ColorPalette 包含註冊和登入兩階段，分述如下。
5.1.1 註冊階段
ColorPalette 使用的通行碼字元共 36 字元，包括小寫英文字母 (a～z) 及數字 (0～
9)。使用者須設定長度為 L (8≦L≦15) 個字元的文字通行碼。系統會建議使用者在無登 入記錄攻擊之環境進行註冊。同時，系統會使用 SSL/TLS [SSL11][TLS08] 或任何其它 的安全傳輸機制與使用者建立安全通道 (secure channel) 保護使用者與系統之間的傳輸 訊息。此外，使用者必須註冊一個 e-mail address，當使用者的帳號被鎖定時，必須使用 此 e-mail address 來進行解鎖，此機制將於本節後面詳細說明。
使用者在登入時須完成下列步驟：
Step 1： 使用者向系統要求登入。
Step 2： 系統於登入畫面顯示一個 36 鍵 (keys；包含 26 個小寫英文字母及 10 個十 進位數字) 的類 qwerty 鍵盤 (qwerty-like keyboard)，類 qwerty 鍵盤的正下 方有 5 個顏色按鈕 (Color Buttons)，其顏色不包含白色。另外，登入畫面 亦包含一個“Submit”按鈕及一個“RESET”按鈕。令使用者的第 1 個通 行碼字元為正在輸入之通行碼字元 (running pass-character)。
Step 3： 系統分別隨機指定每個鍵的背景顏色為 6 種顏色的其中 1 種，同時須確保 每種顏色恰好對應到 6 個鍵。
Step 4： 使用者須找到 running pass-character 的鍵之背景顏色，若該鍵之背景顏色 為白色，則使用者可點擊任一個 Color Button 回應挑戰；否則，須點擊與 該鍵之背景相同顏色的 Color Button。
Step 5： 若該 running pass-character 非使用者通行碼的最後一個字元，則系統將使 用者通行碼之下一個字元指定為 running pass-character 並跳至 Step 3 繼續 執行；否則使用者須點擊“Submit”按鈕以完成輸入程序。
Step 6： 若使用者依序正確輸入對應到通行碼字元之 Color Button，則使用者通過 系統驗證。
送一封含有解鎖連結 (re-enabled link) 的 e-mail 至該用戶註冊時設定之 e-mail address，
且該解鎖連結僅可使用一次。 (圖 5.1) 為 ColorPalette 登入畫面之說明例。
5.2 安全性與使用性分析
5.2.1 通行碼空間
由於通行碼字元集包含 36 個字元且通行碼長度 L 的範圍為 8≦
L
≦15，因此通行碼 空間為 ∑ 。圖 5.1： ColorPalette 之登 入 畫 面說 明 例
若攻擊者任意點擊五個 Color Buttons 中的其中一個，則可視為同時選取該顏色及白 色，且由於每個顏色對應到的鍵數相同，所以每次挑戰正確回應的機率為 2/6 (即 1/3)。
因此，若使用者通行碼長度為 L，則意外登入成功機率 ( )為
( ) ( ⁄ ) 。
若使用者之通行碼長度為 10，則意外登入成功機率 ( ) 。(圖 5.2) 為 ColorPalette 中不同 L 值與其意外登入機率成功機率 ( ) 之關係圖。然而，除非攻擊 者藉登入記錄攻擊或其它方法取得 L 值，否則 L 值對攻擊者而言屬未知。假設各種 L 值 的機率皆相同 (即 1/8)，則 ColorPalette 的意外登入成功機率 為
( ) ∑ ( )
。
圖 5.2： ColorPalette 中不 同 的 L 值 與 意 外登 入成 功 機 率 pal(L)之 關 係 圖
該用戶註冊時設定之 e-mail address，且該解鎖連結僅可使用一次。
5.2.3 登入記錄攻擊抵擋能力
假設攻擊者成功記錄 T (正整數) 次相同使用者之完整登入過程並藉由多次使用者 輸入之顏色對應到的鍵進行比對排除，則登入記錄攻擊成功機率 為
( ( )
( )) ( ( ) )
。
其中，當攻擊者記錄到使用者至少一次的完整登入過程後即可得到使用者通行碼之長度，
且可針對每個使用者通行碼字元分別觀察出 個候選字元，其中包括 1 個正確 的 running pass-character 和從 35 (＝36－1) 個非 running pass-characters 中隨機選出之 11 個 decoy characters，此 11 個於第一次畫面被隨機選出之 decoy characters 在接下來的 T
－1 次記錄畫面中也都被選中的機率是( ) ，因為在第一次的畫面中有 11 個 decoy
characters，因此總共在 T 次記錄後這 11 個 decoy characters 仍是候選字元的期望值為 ( ) 。若使用者通行碼長度為 15，且攻擊者成功記錄到 2 次完整登入過程畫面，
則登入記錄攻擊成功率為 。(圖 5.3) 為 ColorPalette 中不同的 L 值與登入記 錄攻擊成功機率 之關係圖。由圖可知，ColorPalette 約可抵擋 4 次完整登入記錄攻擊。
此外，系統在使用者回應每一個通行碼字元後 (即點擊任一 Color Buttons 後)，類 qwerty 鍵盤之底色會隨機重排以增加攻擊者觀察與記憶使用者登入資訊的困難度，因此 可有效抵擋如肩窺攻擊等較弱的登入記錄攻擊。
5.2.4 使用性
由於 ColorPalette 於登入畫面中之字元排列顯示為類 qwerty 鍵盤，與一般實體鍵盤 排列相同，因此熟悉鍵盤字元位置的使用者可憑反射動作快速尋找以縮短登入時間，而 對於不熟悉鍵盤字元位置的使用者，由於鍵盤字元位置固定，因此多次使用後可加速搜 尋速度。此外，ColorPalette 使用一般文字通行碼，故使用者可選擇使用相同的文字通行 碼存取不同的系統以減少記憶負擔。在規則方面，ColorPalette 的登入操作簡單易懂，即 使沒有詳細解說登入規則，使用者仍可經由畫面顯示的元件判斷出該如何操作，因此 ColorPalette 適用的使用者年齡層較廣。
本節將針對 ColorPalette 的安全性理論分析公式之正確性進行模擬實驗，實驗內容 包括意外登入模擬與登入記錄攻擊模擬。
5.3.1 意外登入模擬
模擬進行方式首先，模擬器對不同的 L (8≦L≦15) 值各隨機產生一組文字通行碼，並分別指定給 8 個相異的模擬使用者。接著，模擬器嘗試對每個模擬使用者進行意外登入。由於通行 碼長度對攻擊者屬未知，因此模擬器於每次意外登入前須先猜測該次登入的通行碼長度
L
* (8≦L*≦15)，然後執行 L*次通行碼字元的輸入後點擊“Submit”按鈕以完成該次登入 嘗試，其中每一次通行碼字元的輸入操作為隨機點擊其中一個 Color Button。模擬器將 對各種可能的通行碼長度分別嘗試 3,000,000 次，並記錄該次登入嘗試是否成功。(圖 5.4)圖 5.4： ColorPalette 的意 外 登 入模 擬 統計 畫 面
的 L 次回應皆成功則後方標示驚嘆號；接著依序列出每次點擊的 Color Button 編號 (以 0~4 分別表示五種顏色)。例如：第 64743 次登入嘗試之 8 次挑戰/回應皆成功。圖中右 下方分別為預定的登入嘗試次數、目前實際成功次數及目前已完成的登入嘗試次數。
模擬結果探討
(圖 5.5) 為 ColorPalette 意外登入模擬結果，其中多數意外登入成功機率的模擬值皆 近似於意外登入成功機率之理論分析結果，少數模擬值雖有偏差但皆優於理論分析，且 整體趨勢符合理論分析結果，因此模擬結果仍符合預期。
圖 5.5： ColorPalette 的意 外 登 入模 擬 結果
首先，模擬器針對不同的 L (8≦L≦15) 值分別預先隨機產生 30 組模擬使用者帳號 與文字通行碼，並對每位模擬使用者產生 15 筆成功登入記錄。接著，模擬器分別對每 位模擬使用者進行登入記錄攻擊，其攻擊方式為：將所有通行碼字元的可能字元初始為 a~z 及 0~9 共 36 個字元，比對可能字元與使用者第一次記錄中回應各挑戰時對應到的字 元，其中對應的字元包括底色為使用者點選之 Color Button 顏色及白色。接著以相同方 法比對不同記錄檔，直到破解所有通行碼字元或無記錄檔可比對為止。將所有字元之可 能字元數相乘後取倒數即為該模擬使用者遭受登入記錄攻擊的成功機率。(圖 5.6) 為 ColorPalette 的登入記錄攻擊模擬畫面，圖中由上至下分別顯示記錄檔路徑、使用的登入 sessions 數量、模擬使用者資訊，接著列出各個字元的剩餘可能字元。以此圖為例，第 2 與第 4 字元皆尚有兩個可能字元，其餘字元則已分別破解出確定字元。因此，在此條件 下攻擊者進行登入記錄攻擊之成功機率為 1/4。
皆約可抵擋 4 次完整登入記錄攻擊，且模擬結果的整體趨勢與理論分析結果具有相當高 的一致性。
5.4 使用性實驗
為了解使用者使用 ColorPalette 的使用性，我們對使用者在不同登入模式的登入時 間及登入成功率進行以下實驗。
5.4.1 實驗進行方式
在使用性實驗中，受測對象為 14 位國立臺中教育大學資訊工程學系碩士班學生，
所有受測學生皆熟悉電腦的操作，但不熟悉圖形化通行碼。首先，我們以範例向受測者 圖 5.7： ColorPalette 的登 入 記 錄攻 擊 模擬 結 果
測期間，我們刻意不提供額外的練習時間，藉此觀察受測者在不熟悉此設計之狀況下的
表 5.1：ColorPalette 之使用性實驗結果
使 用 者 編 號 通 行 碼 長 度 平 均 總 登 入 時 間 (秒 ) 平 均 每 字 元 輸 入 時 間 (秒 ) 成 功 率
目前適用於手持式裝置上的防登入記錄攻擊之圖形化通行碼設計較少，而其中較著 名的設計可以 GrIDsure [Grid08] 為代表，因此我們將 ColorPalette 與 GrIDsure 做安全性 與使用性的比較。(圖 5.8) 為 ColorPalette 與 GrIDsure 中攻擊者記錄登入次數與攻擊成 功機率之關係圖。由圖中可以看出 ColorPalette 之登入記錄攻擊抵擋能力明顯優於 GrIDsure。(表 5.2) 為 ColorPalette 與 GrIDsure 的安全性與使用性比較表，兩設計皆有 其優缺點，此分析結果可提供系統開發者依不同的應用環境、安全性與使用性需求選擇 合適的設計。
圖 5.8： ColorPalette 與 GrIDsure 中 攻 擊者記 錄 登 入次 數 與攻 擊 成功 機 率 之關 係 圖
通行碼空間 ∑
結論與未來研究方向
使用者在登入過程中可能面臨登入記錄攻擊的威脅，包括肩窺攻擊、攝影機攻擊、
間諜程式攻擊或竊聽攻擊等，登入記錄攻擊者藉由記錄使用者的登入資訊以直接獲得或 經分析比對後破解使用者的通行碼。由於傳統的文字通行碼設計與一般的圖形化通行碼 設計皆無法防禦登入記錄攻擊，因此有不少學者提出防登入記錄攻擊的圖形化通行碼設 計來解決此問題。我們在 2011 年提出了兩套防登入記錄攻擊之圖形化通行碼設計－RiS 與 T-RiS。然而，我們在後續的研究中發現先前的分析不夠深入、部分安全性量化公式 不夠精確、原實作雛型在實務上的考量不足而影響到安全性與使用性。因此，在本論文 中我們繼續改進 RiS 與 T-RiS 實作雛型、更深入分析其安全性與使用性、透過安全性模 擬與使用性實驗以驗證我們的理論分析結果之正確性，並與其它現有較具代表性的圖形 化通行碼設計進行比較。此外，由於近年來手持式裝置的蓬勃發展，因此我們亦提出一 套適用於手持式裝置上的防登入記錄攻擊之圖形化文字通行碼設計－ColorPalette。透過
間諜程式攻擊或竊聽攻擊等，登入記錄攻擊者藉由記錄使用者的登入資訊以直接獲得或 經分析比對後破解使用者的通行碼。由於傳統的文字通行碼設計與一般的圖形化通行碼 設計皆無法防禦登入記錄攻擊，因此有不少學者提出防登入記錄攻擊的圖形化通行碼設 計來解決此問題。我們在 2011 年提出了兩套防登入記錄攻擊之圖形化通行碼設計－RiS 與 T-RiS。然而，我們在後續的研究中發現先前的分析不夠深入、部分安全性量化公式 不夠精確、原實作雛型在實務上的考量不足而影響到安全性與使用性。因此，在本論文 中我們繼續改進 RiS 與 T-RiS 實作雛型、更深入分析其安全性與使用性、透過安全性模 擬與使用性實驗以驗證我們的理論分析結果之正確性，並與其它現有較具代表性的圖形 化通行碼設計進行比較。此外，由於近年來手持式裝置的蓬勃發展，因此我們亦提出一 套適用於手持式裝置上的防登入記錄攻擊之圖形化文字通行碼設計－ColorPalette。透過