更好，更有趣，更强：一种游戏化方法，引导人们选择不太可预测的图形密码

文献标题

Better, Funner, Stronger: A Gameful Approach to Nudge People into Making Less Predictable Graphical Password Choices

文献信息

• 主题领域: 用户认证、图形密码、信息安全、人机交互。
• 关键词: 图形密码、游戏化、用户行为改变、密码安全、密码选择、自主探索、可用性、认知行为、安全教育、用户体验。

研究背景与问题

• 发现问题: 图形用户认证（Graphical User Authentication, GUA）系统中，尽管理论上密码空间较大，但用户往往在背景图片的显著区域选择密码，这会显著增加密码的可预测性，降低安全性。
• 重要性: 密码安全是保护用户数据隐私的关键，而目前的GUA系统安全性不足的问题使其难以胜任。此外，通过限制性密码政策干涉用户选择往往会影响密码的可用性和用户体验。
• 研究动机与相关工作:
  • 已有研究尝试通过增加约束或技术干预（如显著性掩膜或视线追踪）影响用户密码选择，但这些方法存在局限性，如强制性限制或对特定设备的依赖。
  • 游戏化（gamification）作为一种在教育、用户行为改变等领域取得成功的非侵入性技术，尚未被充分应用于增强GUA密码创建过程的安全性。

解决方案

• 方法或解决方案: 提出了GamePass，一个游戏化的图形密码创建机制。
  • 核心机制为在背景图像中随机生成隐藏热点（hotspots），通过计分游戏引导用户探索更多的图片区域，并在不加限制的情况下填写密码。
• 创新之处:
  • 将“热点探索”功能融入密码创建过程中，通过触发用户的认知好奇心和自我动机，使其在探索中自然分散注意力，从而选择更随机的区域。
  • 利用游戏化元素提高用户的参与度，同时保护其密码选择过程的自由性，避免依赖特殊设备。
• 实施步骤与技术:
  1. 背景图像加载后，随机分布三个热点。
  2. 用户通过敲击（tap）、划线（line）和画圆（circle）创建密码，对应热点计算得分。
  3. 每完成一次手势，显示得分和排名，最后生成排行榜和奖励证书。
  4. 要求用户确认密码以完成创建过程，同时模拟实际登录任务以评估方案。

研究成果

• 具体成果:
  • 密码空间与分布:
    • GamePass用户选择的密码点分布更随机，与传统的OriPass相比，密码空间更大，特别是在中、高复杂度背景图像下。
  • 密码强度:
    • 统计结果表明，GamePass用户创建的密码比OriPass方案更难以预测，特别是在图像复杂度较高时。
  • 用户体验:
    • GamePass不仅增加了用户的参与感，还提升了用户对密码创建过程的游戏体验和奖励体验（如排行榜和个性化证书）。
• 与现有解决方案相比的优势:
  • 不依赖于强制性密码选择政策或对特定硬件的需求。
  • 用户体验更友好，游戏化增强了用户的交互乐趣和自发性。
  • 在不显著降低可用性的情况下，大幅提升了密码安全性和密码空间利用率。
• 实验与评估结果:
  • 实验设计: 在用户中开展了对比实验，参与者通过原始GUA（OriPass）与游戏化GUA（GamePass）两种方案，分别创建密码。
  • 结果验证: GamePass在分布随机性、密码强度和用户参与度上均显著好于传统的考虑显著区域的模式。
• 局限性与未来方向:
  • 背景图像复杂度的依赖性: 低复杂度图像中，GamePass效果并不显著。
  • 长期记忆评估未完成: 研究未深入分析长期使用对密码记忆的影响。
  • 文化偏倚与实际应用限制: 不同文化背景对密码选择行为的潜在影响尚需探讨，此外，商用实现和部署的生态验证仍待解决。
• 未来方向:
  1. 开展纵向研究，评估长期记忆性及用户行为的可持续性。
  2. 进一步研究不同背景图像种类的影响，结合眼动跟踪等技术优化用户交互设计。
  3. 将GamePass与传统文字密码、PIN和生物识别等机制进行对比，分析其在安全性、易用性等方面的效果差异。

总结

本文提出了通过游戏化改变用户密码行为的创新性方案GamePass，在不增加用户负担的情况下显著提高了图形密码的安全性和用户体验。这种方法为密码认证的游戏化设计和用户安全教育提供了新的研究方向。