弥合可用安全研究与开源实践之间的差距——与VeraCrypt长期合作的经验教训

研究背景与问题

• 作者发现了哪些问题或挑战？
  本研究识别出VeraCrypt作为一个开源加密工具存在严重的可用性问题。尤其是设备加密的设置流程对于非技术用户过于复杂，导致参与者需要较长的时间完成操作，甚至完全失败。实验数据显示，参与者使用VeraCrypt完成加密任务的时间显著长于其闭源对手（如Apple FileVault和Microsoft BitLocker），且很多选项导致了困惑，例如加密算法的选择以及创建救援磁盘的过程。

• 为什么这个问题很重要？
  设备加密是保护数据隐私的关键手段，但复杂的用户界面降低了普通用户的接受度和使用成功率。通过提高工具的可用性，可以帮助非技术用户更轻松地保护自己的数据，减少安全漏洞。此外，可用性在安全工具中与安全性紧密相关，因为有利于减少用户产生错误的可能性。

• 研究动机与相关工作
  尽管社区和学术研究一直认识到密码学工具的可用性问题（例如《Why Johnny Can't Encrypt》中揭示了加密工具的可用性挑战），很少有实证研究直接研究如何将研究发现转化为现实世界中的开源实践。VeraCrypt的前身TrueCrypt已有研究表明界面复杂性令人“担心”，而VeraCrypt在此基础上变得更加复杂。本研究希望通过一次4年的长期案例研究，探讨从学术研究到开源社区实践的转化过程以及阻碍实现这一目标的阻力。

解决方案

• 作者提出了哪些方法或解决方案？
  作者通过用户调研和认知分析设计了一系列改进方案，包括重新设计用户界面（UI）和提升文档可读性。此外，通过引入更具默认安全性配置选项、减少不必要的用户决策、并隐藏复杂选项以简化操作流程。

• 该解决方案的创新之处是什么？
  创新在于结合用户研究和安全标准（如AES和SHA-512作为默认加密和哈希算法）提出具体的设计改进。同时，本项目试图将学术研究的可用性提升建议实际应用于开源软件实践，这是较为少见的领域切入。

• 实施步骤是什么？使用了哪些关键技术？

  1. 用户实验（US-1、US-2、US-3）：实验分阶段评估原始UI和重新设计UI的可用性。
     • 使用Think-Aloud方法了解用户面对挑战时的思维过程。
     • 提供用户反馈按钮，以捕捉失败点和设计瓶颈。
  2. UI改进设计：去除多余的页面（如鼠标随机动作页面）、设置默认的加密算法选项、添加新手引导页面及检查清单以减少操作中的风险。
  3. 社区互动和代码改进：向VeraCrypt社区提交代码改进建议（Pull Requests，简称PR），并与社区展开讨论。通过加入安全企业的开发专家，协助实现技术落地。
  4. 编译支持：撰写编译指南以降低开发者进入该开源项目的门槛。

研究成果

• 取得了哪些具体成果？

  1. 通过重新设计，用户设置设备加密的时间减少了近50%，且成功完成任务的比例从2/21提高到14/21。
  2. 实现了更具可用性的新界面版本，并提交了与社区相关的5个PR。
  3. 发布了一份编译指南，显著提高了开发者编译最新版本VeraCrypt的可操作性。

• 与现有解决方案相比，它有哪些优势？
  作者的设计显著降低了用户的时间成本和学习成本，并显著提升用户体验分数。方案中提供的编译指南也被社区和项目维护者视为一项有价值的贡献。

• 实验或评估结果是什么？

  • 在第三次用户研究（US-3）中，尽管新UI在任务操作效率上有所改进，但由于救援磁盘创建页面未被修改，该页面仍花费了大量时间并导致困惑。
  • 用户任务完成时间显著下降，成功完成率进一步提升。
  • 平均可用性得分（SUS）从53/100上升到81/100。

• 局限性与未来方向

  • 局限性：
    1. 社区普遍对提升可用性的安全性影响产生质疑（具体如随机熵问题）。
    2. PR未被合入主分支，由于代码复杂性和缺乏信任，修改被归档在独立分支中。
    3. 用户研究样本有限且不够多样化，主要集中于学生群体。
  • 未来方向：
    1. 在与其他开源社区的合作中探索通用模式，降低学术发现转化为实践的障碍。
    2. 借助更强的沟通框架与OSS社区共同制定目标，解决信任和安全信念分歧。
    3. 重新设计代码架构以提升项目整体代码质量，包括前后端分离。

通过此4年的案例研究，作者揭示了学术研究与开源实践之间的落差，同时提出了针对性的改进建议。这为未来研究者和实践者在合作目标、过程透明性以及开发参与策略方面提供了宝贵经验。