Aradığınız terim " tuş vuruşu dinamikleri" veya "tuş vuruşu biyometrisi" dir ve ilginç ve büyümekte olan bir alandır.

Buradaki fikir, bir bireyin belirli anahtarları zaman içinde pek değişmeyen belirli bir şekilde yazmasıdır. Bu dinamikleri haritalayabiliyorsanız, potansiyel olarak şifreleri tamamen ortadan kaldırabilir ve kullanıcının herhangi bir şey yazmasını sağlayabilirsiniz.

Uygulamanızın veya web sitenizin yasal kullanıcıları için çok çok can sıkıcı olacağını düşünüyorum. Kırık bir parmak veya bir elinizde bir sandviç tutmak gibi şeyler, giriş bilgilerinizi kullanılamaz hale getirir. Ek olarak, tuş vuruşlarını çok hızlı gönderecek veya tuş vuruşlarını hiç göndermeyecek parola yöneticilerinin kullanılmasını teşvik etmelisiniz. Planınız muhtemelen en iyi şifre yöneticilerinin bile çalışmasını engelleyecektir.

Burada bazıları iyi, bazıları kötü ve bazıları GERÇEKTEN çirkin var.

İyi
Parola entropisini artırır ve kaba kuvvet yapmayı zorlaştırır

Kötü
Sesli olarak kaydedilebilen ve zamanlanabilen bir şeye dayanır ve hata toleransları gerektirir, yani bir şeyin yalnızca bu tartışmayı ortaya çıkarmak için yeterince yakın olması gerekir

GERÇEKTEN çirkin
İnsanlar zamanla değişir. Çok sayıda nedenden dolayı (yaralanma, yaş, modelin nasıl gittiğini unutmak) artık aynı hız ve frekansta veya toleranslar dahilinde giremeyebilirler ve bu durumda kullanıcının hizmeti kullanma yeteneğine gerçekten zarar verir

Yani, güzel bir fikir ve ilginç bir alan olsa da, bir insan için parola üzerinde entropiyi sürdürmek gerçekten zor. Daha da kötüsü, kalıbı makinelerle yeniden oluşturmak kolaydır. Kişi veya kalıp hakkında önceden bilgi sahibi olmadan hacklemeyi zorlaştıracak, ancak aynı zamanda bir kullanıcının hizmetinizle ilgili deneyimini zaman içinde kötüleştirebilir ve şifre entropisi hakkında yerel bilgi toplamayı kolaylaştırabilir.

bu günlerde güvenliğe uygun bir katkı olup olmadığı

Uygulanabilir olacağını düşünmememin tek nedeni, insanların bugünlerde pek çok farklı cihazdan giriş yapması . Ana çalışma masaüstümde parolamı yazdığım ritimle ve tabletimdeki Swype klavyesiyle hiçbir ilgisi olmadığına söz verebilirim.

Evet, daha güvenlidir. Bu, 8 karakterlik bir zamanlanmış şifreyi ~ 9,5 karakter uzunluğunda, zamanlanmamış bir şifre kadar güçlü hale getirir.

Bu, bir tuş vuruşu dinamikleri olabilir. . Bir süredir aktif bir araştırma alanıydı - bir Amiga üzerinde çalışan yazılım muhtemelen çoğundan önce olsa da!

Bunun için bir python paketi var, denemek isterseniz diye daha modern bir dilde (sorumluluk reddi: yazdım) .

Bazı modern hizmetler aslında bu tekniği kullanır - Coursera gibi, bir testi cevaplayan kişinin gerçek kullanıcı olduğundan emin olmak için.

Sorunuzu cevaplamak için biraz teori inceleyelim. insan kimlik doğrulaması için olağan seçenekler şunlardır:

• Bildiğiniz bir şey (şifre, pin kodu)
• Sahip olduğunuz bir şey (cep telefonu, donanım jeton, akıllı kart)
• Olduğunuz bir şey (parmak izi, iris, yürüyüş). Genellikle biyometri.

Tuş vuruşu dinamikleri üçüncü kategoriye girer. Genellikle, iyi kimlik doğrulama sistemleri bunlardan birden fazlasına sahip olmaya dayanır. İki farklı sistem kullanıldığında, bu genellikle iki faktörlü kimlik doğrulama olarak bilinir.

Genellikle biyometri birkaç uyarı ile birlikte gelir :

• Zamanla değişebilir. Yazma düzeniniz günün saatine, sandalyenize ve masanızın yüksekliğine, kullandığınız klavyeye ve diğer birçok faktöre göre değişecektir
• Geri dönüşü olmayan bir şekilde kaybolabilir. Bir parmağınızı kaybetmeyi başarırsanız, asla kimliğinizi doğrulayamazsınız.

Bununla birlikte, tasarımınız geleneksel bir biyometrik kullanmıyor. Kullanıcıdan bir yazım kalıbını hatırlamasını istiyorsunuz. Bu ilk kategoriye girer ( bildiğiniz bir şey ), bu nedenle entropi kullanarak eklediği güvenlik miktarını etkili bir şekilde ölçebilirsiniz.

Sisteminizin iki olası tuşa basma süresine sahip olduğunu varsayarsak (örneğinizin ima ettiği gibi), bu karakter başına bir bit entropi ekler - böylece yaklaşık 9,5 karakter uzunluğunda bir 8 karakterlik zamanlanmış parola yapar. zamanlanmış şifre.

Elbette, biyometrik tuş vuruşu dinamikleriyle karşılaştırıldığında tasarımın da kusurları vardır:

• modelin çok farklı olması gerçeği ses kaydediciye sahip bir saldırgana karşı daha hassastır
• Model kullanıcı tarafından bilindiği için, onu ifşa etmeye zorlanabilir. Geleneksel tuş vuruşu dinamikleri, örtük kimlik doğrulama olarak kullanılabilir.

Bu, temelde şifre güvenliği için temel en iyi uygulamalar olan bir şifre yöneticisinin kullanımını engellediğinden, iyileştirmez ancak şifre güvenliğine zarar verir.

Güzel bir fikir ve net etki şifre entropisindeki artış olacaktır. Örneğin, eşiğinizin 1/4 saniye ve maksimum duraklamanın 1 saniye olduğunu varsayalım. Bir noktada duraklamalar bitlere dönüştürülür ve bu, 4X ile ayarlanan şifre karakterini etkili bir şekilde arttırır; Örneğin. 80 karakterlik bir set 320 karakterlik bir set olur. 80 olası karakter içeren 10 basamaklı bir şifre, fikrinizi uygulayarak kaba kuvvet uygulamak 1 milyon kat daha zor hale gelir. Bunu söylemenin bir başka yolu da, 10 karakterlik şifrenizin daha çok 13 veya 14 karakter gibi olacağıdır.

Pratik olarak konuşursak, gördüğüm ana fayda, insanların bir şarkının ritmini hatırlamasının muhtemelen daha kolay olmasıdır. 14 karakteri hatırlamaktan daha 10 karakterle birleştirilir. Ancak en iyi şifreler, insanların zaten hatırlayamadıkları şifrelerdir, bu nedenle, entropide aynı artışı sağlamak için şifrenize birkaç karakter daha eklemek muhtemelen çok daha kolay olacaktır (dahil olan tüm taraflar için).

Bu ve ilgili bazı alanlarda küçük bir çalışma yaptım ve soruya vereceğim yanıt ne kadar zamanınız olduğuna bağlı:

Kısa cevap: Evet, ama ile.

Basitçe söylemek gerekirse, daha önce de keşfettiğiniz gibi, gözlemlenen tuş vuruşlarında (veya diğer davranışsal biyometrik modeller) benzerlikler vardır. Bunlar teorik olarak ek güvenlik için kullanılabilir, ancak yanlış pozitif ve yanlış negatif oranları hala nispeten yüksektir, bu nedenle kullanılabilirlik sorgulanabilir ve güvenilir olarak önereceğim önceden oluşturulmuş kitaplıklar yoktur.

Daha Uzun Cevap: Hayır, yine de.

Güvenlik bağlamında davranışsal biyometri ile ilgili sorun, mevcut modellerimizle uyuşmamasıdır. Size bir şifre verilmişse, ya doğru ya da yanlış. İrisinizi ölçen bir şey varsa, bu bir eşleşmedir veya değildir. Biri veya diğeri, ikili kimlik doğrulaması için boşluk veya kıpırdama yeri yoktur.

Davranışçılar bunu yapmaz. Davranışlar günün saatine, ayın saatine, dışarıdaki hava durumuna göre değişir. "Bu bu kişiye benziyor " diyebilirsiniz, ancak kesik kesik bir "evet / hayır" yanıtı yoktur, bu da onları, özellikle şifreler gibi kısa örnek boyutlarıyla geleneksel kimlik doğrulamada kötü yapar.

Öte yandan, ölçülebilen çok davranış analizi vardır (ağ kullanımı, tuş vuruşu, fare kullanımı, hareket ve diğerleri). Bunlar , uzun bir süre boyunca sürekli bir güven göstergesi sağlamak için birleştirilebilir. Örneğin, makinenizde oturum açabilirsiniz ve bu, henüz sizi doğrulamadığı için bankanıza erişmenize izin vermez. Yapmanız gereken birkaç şeyi daha yapın, bir süre çalışın ve algoritmalar iyi bir güven değeri verir ve ayrıcalıklı sistemlere erişim izni verilir.

Esasen, şu anda mevcut olan ikili kimlik doğrulama yolları iyi değil davranışsal biyometriye uygun, ancak daha ileride güvene dayalı kimlik doğrulama için pek çok vaat var.

Hayır için başka bir neden: Kullanıcınızın bazen şifresini yanlış yazdığını varsayın. Siz mükemmel yazabilirsiniz, ancak geri kalanımızın bazen parmakları şişman olur. Muhtemelen ikinci denemede daha yavaş yazacaklar ve ölçümlerinizi alt üst edecekler. Bu, özellikle tespit edilebilir bir zaman aşımı / gecikme (hız sınırlayıcı veya sadece yavaş bir giriş sunucusu) varsa, ilkinden rahatsız olmuş bir başka gecikmeyi beklemek istemeyecekleri için geçerlidir

Buna zamanlı şifre girişi diyelim.

Esasen, yaptığınız şey şudur:

• Şifre entropisini artırmaya çalışmak.

Bunun, insanların değişmesi gibi bazı dezavantajları vardır ve sizi birkaç yıl sonra geri alabilir.

Soru şu: bu artırma yöntemi mi? parola entropisine değer mi? Bunu doğru bir şekilde yanıtlamak için, önce zamanlanmış bir şifre girişi gerektirerek kazanılan toplam entropiyi ölçmeniz gerekir.

Pek çok entropi kazanmayacağınızı çünkü çoğu insan genellikle benzer şekilde klavye kullanır. Dolayısıyla, çoğu insanın genellikle benzer şekilde klavye kullandığını bildiğinizde, zamanlanmış yazmayı bilmede fazla entropi (veya bilgi) olmadığını anlarsınız.

Bu nedenle şunu öneririm:

• Zamanlanmış şifre girişleri riske değmez.
• Daha fazla entropiye ihtiyacınız varsa, daha yüksek kaliteli şifreler kullanın (daha uzun, rastgele harflerle).

Bu çok güzel bir fikir, ancak herkesin söylediği gibi doğru bir şekilde uygulanmasaydı işe yaramaz çünkü insanlar değişir ve hata toleransının doğru bir şekilde uygulanması gerekir.

Benim Bunun uygulanmasının iyi bir yolu, kullanıcının şifresini belirli bir zaman düzeninde girip girmediğini görmek ve eğer değilse ve şifre doğruysa, isteğin biraz şüpheli görünmesini sağlamak için bu bilgiyi kullanabilirsiniz. ve belki de kullanıcıdan telefonuna mesaj göndererek gerçekten kendisinin olduğundan emin olmasını istemek gibi başka şeyler olabilir.

Artıları: Kullanıcı, eğer varsa zaman aşımına uğrarsa ikincil kimlik doğrulama önlemlerine geçebilirsiniz. Bu, kullanıcıyı yalnızca anormal bir şekilde yazması veya hesabına girmeye çalışan biri olması durumunda rahatsız eder.

Eksileri: , kullanıcıları rahatsız edebilecek yanlış pozitifler olabilir. kullanıcı giriş yapmaya çalışıyor ve zamanlamalar omzunuzun üzerinden bakan biri tarafından görülebiliyor ve / veya kaydedilebiliyor.

Doğru kullanılırsa, işe yarayabilir

Faydaları açıktır: bir başkasının şifrenizle oturum açması daha zordur. Tahmin etmek zorlaşıyor ve birisi şifrenizin (bir kısmının) sahip olmasına rağmen, henüz işini bitirmiş değil.

Bu yüzden endişelerinizi belirteceğim:

Evet, yine de kırık parmak

Elbette, parmağınızı kırdığınızda parola 'kaybolabilir', ancak (daha güçlü) bir ana parola kullanıma açılarak bu durum düzeltilebilir. Eğer ritimlerinizi korumanıza imkan vermeyen durumlarınız olursa, içeri girmek için her zaman ana şifreyi kullanabilirsiniz. (Ve gerekirse şifreleri değiştirin).

Evet, yine de birden fazla cihaz kullanabilirsiniz

Açıktır ki, farklı türdeki cihazların farklı ritimleri olacaktır, ancak bunları sık kullanıyorsanız, cihaz başına ritim yeterince kararlı olmalıdır. Bu nedenle, kullanıcıların birden fazla geçerli ritmine sahip olmasına izin verebilirsiniz.

Evet, yine de şifre yöneticilerini kullanabilirsiniz

Açıktır ki, şifre yöneticileri hem şifreleri hem de tuş vuruşlarını göndermek için yapılabilir. Bu zor olsa da, şifre yöneticisiyle oturum açarken yukarıda belirtilen ana şifreyi kullanmak çok kolay olabilir.

Kullanıcıyı acımasızca engellemesine / izin vermesine izin vermek yerine, 10-20 oturum açma dönemi boyunca kullanıcının yöntemini "öğrenmesini" ve küçük bir zamanlama payıyla medyanı almasını sağlayabilirsiniz.

Normal giriş: - Şifre + uygulama / sms / e-posta bağlantısıyla iki faktörlü giriş

Bir süre sonra modelini öğrenecek ve kullanıcıya ek güvenliği etkinleştirme seçeneği sunabilir ve ardından tutarı düşürebilirsiniz Çoğu zaman iki faktörlü giriş ile giriş yapması gerekir. (aynı IP'nin kullanıldığını varsayarsak)

Eklenen güvenlik etkin olduğunda, IP kaynağı aynı olduğu sürece kullanıcının yalnızca şifreyle oturum açmasına izin verebilirsiniz. Ve kullanıcının daha önceki kayıtlara göre oturum açma dokunma dokunma hızını çok değiştirdiğini tespit ettiğinizde, tekrar iki faktörlü oturum açmayı isteyebilir ve listeyi güncelleyebilirsiniz. (aşırılıkları ortadan kaldırarak her zaman medyanı 5'in üzerinde giriş denemesinden geçirin)

Şifrenin sık kullanıldığı ve girişin çok çeşitli karakterlere izin vermediği durumlar için en fazla potansiyele sahip olacağını düşünüyorum. Bariz bir örnek, kapı giriş kodu gibi bir şey olabilir. Bu aynı zamanda, birisi kodu omzunuzun üzerinden görebilecek olsa bile, yine de ritmi doğru bir şekilde alması gerektiğine sahiptir. Bu aynı zamanda çok basit bir giriş cihazından daha fazla entropi elde etmenizi sağlar.

Tek bir düğmenin olduğu ve tek girdinin ritim olduğu bir durumu bile hayal edebilirsiniz, sonuçta bu "gizli vuruş" un dijital bir versiyonu.

Başka hiçbir şey olmasa da, bunun düşük seviyeli güvenlik uygulamaları için bir yenilik değeri olabilir ve hatta çok doğru bir zamanlama hissine sahip olması beklenen profesyonel müzisyenler için daha ciddi bir yeri olabilir.