Usable and secure user authentication

RNDr. Agáta Kružíková

Doctoral thesis

Abstract:

V moderním přístupu k zabezpečení informačních technologií (IT) je považováno za klíčové, aby uživatelé nebyli opomíjeni při návrhu nových bezpečnostních řešení. Tato práce se zabývá jednou zásadní oblastí bezpečnostních opatření, a to použitelnou a bezpečnou autentizací uživatele. Tato práce řeší obtíže, které uživatelé zažívají při dodržování bezpečnostních opatření, a to kvůli náročnosti bezpečnostních požadavků a jejich nedostatečné použitelnosti. Cílem této práce je zlepšit autentizaci uživatele skrze porozumění faktorů ovlivňující vnímání a následné vylepšení použitelnosti. Práce se zaměřuje na tři hlavní kategorie: běžné koncové uživatele, budoucí odborníky v oblasti IT (například studenty informatiky) a současné IT odborníky (například vývojáře). V kontextu autentizace běžného koncového uživatele jsme provedli studii zkoumající čtyři autentizační metody (PIN, otisk prstu, NFC token, kartu se čtečkou) z hlediska jejich použitelnosti a vnímané bezpečnosti v rámci aplikace mobilního bankovnictví. Naše zjištění ukazují, že autentizace otiskem prstu je vnímána jako nejpoužitelnější a nejbezpečnější metoda. Nepodařilo se nám však identifikovat žádný konzistentní prediktor platný pro všechny testované metody. Dále jsme také zkoumali časové aspekty autentizačních metod založených na vlastnictví (NFC tokenu a karty se čtečkou) a zjistili jsme, že spokojenost uživatelů s tím, kolik času věnovali autentizaci, má větší vliv na pozitivní vnímání zkoumaných metod než skutečný čas strávený autentizací. Tato studie byla provedena ve spolupráci s průmyslovým partnerem, společností Ahead iTec, a na základě našich zjištění byla společnosti prezentována praktická doporučení. Jelikož autentizace otiskem prstu byla vnímána jako nejbezpečnější metoda, zkoumali jsme vliv na vnímání její bezpečnosti pomocí simulace padělání otisku prstu, kterou absolvovali studenti na Fakultě informatiky Masarykovy univerzity. Účastníci po simulaci reportovali nižší záměr používat autentizaci otiskem prstu pro online bankovnictví. Získali jsme ale různorodé výsledky ohledně jejich změny vnímání bezpečnosti otisku prstu. V rámci této výzkumné práce byl vytvořen seminář, který je nyní vyučován na Fakultě informatiky a absolvuje jej každý rok přibližně 300 studentů. Tomu, jak IT odborníci vnímají autentizaci, dosud nebyla věnována přílišná pozornost. Pro studii vnímaní bezpečnosti, použitelnosti a chování IT odborníků v kontextu autentizace a open-source jsme zvolili vývojovou platformu GitHub. Naše zjištění byla pozitivní – většina účastníků již dvoufaktorovou autentizaci na GitHubu používala a vnímala její prosazování na této platformě pozitivně. Tento výzkum byl proveden ve spolupráci s firmou Red Hat Inc.

Abstract:

The modern approach to information technology security considers users as crucial stakeholders and involves them in designing new security solutions. This thesis concentrates on one critical aspect of security measures: usable and secure user authentication. The problem addressed by this thesis is the difficulty users encounter in adhering security due to overwhelming security requirements and features that lack usability. The goal of this thesis is to improve user authentication by gaining a deeper understanding of influencing factors and implementing usability enhancements. It focuses on three main areas: regular end-users, future information technology (IT) professionals (such as computer science students), and current IT professionals (such as developers). In the context of regular end-user authentication, we conducted a user study to assess four authentication methods (PIN, fingerprint, NFC token, and card with a card reader) in terms of their usability and security perception within an online banking application on smartphones. Our findings indicated that fingerprint authentication was perceived as the most usable and secure method. However, we did not identify any consistent predictor applicable to all tested methods. Additionally, we examined the time-related aspects of token-based authentication methods, discovering that user satisfaction with the time spent on the authentication task is more important than the objective task completion time in influencing the perception of authentication methods positively. This study was conducted in collaboration with our industrial partner, Ahead iTec, and practical improvements were recommended to the company based on our findings. Since fingerprint authentication emerged as the most secure method, we investigated its impact on security perception by conducting a simulation of fingerprint forgery experienced by computer science students at the Faculty of Informatics, Masaryk University. Participants showed decreased intention to use fingerprint authentication for online banking after the forgery experience, but we obtained mixed results regarding their shift in security perception. As part of this research, a seminar was developed and is now taught at the Faculty of Informatics, reaching 300 students every year. Not much attention was given to IT professionals regarding their perception of authentication. We selected an open-source development platform to investigate usability, security perception, and behavior related to authentication among users in the IT domain. Our findings were positive – a majority of participants already use two-factor authentication on the selected open-source development platform, GitHub, and they also positively perceived two-factor authentication enforcement on this platform. This research was conducted in collaboration with Red Hat.

Keywords

usable security, authentication, two-factor authentication, fingerprint authentication

Language used: English

Date on which the thesis was submitted / produced: 26. 4. 2024

Thesis defence

• Date of defence: 26. 8. 2024
• Supervisor: prof. RNDr. Václav Matyáš, M.Sc.
• Reader: Prof. Simone Fischer-Hübner, Assoc. Prof. Michael Kenneth Just, PhD.

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Computer Science / Fundamentals of Computer Science