Abstract
In this paper, we propose a PIN entry method that combines with machine learning technique on smartphone. We use not only a PIN but also touch time intervals and locations as factors to identify whether the user is correct or not. In the user registration phase, a remote server was used to train/create a machine learning model using data that collected from end-user device (i.e. smartphone). In the user authentication phase, the pre-trained model and the saved PIN was used to decide the authentication success or failure. We examined that there is no big inconvenience to use this technique (FRR: 0%) and more secure than the previous PIN entry techniques (FAR : 0%), through usability and security experiments, as a result we could confirm that this technique can be used sufficiently. In addition, we examined that a security incident is unlikely to occur (FAR: 5%) even if the PIN is leaked through the shoulder surfing attack experiments.
이 논문에서는 스마트폰에서 사용자 인증 프로토콜에 머신러닝을 사용하는 기법을 제안한다. 우리가 제안하는 기법은 사용자가 PIN을 입력할 때, PIN 뿐만 아니라 추가적으로 스크린을 터치하는 시간 간격 및 위치를 인증 정보로 수집하여 식별자로 사용하는 기법이다. 먼저 사용자 등록 단계에서 다수의 사용자 터치 시간 및 위치 데이터를 수집 한 다음, 그 데이터로 머신러닝을 이용하여 모델을 제작한다. 그리고 사용자 인증 단계에서 사용자가 입력한 PIN을 비교하고, PIN이 일치하면 사용자의 터치 시간 및 위치 데이터를 모델에 입력하여 기존에 수집한 데이터와 거리를 비교하여, 그에 따라 인증 성공 여부가 결정된다. 우리는 사용성 실험과 보안성 실험을 통하여 이 기법을 사용하는데 큰 불편이 없다는 것(FRR : 0%)과, 이전의 사용되고 있던 PIN 입력 기법보다 안전하다는 것(FAR : 0%)을 보였고, 그에 따라 충분히 사용될 수 있는 기법이라는 것을 확인하였다. 또한 숄더 서핑 공격 실험을 통하여 PIN이 유출되어도 보안 사고가 발생하기 힘들다는 것(FAR : 5%)을 확인하였다.
