• 沒有找到結果。

通行碼空間

圖 5.1: A-ROT 之 登 入 說 明 例 1 圖 5.2: A-ROT 之 登 入 說 明 例 2

使用者於註冊時須選擇一個字元作為 start-character,再選擇並記憶其文字通行碼,

而可選擇之字元共有 64 個,假設使用者註冊之通行碼長度為 L,則 A-ROT 的通行碼空 間為

意外登入抵擋能力

由於使用者在 start-character 出現於 start-window 前的輸入與回應所有通行碼字元之 後的 padding 輸入皆不影響登入結果,意即此前後兩部分的意外完成挑戰機率均為 1。

由於每圈所含的字元數均為 64 個字元,若 L (8 ≦ L ≦ 15) 為使用者的文字通行碼長度,

則意外登入的機率

其中分母 為一次畫面中任三個字元的組合數,而 則為一次 畫面中符合登入條件之字元的平均組合數,使用者需完成第 3 個 pass-character 至第 L 個 pass-character 共 (L2) 次挑戰, 代表意外通過一次挑戰的機率 (約等於 0.258)。

若 L = 8 且攻擊者已知此值,則意外登入機率約為 ;若 L = 10 且攻擊者已知此值,則意外登入機率約為 。(圖 5.3) 為 A-ROT 設計中通行碼長度與意外登入成功機率之關係圖,橫坐標為通行碼長度 L、縱座標為意 外登入成功機率

然而,除非攻擊者藉登入記錄攻擊或其它方法取得 L 值;否則,L 值對攻擊者而 言 屬 未 知 。 假 設 各 種 L 值 的 機 率 皆 相 同 ( 即 1/8) , 則 意 外 登 入 機 率 為

。此外,當攻擊者連續三次測試失敗時,此帳號將被系 統鎖住並發送解鎖信至使用者註冊時設定的 e-mail 信箱,此信件中含有供使用者解鎖用 的連結,只有該使用者才可解除帳號鎖住而得以再次進行登入認證,可有效提高意外登 入的抵擋能力。系統與使用者並可在得到警示後採取因應的措施 (如:拒絕特定來源位 置的登入請求與更換通行碼等)。

登入記錄攻擊抵擋能力

由 於 使 用 者 在 登 入 時 須 切 換 start-window 之 字 元 直 到 start-character 出 現 在 start-window 中才可開始進行 pass-characters 的挑戰。當 start-character 出現後,使用者 須先找出扇形區域,並在第 3 至第 L 個 pass-characters 進入扇形區域時按下確認以回應 挑戰。對攻擊者而言,攻擊者須先破解扇形區域 (即第 1 個與第 2 個 pass-characters),

圖 5.3:A-ROT 中通行碼長度與意外登入成功機率之關係

再針對 start-character 與第 3 至第 L 個 pass-characters 進行分析破解,假設 T (≧1) 為攻 擊者成功完整記錄登入過程的次數,則登入記錄攻擊成功機率為

其中

為 攻 擊 者 記 錄 T 次 登 入 過 程 後 分 析 破 解 第 一 個 pass-character 與 第 二 個 pass-character 之機率,其分母代表經過 T 次記錄之分析比對後剩餘符合登入條件的組合 數, 代表內外圈字元之所有組合數扣除正確的組合數。由於攻擊者記錄一次 登入過程,即有 L-2 個畫面可以用來比對第一個及第二個 pass-characters,且須扣除第 一個用來比對的畫面,因此攻擊者記錄 T 次登入過程可取得 個可比對 的畫面。而每個登入畫面中,可用來分析排除之比例為 ,因此攻擊者記錄 T 次登入 過程後,將可能是 pass-characters 之組合數; 為攻擊者記錄 T 次登入過程後分析破 解第三個 pass-character 至第 L 個 pass-character 之機率,其分母代表經過 T 次記錄之分 析比對後剩餘符合登入條件的組合數。在攻擊者破解 start-character 及通行碼長度後,攻 擊者即可開始破解 pass-characters,由於第 1 個 pass-character 與第 2 個 pass-character 在 每回合皆為固定,故攻擊者可先針對前兩個 pass-characters 進行分析,破解前兩個 pass-characters 後再分別分析第 3 個字元至第 L 個字元。(圖 5.4) 為 A-ROT 設計中攻擊

者完整記錄登入過程的次數與攻擊成功機率的關係圖,橫坐標為攻擊者完整記錄次數 (T)、縱座標為攻擊成功機率 ( )。由此圖可知,A-ROT 約可抵擋 7 次的登入記錄攻擊,

登入記錄攻擊抵擋能力優於 T-RiS (約可抵擋四次登入紀錄攻擊)。

邊角效應

登入時使用者僅須按確認鍵回應挑戰,不必在畫面上點擊,即使攻擊者記錄到登入 過程,亦無法藉此縮小猜測 pass-characters 的可能性;且在每一圈上,每個字元對於圓 心的距離皆相同,並無所謂邊角。故 A-ROT 無邊角效應的問題。

使用性

相較於一般的圖形化通行碼,A-ROT 以文數字取代 icons,對於習慣記憶文字通行 碼的使用者而言,記憶負擔較輕,不需改變記憶通行碼的方式。此外,在登入時,畫面 的字元分組排列且依顏色區分,故使用者可快速找到 pass-characters。相較於 T-RiS,

圖 5.4:A-ROT 中攻擊者完整記錄登入次數與攻擊成功機率之關係

A-ROT 的使用者於登入時僅須按確認鍵,不必手動轉動中圈,操作負擔較小。再者,

由於 A-ROT 的登入介面只需要一個鍵,不需要滑鼠與其他按鍵,對操作介面的要求較 低,可適用於大多數的應用環境中。

相關文件