา, ป่า, ดอกไม้, เมือง, ชายหาด และ อื่นๆ) และการทดลองแบ่งออกเป็น การลงทะเบียน (ที่รูปภาพถูกให้คะแนนโดยผู้ใช้ในช่วงเวลา 10 นาที) เกม การยืนยันตัวตน และสุดท้าย เกมที่มีการโจมตี (การเดาความชอบของรูปภาพของผู้อื่น)

การลงทะเบียน

ในระยะการลงทะเบียน มีการให้คะแนนรูปภาพ 3722 ครั้งสำหรับ 274 รูปภาพ โดยมีคะแนนเฉลี่ย 6.07 และคะแนนเฉลี่ย 6 คะแนนสูงสุดและต่ำสุดคือ 7 และ 8 คะแนนต่ำสุดคือ 2.32 และคะแนนสูงสุดคือ 8.63

การกระจายคะแนนรูปภาพในหมู่ผู้เข้าร่วมที่มีผลการดำเนินงานดีที่สุด

ผู้เขียนอ้างว่าการกระจายคะแนนรูปภาพที่มีความแตกต่างอย่างมากทั้งด้านบนและด้านล่าง รวมถึงความหลากหลายของความชอบของผู้ใช้ ทำให้เกิดความแตกต่างที่ชัดเจนในความชอบของผู้ใช้

การยืนยันตัวตน

สำหรับเกมการยืนยันตัวตน มีการเล่นทั้งหมด 264 ครั้ง โดยผู้เข้าร่วมแต่ละคนเล่นสองครั้งในแปดเซสชัน คะแนนเฉลี่ยคือ 76%

แผนภูมิกล่องของการกระจายคะแนนเกมในหมู่ผู้เข้าร่วม 33 คน โดยมีคะแนนเฉลี่ยแสดงเป็นเส้นตรงดำ

เกมที่มีการโจมตี

ส่วนเกมที่มีการโจมตี มีการเล่นทั้งหมด 190 ครั้ง โดยไม่รวมเกมที่มีปัญหาเทคนิค คะแนนเฉลี่ยในการเลือกที่ถูกต้องคือ 2.88 หรือ 36% ซึ่งเทียบเท่ากับโอกาส

สรุป

วิธีการทดสอบที่ไม่เข้มงวด (เช่น การใช้กลุ่มตัวอย่างที่สะดวกสำหรับการทดสอบ) ในการศึกษานี้บ่งชี้ว่าแนวทางนี้ยังเป็นเพียงการแสดงแนวคิดในวงกว้าง และต้องการการทดสอบที่เข้มงวดมากขึ้นเพื่อแสดงถึงคุณค่าของ AEbA

ผู้เขียนสรุปว่า:

‘จะน่าสนใจที่จะศึกษาการใช้เทคนิคการเรียนรู้ของเครื่องจักรเพื่อคาดการณ์การประเมินของผู้ใช้แต่ละคน และสร้างคีย์และตัวล่อที่ผู้ใช้ไม่ได้ให้คะแนนมาก่อน ซึ่งสามารถเพิ่มพื้นที่พาสเวิร์ดโดยการเพิ่มจำนวนรูปภาพและความหลากหลายของผู้ใช้’

*การแปลงอ้างอิงภายในของผู้เขียนให้เป็นลิงก์

เผยแพร่ครั้งแรกเมื่อวันที่ 13 เมษายน 2022