SIGCHI 优秀博士论文奖 - 用数据支持密码决策

尽管几十年来一直在研究开发抽象的安全建议和改进界面，用户仍然难以创建密码。用户经常创建对攻击者来说可预测的密码[1, 9]，或者做出其他损害其安全性的决定（例如，在不同账户中重复使用相同的密码）[2, 8]。在这篇论文中，我使用数据驱动的方法来更好地理解用户如何选择密码以及攻击者如何猜测密码。然后，我将这些见解整合到一个更好的密码强度计中，该计数器可以实时提供有关用户密码的数据驱动反馈。首先，我量化了向用户展示不同密码强度计对密码安全性和可用性的影响，这些强度计使用基本的启发式方法对密码进行评分。我在一项有2,931名参与者的研究中发现，严格评分密码并以视觉方式呈现其强度估计的计数器可以使用户创建更强的密码，而不会显著影响密码的记忆性[6]。其次，为了更好地理解攻击者如何猜测密码，我对密码破解方法进行了全面的实验。我发现，仅仅以默认配置运行这些方法是不够的，但同时考虑多个配置良好的方法可以作为密码取证专家猜测的代理[9]。论文的第三和第四部分进一步探讨了用户如何选择密码。通过一系列分析，我指出了用户在其密码中结构化语义重要内容的方式[7]。我还考察了用户对密码安全性的感知与密码实际安全性之间的关系，发现虽然用户通常能够正确判断个别密码特征的安全性影响，但对其理解攻击者的广泛差异可能导致用户将可预测的密码判断为足够强大[5]。最后，我将这些见解整合到一个开源的密码强度计中，该计数器可以为用户提供关于其特定密码的数据驱动反馈。该计数器使用神经网络[3]和许多精心结合的启发式方法对密码进行评分，并生成关于给定密码的数据驱动文本反馈。我通过一项有十名参与者的实验室研究和一项有4,509名参与者的在线研究来评估该计数器[4]。在我们测试的更常见的密码组成策略下，我们发现具有详细反馈的数据驱动计数器可以使用户创建更安全且不更难记忆的密码，而不仅仅是使用条形图作为强度指示器的计数器。总之，本论文的目的是证明将关于用户如何创建密码和攻击者如何猜测密码的数据驱动见解整合到一个提供实时反馈的工具中，如何帮助用户创建更好的密码。