Abstract
This paper explores the feasibility of automatically extracting passwords from a user's daily activity logs, such as her Facebook activity, phone activity etc. As an example, a smartphone might ask the user: "Today morning from whom did you receive an SMS?" In this paper, we observe that infrequent activities (i.e., outliers) can be memorable and unpredictable. Building on this observation, we have developed an end to end system ActivPass and experimented with 70 users. With activity logs from Facebook, browsing history, call logs, and SMSs, the system achieves 95% success (authenticates legitimate users) and is compromised in 5.5% cases (authenticates impostors). While this level of security is obviously inadequate for serious authentication systems, certain practices such as password sharing can immediately be thwarted from the dynamic nature of passwords. With security improvements in the future, activity-based authentication could fill in for the inadequacies in today's password-based systems
چکیده
در این مقاله قصد داریم از طریق کنکاش و کاوش در سوابق فعالیت‌های روزمره‌ی کاربران -مانند فعالیت‌های وی در فیس‌بوک، تماس‌های تلفنی و غیره- به بررسی امکان استخراج خودکار رمزهای عبور آن‌ها بپردازیم. به‌عنوان‌مثال، یک تلفن هوشمند ممکن است چنین سؤالی را از کاربر بپرسد:" امروز صبح از چه کسانی پیامک دریافت کردی؟". در این مقاله، مشاهده خواهیم کرد که فعالیت‌های نادر (مثلاٌ فعالیت‌های پرت) می‌تواند شامل فعالیت‌هایی بوده که قابل پیش‌بینی و یادآوری هستند. با مدنظر و مبنا قرار دادن این مشاهده، یک سیستم انتها به انتها -تحت عنوان ActivePass- را توسعه داده‌ایم و آزمایش‌هایی را از طریق آن بر روی 70 کاربر انجام دادیم. این سیستم با استفاده از سوابق فعالیت کاربران در فیس‌بوک، تاریخچه‌ی کاوش در وب، سوابق تماس و پیامک‌ها به یک سطح موفقیت 95 درصدی ( تشخیص کاربران قانونی) دست‌یافته و در 5.5 %از موارد ( هویت سنجی کاربران فریبکار) نیز در وضعیتی آسیب‌پذیر و خطرآفرین قرارگرفته است. با توجه به اینکه یک چنین سطح امنیتیای نمی‌تواند برای سیستم‌های هویت سنجی مهم بکار گرفته شود، با توجه به ماهیت پویای رمزهای عبور، می‌توان از روش‌های خاصی مانند اشتراک‌گذاری رمز عبور اجتناب کرد. با توجه به بهبودی‌های امنیتی که در آینده شاهد آن خواهیم بود، هویت سنجی مبتنی بر فعالیت می‌تواند جایگزینی برای روش‌های ناکارآمد در سیستم‌های مبتنی بر رمز عبور امروزی باشد.
1-مقدمه
همه‌ی انسان‌ها در سه سطح زندگی می‌کنند: عمومی، خصوصی و رمزی "گابریل گراسیا مارکوئیز"رمزهای عبور را می‌توان به‌عنوان متدی استاندارد برای هویت سنجی شناسه‌ی کاربر در نظر گرفت. این متد در طی چند دهه‌ی اخیر با موفقیت گسترده‌ای همراه بوده است و توانسته است موازنه‌ای کارآمد را بین امنیت و سادگی فراهم سازد. متأسفانه رمزهای عبور مقیاس‌پذیری خوبی با مقیاس رو به تغییر چشم‌انداز رایانشی ندارند. برای مثال:با افزایش سریع تعداد اپلیکیشن ها و سرویس‌های آنلاین، توانایی در به یادآوردن رمزهای عبوری که برای سایت‌های خاص مشخص کرده‌ایم تقریباٌ به یک مانع بزرگ و امری سخت مبدل گردیده است. استفاده از رمزهای عبور رایج برای سایت‌های مختلف باعث شده تا این سختی کاهش پیدا کند، ولی این کار با کاهش سطح امنیت همراه خواهد بود.با ظهور سرویس‌های ابری، مانند NetFlix، کاربران می‌توانند رمزهای عبور خود را در بین دوستان به اشتراک بگذارند و ازاین‌رو هویت سنجی از طریق رمز عبور ضرورتاٌ برای جلوگیری از چنین رفتارهایی طراحی نشده است...