Aus dem Auge des Nutzers: Authentifizierungsverfahren auf mobilen Endgeräten

Transkript

1 Aus dem Auge des Nutzers: Authentifizierungsverfahren auf mobilen Endgeräten Verteidigung Betreuer: Prof. Dr. Roth, Oliver Wiese Zweitgutachter: Prof. Dr. Lutz Prechelt Johannes Schäffer

2 Motivation 2

3 Motivation DATA Schützenswerte Daten 3

4 Motivation DATA Schützenswerte Daten Verschlüsselung Authentifizierungsverfahren 4

5 Motivation DATA Schützenswerte Daten Verschlüsselung Authentifizierungsverfahren TV Multi-Tasking 5

6 Motivation DATA Schützenswerte Daten TV Verschlüsselung Authentifizierungsverfahren **** Multi-Tasking 6

7 Motivation DATA Schützenswerte Daten TV Verschlüsselung Authentifizierungsverfahren **** Multi-Tasking Shoulder-Surfing 7

8 Outline Related Work Studie: Nutzungsszenario Ergebnisse: Nutzungsszenario Angriffsszenario Lessons Learned Ausblick 8

9 Related Work 9

10 Related Work Was wurde bisher untersucht? Wo und wie werden EyeTracker eingesetzt? 10

11 Related Work Was wurde bisher untersucht? Wo und wie werden EyeTracker eingesetzt? Authentifizierung: Wissensbasierte Verfahren Studien: Harbach et al. Häufigste Verfahren: PIN & Pattern 11

12 Related Work Was wurde bisher untersucht? Wo und wie werden EyeTracker eingesetzt? Authentifizierung: Wissensbasierte Verfahren Studien: Harbach et al. Häufigste Verfahren: PIN & Pattern Eye-Tracker UX-Untersuchungen Als Entsperrverrverfahren Liu et al. Dachuan Liu, Bo Dong, Xing Gao, and Haining Wang. Exploiting eye tracking for smartphone authentication. In ACNS,

13 Related Work Was wurde bisher untersucht? Wo und wie werden EyeTracker eingesetzt? Authentifizierung: Wissensbasierte Verfahren Studien: Harbach et al. Häufigste Verfahren: PIN & Pattern Eye-Tracker UX-Untersuchungen Als Entsperrverrverfahren Liu et al. Neu Eye-Tracker als Untersuchungsmethode für Sperrverfahren Dachuan Liu, Bo Dong, Xing Gao, and Haining Wang. Exploiting eye tracking for smartphone authentication. In ACNS,

14 Studiendesign 14

15 Studiendesign Forschungsfragen: Erlaubt ein Sperrverfahren mehr visuelle Aufmerksamkeit für andere Tätigkeiten? Explorativ: Was kann mithilfe von Eye-Trackern bei Shoulder-Surfing gemessen werden? 15

16 Studiendesign Forschungsfragen: Erlaubt ein Sperrverfahren mehr visuelle Aufmerksamkeit für andere Tätigkeiten? Explorativ: Was kann mithilfe von Eye-Trackern bei Shoulder-Surfing gemessen werden? Laborstudie 17 Teilnehmer (ursprünglich 20) 8 Frauen, 9 Männer 16 von 17 studieren PIN: 8 Pattern: 7 Biometrisch: 1 Nichts: 1 16

17 Android App Konfigurierbar Training Experiment: Simulation von Benachrichtigungen PIN Pattern SwiPIN ScramblePad 17

18 Nutzungsszenario 18

19 Nutzungsszenario Zunächst mit Alltagsverfahren, dann mit anderem: Geheimnis lernen 6 mal: Handy vibriert Geheimnis eingeben Ablenkung: Video sehen und Autos zählen 19

20 Nutzungsszenario Zunächst mit Alltagsverfahren, dann mit anderem: Geheimnis lernen 6 mal: Handy vibriert Geheimnis eingeben Ablenkung: Video sehen und Autos zählen Unser Interesse: Blickdauer auf Video Entsperrdauer 20

21 Semantic Gaze Mapping 21

22 Semantic Gaze Mapping Referenzbild Stimulus Zeitleiste: Video + Fixationen 22

23 Semantic Gaze Mapping Referenzbild Stimulus Distraction Video Smartphone Zeitleiste: Video + Fixationen 23

24 Gaze Mapping: Pattern Kein Blick aufs Video Zwei Blicke aufs Video P2 Erste Entsperrung 1,4 Sekunden P8 Erste Entsperrung 1,1 Sekunden 24

25 Gaze Mapping: PIN Kein Blick aufs Video Drei Blicke aufs Video P4 Fünfte Entsperrung 1,4 Sekunden P6 Erste Entsperrung 1,3 Sekunden 25

26 Ergebnisse =7,4s =6,7s 26

27 Ergebnisse Pattern: Personen mit hoher VideoAufmerksamkeit um Mittel der anderen =7,4s =6,7s 27

28 Ergebnisse Pattern: Personen mit hoher VideoAufmerksamkeit um Mittel der anderen Pin: Personen mit hoher VideoAufmerksamkeit brauchten deutlich länger =7,4s =6,7s 28

29 Ergebnisse 29

30 Ergebnisse Keine statistische Signifikanz 30

31 Ergebnisse Keine statistische Signifikanz Viele Messlücken 31

32 Blinzeln? Ergebnisse Keine statistische Signifikanz Viele Messlücken Sakkade? Eye-Tracker-Versagen? 32

33 Blinzeln? Ergebnisse Keine statistische Signifikanz Viele Messlücken Sakkade? Strategie bei Aufmerksamkeitssplitting 1. Augen Ziel 2. Finger bewegt sich hin 3. Augen Video 4. Finger erreicht Ziel 5. Augen nächstes Ziel Eye-Tracker-Versagen? 33

34 Angriffsszenario Video: Angreifer folgt mit Blick dem Finger P19, ScramblePad (4 stellig), Dritter Versuch ½ -fache Abspielgeschwindigkeit Beobachtung Verschiedene Strategien 34

35 Eye-Tracking: Lessons Learned Vorbereiten auf fehlerhafte Aufnahmen Teilnehmer-Puffer Beeinträchtigung des Eye-Trackers Position des Smartphones, Halterung Lichtverhältnisse Kopfform, Augenposition, Augenform beeinflussen Eye-Tracker-Genauigkeit 35

36 Ausblick 36

37 Ausblick Bisher wenig beachtete Dimension bei Sperrverfahren: Level visueller Aufmerksamkeit 37

38 Ausblick Bisher wenig beachtete Dimension bei Sperrverfahren: Level visueller Aufmerksamkeit Anderer Versuchsaufbau: realistischere Ablenkungssimulation Verkehr: Fußgänger, Auto (aufbauend auf Haga et al. 2015) Gespräche 38

39 Ausblick Bisher wenig beachtete Dimension bei Sperrverfahren: Level visueller Aufmerksamkeit Anderer Versuchsaufbau: realistischere Ablenkungssimulation Verkehr: Fußgänger, Auto (aufbauend auf Haga et al. 2015) Gespräche Analyse von Shoulder-Surfing-Angriffen unter Berücksichtigung verschiedener Blick-Strategien 39

40 Ausblick Bisher wenig beachtete Dimension bei Sperrverfahren: Level visueller Aufmerksamkeit Anderer Versuchsaufbau: realistischere Ablenkungssimulation Verkehr: Fußgänger, Auto (aufbauend auf Haga et al. 2015) Gespräche Analyse von Shoulder-Surfing-Angriffen unter Berücksichtigung verschiedener Blick-Strategien Szenario: Geübte Angreifer 40

41 Danke 41

42 Versuchsaufbau: Angriff ScramblePad & SwiPIN Zufallselement Einstellige und vierstellige Geheimnisse Versuchsleiter gibt Geheimnis ein Studienteilnehmer stiehlt Geheimnis **** Shoulder-Surfing 42

43 Ergebnisse Erfolgsraten ScramblePad: Nahezu 100% SwiPIN (1-stellig): 50% SwiPIN (4-stellig): 33% Strategien Finger folgen Anderes (schweifender Blick) Vermutlich periphere Wahrnehmung Kombination von beidem 43

44 Plot: Timetable 44

45 Autos zählen / Relative Aufmerksamkeit 45

46 Dauer / Relative Aufmerksamkeit (Video) 46

47 Differenz: Erster - Zweiter Durchgang schneller Weniger VideoAufmerksamkeit Mehr VideoAufmerksamkeit langsamer 47

48 Synchronisationsproblem Zeitdifferenz in ms Zeitpunkt des Versuchs (UNIX-Timestamp) 48