Estetik Tercih Tanıma, Potansiyel Bir Kimlik Doğrulama Faktörü Olarak

İsrail’den yeni bir makale, bir kullanıcının estetik tercihlerine dayalı bir kimlik doğrulama düzenini önermiştir. Bu sistemde, kullanıcı sistemini bir kez kalibre eder ve resimleri değerlendirerek, o bireyin görsel ve görsel/kavramsal tercihlerine özel bir “alan” oluşturur. Daha sonra, kullanıcı kimlik doğrulama zamanında kaydedilen tercihlerine karşı yeni resim setlerini eşleştirmeye zorlanır.

AEbA uygulamasının ‘oyunlaştırılması’ denemelerinden – solda, kullanıcı bir resmin estetik kalitesini değerlendirir; sağda, aktif uygulama aşamasının sonunda bir puan belirtilir. Kaynak: https://arxiv.org/ftp/arxiv/papers/2204/2204.05623.pdf

Sistem, Estetik Değerlendirme Tabanlı Kimlik Doğrulama (AEbA) olarak adlandırılmıştır ve Temmuz ayında Kaliforniya’da yapılacak 2022 USENIX Yıllık Teknik Konferansı’na bir sunumdur.

AEbA, araştırmacılar tarafından bir dizi oyun olarak denenmiştir. Katılımcılar, sistemi eğitmek ve daha sonra kayıtlı tercihlerine uygun yeni resimleri değerlendirmek zorundadır. İkinci tur testler, bir kullanıcının başkalarının tercihlerini tahmin etme yeteneğini incelemiştir.

Makaleden – AEbA’da kullanılmak üzere pexels.com’dan uygun örnek resimler.

Bu yaklaşım herkes için uygun olmayabilir, çünkü herkes estetik bir duyarlılığa sahip değildir, ancak düşük-orta güvenlik gereksinimleri için birincil kimlik doğrulama düzeni olarak veya iki faktörlü kimlik doğrulama (2FA) kapsamında bir dizi olası ek yöntemlerden biri olarak hizmet verebilir.

Ancak, sistemin henüz başlangıç aşamasındaki fikri, daha karmaşık estetik tabanlı zorlama sistemleri için bir başlangıç noktası oluşturabilir, çünkü kimlik doğrulama sırasında sunulan resimlerin sayısı, CAPTCHA zorlamaları gibi, gerektiğinde varsayılan olarak artırılabilir.

Sınama ne kadar ayrıntılı ve kapsamlı olursa, bu yaklaşımın sağlayabileceği güvenlik de o kadar yüksek olabilir.

AEbA sınamasındaki birden çok faktörün çarpılmasıyla göreceli parola gücü ölçeği: ‘D’, zorlama sırasında görüntülenen resimlerin sayısı; Dhr, kullanıcı tarafından seçilmesi gereken resimlerin sayısı; ve ‘S’, estetik seçimin doğrusal sürecin aşamaları (ekranlar).

İnsanların kimliğini doğrulamaya yönelik yaygın kurallar açısından, AEbA, Bir şey bilme (SYK) ve Bir şey olma (SYA) unsurlarını içerir ve üç öncüle dayanır: beğendiğimiz şeyler (görsel alanda temsil edilen) bizim için kolayca ayırt edilebilir (mnemoniklerin genel teorisi ile uyumlu); estetik tercihlerimiz nispeten tutarlı kalır; ve çeşitli kullanıcıların tercihlerinde yeterli bir fark vardır, böylece tercihlerde tahmin edilemeyen bir ayrım sağlar.

Yazarlar, bu tekniğin, bireysel kullanıcıların değerlendirmelerini tahmin edebilen makine öğrenimi çerçevelerine uyarlanabileceğini öne sürmektedir.

Makalenin başlığı Beautiful secrets: using aesthetic images to authenticate users olup çalışma, Beerşeba’daki Negev Ben-Gurion Üniversitesi Yazılım ve Bilgi Sistemleri Mühendisliği fakültesinden iki araştırmacıya aittir.

Görsel Alanların Gücü

AEbA, ezberleme yerine, son kullanıcıyı gelişmiş ve çok özel bir zevk tepkisi geliştirmiş bir görsel tanıma sistemi olarak ele alır ve bu güçlü haz çağrışımlarına odaklanır.

Aslında, AEbA, bilgisayarlı görü ve görüntü sentezi sistemlerindeki soyut ön bilgilerin insanlardaki karşılığına dayanır, bu öncüller stil ve alan özgüllüğü özellikleri iletebilir, ancak tek ve değişmez bir resim içinde somutlaşmaz. Bu öncüllerin uygulanmasıyla, bir Generatif Karşıt Ağ (GAN) bir alanı (örneğin ‘Van Gogh’) diğer yönlerden tamamen yeni resimlerin oluşturulmasına dahil edilebilir.

Çalışma, daha önceki literatürde, resimlerin kelimelerden daha kolay hatırlanabileceğini, hoş resimlerin genel resimlerden daha kolay hatırlanabileceğini ve resimlerin aktif değerlendirmesinin (AEbA eğitimi sırasında olduğu gibi) resimlerin hatırlanabilirliğini daha da artırabileceğini öne süren kanıtları ortaya koyar. 1970’lerden beri yapılan çalışmalar, insanların genel olarak resimlere ve daha önce görülen resimlere karşı “büyük depolama kapasitesi”ne sahip olduğunu göstermiştir ve resimlerin belleğe dahil edilme yeteneğimiz, gösterilmiştir ve önemli verbal bellek kapasitemizi aşar.

Ancak, ortak akıl, alan uzmanlarının (örneğin radyologlar) kendi alanlarından resimlere karşı daha duyarlı olacağını öne sürer, ancak 2010 yılında yapılan bir çalışma, görsel uzmanlığı olan kişilerde bile günlük görüntüleri hatırlama kapasitesinin alana özgü görüntüleri hatırlama kapasitesinden çok daha büyük olduğunu ileri sürmektedir.

Tercih Tabanlı Kimlik Doğrulama

Tercihin kimlik doğrulama mekanizması olarak kullanılması fikri, 2008’den itibaren Palo Alto Araştırma Merkezi’nden Markus Jakobsson liderliğindeki iki makaleyle ön plana çıkmıştır. Bu araştırma, müzik, yemek, sanat eserleri ve diğer şeyleri beğendiğimiz şeyler, güçlü içsel motivasyonlar tarafından yönlendirilen ve zihinlerimizde yerleşik olan şeyler olarak önermiştir.

Tercih Tabanlı Kimlik Doğrulama (PBA) ilk olarak, “Country müziğini sever misiniz?” gibi sorular kullanarak parola sıfırlamalarını kolaylaştırmak için önerilmiştir ve geleneksel mnemonik ilkelerine göre, görsel girdiden ziyade metin tabanlı tercihler üzerine odaklanmıştır.

2012’de Jakobsson’un sonraki ortak çalışması, metni resimlerle değiştirmiştir:

2012 PBA projesinin kalibrasyon/kayıt aşamasından bir ekran görüntüsü. Kaynak

Yazarlar, bu şemanın, resimlerin estetik değerlendirmesini hesaba katmadığını, ancak resimleri kelime veya kavramların yerine kullanmakta olduğunu belirtirler. Buna karşılık, AEbA, belirli şeylerle veya faaliyetlerle doğrudan ilgili olmayan kullanıcıya özgü bir “zevk alanı”nı belirlemeye çalışmaktadır.

Yazarlar, 2012 yaklaşımında izleyiciye sunulabilecek öğe sayısının pratik sınırları olduğunu belirtir. Kullanıcı tercihlerinin daha soyut bir modelini geliştirmek bu sınırları ortadan kaldırır; kimlik avı, kullanıcıyı şahsen tanıma veya başka aldatma yollarına dayanan dış saldırıları ve taklitleri çok daha zorlaştırır.

Görsel parolaların fikri, bu çalışmadan önce 1990’ların sonlarında ortaya çıkmıştır. Bir çalışma, PassFaces’i dikkate alır, burada kullanıcılar parolaları hatırlamak yerine diğer insanların yüzlerini (kendilerinin dışında) hatırlamak zorundadır. Bu yaklaşımda olası bir saldırganın kullanıcının yüz tercihlerini olağanüstü derecede yakından bilmesi gerekir. Ayrıca kullanıcının alışma aşamasında zaman içinde aynı yüzleri seçmesi beklenebilir.

Londra’daki Goldsmiths Üniversitesi’nde denenmiş olan PassFaces sistemi, kullanıcıdan dört kişinin yüzünü seçmesini ve hatırlamasını istemiştir. İlk seçim, kullanıcının kendi tercihine dayanıyordu ve bu anlamda, AEbA ile ilgiliydi. Kaynak

AEbA’ya en yakın olan, Déjà vu olarak adlandırılan bir çalışmadır. Bu çalışmada rastgele sanat görüntüleri sunuluyordu. Bunların amacı mutlaka haz uyandırmak değil, dikkat çekici ve uyumsuz görüntüler yoluyla kullanıcıların belirli resimleri hatırlamasını sağlamaktı. Bu resimler ilk kayıtta bir portföye alınıyor, kimlik doğrulamada ise çok sayıda seçenek arasından tanınmaları gerekiyordu.

Déjà vu için bir ‘tercih edilen’ resim portföyü oluşturma. Kaynak: https://netsec.ethz.ch/publications/papers/usenix.pdf

Yeni makalenin yazarları bu yaklaşımın nöroestetik literatürde açıklanan yararları göz ardı ettiğini belirtir; sunulan rastgele görüntülerle bağ kurmak için içsel motivasyon azdır.

Bu yöntem ayrıca omuz üzerinden gözetlemeye açıktır: yakındaki bir saldırgan veya araya giren saldırgan (MiTM) hangi resimlerin seçildiğini görebilir. AEbA’nın tam uygulaması ise eğitimde veya kimlik doğrulamada daha önce kullanılan resimleri tekrarlamaz.

Ayrıca, makalede not edilir*:

‘Görsel parolalarda bir sorun, kullanıcıların basit çizimler seçme eğiliminde olması ve bu durumun parolaların değişkenliğini azaltması ve onları daha savunmasız hale getirmesidir. Bir başka sorun (ve belki de önceki nedenin bir sonucu), böyle bir şemanın birden fazla sistemde kullanılması durumunda, kullanıcıların bir sistem için parola hatırlamasının, başka bir sistemin parolasını hatırlamasını engellemesidir. AEbA’yı uygularken bu sorunlar daha az önemlidir, çünkü sistem belirli hesaplara veya resimleri ezberlemeye bağlı olmayan doğuştan gelen tercihlere dayanır.’

Yazarlar, AEbA’nın bir başka avantajını da vurgulamaktadır: bağlamsal algı. Omuz üzerinden gözetleyen biri veya RAT saldırganı, kimlik doğrulama oturumunu görse bile, “beğenilmeyen” resimlerin (kimlik doğrulama sırasında düşük veya reddedilen resimlerin) “beğenilen” resimden ne kadar uzakta olduğunu bilemez – bu, her defasında farklı olacaktır.

‘Dolayısıyla, bir kişinin bir resimi beğendiğini bilmesi, diğer resimlere kıyasla ne kadar beğendiğini bilmediğimiz sürece, bize mutlaka yardımcı olacak değildir.’

Ayrıca, bir kullanıcı, beğenilen resim içeriğinin alanının son derece soyut ve indirgenemez olması nedeniyle, parolasını güvensiz bir şekilde depolayamaz.

AEbA Testi

Araştırmacılar, sistemi bir oyun olarak uygulamış ve projenin temel öncüllerini kanıtlamak için bir proof-of-concept olarak kullanmışlardır. pexels.com’dan 318 resimden oluşan bir veritabanı oluşturmuşlar ve ayrıca kişisel bir arşivden resimler eklemişlerdir.

Resimler sekiz kategoriye (Evren, Doğa, Dağlar, Orman, Çiçekler, Şehir manzaraları, Deniz manzaraları ve Diğer) ayrılmış ve denemeler Kayıt (kullanıcıların resimleri ilk kez değerlendirdiği on dakikalık bir oturum), Kimlik Doğrulama Oyunu ve nihayet Adversarial Oyun (diğerlerinin resim tercihlerini tahmin etme) olarak ayrılmıştır.

Katılımcıların bir kısmının katkıda bulunmaması nedeniyle, kolayda örneklem, yani deneme grubu, 33 uygun oyuncuya indirilmiştir. Bu grupta 21 kadın ve 12 erkek bulunmaktadır.

Kayıt

Kayıt aşamasında, 274 resim için 3722 değerlendirme elde edilmiştir. Ortalama puan 6,07, medyan puan 6’dır ve en sık görülen değerler 7 ve 8’dir. En az beğenilen resim 2,32 puan, en çok beğenilen resim 8,63 puan almıştır.

Denemelerin en iyi performans gösteren katılımcıları arasındaki resim puanlarının dağılımı.

Yazarlara göre resim puanlarının yüksek ve düşük değerlere belirgin biçimde yığılması ve bu derecelendirmelerin kullanıcılar arasında farklılaşması, insanların sunulan resimlere ayırt edici beğeni puanları verebildiğini destekler. Bunun için açıkça itici veya dağılım dışı görüntüler eklemek gerekmez. Küçük bir kullanıcı grubunda bile değişken beğeni ve tercihlerin temel kavramı doğrulamaya yettiği görülmektedir.

Çeşitli kullanıcı puanlarına sahip örnek resimler.

Kimlik Doğrulama

Kimlik Doğrulama oyunu için, 264 oyun oturumu yapılmıştır. Her katılımcı, oyunu iki kez, ortalama sekiz oturumda tamamlamıştır. Ortalama başarı oranı %76’dır.

33 deneme katılımcısı arasındaki oyun puanı dağılımının kutu grafiği, siyah yatay çizgi ile belirtilen ortalama puanlar, medyan, ilk ve üçüncü çeyrekler, minimum, maksimum ve aykırı değerler.

Zaman içinde performansında hafif bir düşüş olsa da, bu durum en iyi %50’lik grupta büyük ölçüde azaltılmış ve 11 en iyi katılımcıda (nihai kullanıcı grubunun üçte biri) neredeyse kaybolmuştur.

Adversarial Oyun

Adversarial Oyun bileşeni, sınırsız oyun (kayıt aşamasının aksine) ve Oyun aşamasının başlangıcından on gün sonra gerçekleşmiştir. Sonuçlar için 190 oyun sayılmıştır (teknik sorunların yaşandığı oyunlar hariç). Doğru Adversarial seçimleri ortalama 2,88, %36’lık bir başarı oranı ile teknik olarak rastgele tahmine eşittir (özellikle düşük resim sayısı nedeniyle). Ancak yedi oyunda, katılımcılar %75 veya daha fazla doğru resimi tahmin edebilmiştir.

Sonuç

Çalışmanın kolayda örneklem kullanımı gibi gayriresmî test yöntemi, yaklaşımın henüz başlangıç düzeyinde bir kavram kanıtı olduğunu gösterir; insan merkezli “alan yakalama”nın, bir gün kolay ve hatta keyifli bir kimlik doğrulama yöntemi sunabileceğinin ilk işaretidir; bu yöntemi bir saldırganın ele geçirmesi veya bozması zor olabilir. Daha katı denemeler, daha fazla katılımcı ve uygun bir kimlik doğrulama senaryosu ile AEbA’nın değerini kanıtlamak için gerekli olacaktır.

Yazarlar, şunları belirtirler:

‘Ayrıca, bireysel kullanıcıların değerlendirmelerini tahmin etmek ve daha önce derecelendirilmemiş doğru resimler ve yanıltıcı resimler oluşturmak için makine öğrenimi tekniklerini kullanma potansiyelini incelemek ilginç olacaktır. Bu, bireysel kullanıcıların resim havuzlarını ve değişkenliklerini artırarak parola alanını artırabilir.’

*Yazarların satır içi alıntılarını hyperlinklere dönüştürme.

İlk olarak 13 Nisan 2022’de yayımlanmıştır.