On selected end-user issues in usable security

RNDr. Vlasta Šťavová

Doctoral thesis

Abstract:

Cílem mého výzkumu je zvýšit bezpečné chování běžné populace koncových uživatelů. Ve své práci jsem spolupracovala s firmami ESET, SODATSW a ÚVT MU na prozkoumání následujících oblastí použitelné bezpečnosti: 1) Porozumění chování běžného uživatele při zacházení s bezpečnostním software. 2) Testování použitelnosti mechanismu obnovy hesla. 3) Charakteristice uživatelů, kteří instalují, beta testují a používají bezpečnostní software. V oblasti 1) jsme zkoumali, zda návrh bezpečnostního dialogu v bezpečnostním softwaru může ovlivnit chování koncových uživatelů. Analyzovali jsme 15 variant uživatelského dialogu pro detekci potenciálně nežádoucích aplikací (PUA). Varianty používají jak textové, tak vizuální aspekty, které byly již dříve testovány a ověřeny jako funkční, např. zvyšování pozornosti, strukturování textu, zdůrazňování účelu atd. Spolupracovali jsme s firmou ESET a shromáždili data z přibližně 750 000 instalací bezpečnostního software provedených koncovými uživateli zařízení. Zkoumali jsme také faktory ovlivňující výběr prémiového bezpečnostního softwaru vytvořeného společností ESET. Nepozorovali jsme žádný významný dopad návrhů obrazovky na chování uživatele. Zjistili jsme však významnou korelaci pohlaví, vzdělání, země a věku uživatele s nákupem prémiové licence. Pokud jde o oblast 2), ve spolupráci s firmou SODATSW jsme na vzorku 186 účastníků testovali dvě alternativní řešení pro obnovu hesla. A to pomocí QR kódů a důvěryhodných blízkých lidí. Většina účastníků dala své celkové preference řešení, které považovali za jednodušší a uživatelsky přívětivější: obnově hesla založené na kódu QR. Ohledně oblasti 3) jsme spolupracovali se společností ESET na rozsáhlém výzkumu o tom, kdo instaluje bezpečnostní software a na porovnání beta testerů a běžných uživatelů jejich hlavního produktu. Zkoumali jsme téměř 600 000 beta testerů a běžných uživatelů a 18 727 instalací bezpečnostního softwaru ESET. Naše studie o instalátorech bezpečnostního softwaru ukázala, že každou druhou instalaci bezpečnostního softwaru provádí osoba, která počítač nepoužije - a že rozdíl mezi skutečným uživatelem a instalátorem softwaru se v jednotlivých zemích značně liší.

Abstract:

The aim of my research is to increase secure behaviour of a broad end-user population. We have cooperated with commercial partners ESET, SODATSW, and also with the Institute of Computer Science, Masaryk University, to investigate the following usable security areas: 1) User-oriented computer and smart devices protection – understanding end-user behaviour and decisions when operating with selected parts of security software. 2) Usability testing of password recovery mechanisms – usability study of end users being exposed to different kinds of password recovery methods. 3) Characteristics of users who install, beta test and use security software – understanding those populations in a large scale. In area 1), we investigated the question whether the design of the security dialog in the security software could influence security behaviour of end users. We analyzed several attractors in 15 variants of a user dialog for enabling Potentially Unwanted Applications detection. The variants cover both textual and visual aspects previously tested and approved in warning design, such as attention raising, text structuring, purpose stressing, etc. We cooperated with the security software company ESET and collected data from approximately 750 000 end-user installations of their security software with our variants. We also investigated factors influencing the choice of premium smart phone security software produced by ESET. We observed no significant impact of screen designs on participant's behavior. However, we found a significant correlation of user's gender, education, country and age with purchasing the premium license. Regarding the area 2), in cooperation with company SODATSW, we tested two alternate password recovery solutions, backup QR codes and trusted people, on a sample of 186 participants. The majority of participants gave their overall preferences to the solution that they consider easier to use and more user friendly: the QR code based recovery. With respect to the third area, we have cooperated with the software security company ESET in a large-scale research on who installs security software and on comparison between beta testers and regular users of their main product. We investigated nearly 600 000 beta testers and regular users and 18 727 installations of ESET security software. Our study on the security software installers showed that every other installation of security software is done by a person that will not use the computer – and that the gap between the actual user and software installer largely differs among countries.

Keywords

usable security, PUA, qualitative research, user, security, usability, ESET, antivirus, software, design, end user

Language used: English

Date on which the thesis was submitted / produced: 24. 6. 2019

Thesis defence

• Date of defence: 4. 12. 2019
• Supervisor: prof. RNDr. Václav Matyáš, M.Sc.
• Reader: Prof. Simone Fischer-Hübner, Prof. Jianxin Yan

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Informatics