Sıkı Sıkıya Tutulan ve Geçici Psikometrikler: Kullanıcı Tarafından Sağlanan Benlik Yapılarını Kullanan Parola ve Parola İfadesi Kimlik Doğrulaması

İçindekiler

1. Giriş

Bilgisayar güvenliği geleneksel olarak teknoloji veya sistem odaklı olmuş, bu da kullanıcı kimlik doğrulaması, anahtar dağıtımı ve anahtar süre sonu için dahiyane çözümler üretmiştir. Ancak bu çözümler genellikle kullanıcılar ve yöneticiler için yeni sorunlar yaratmaktadır. Biyometrik önlemler popülerlik kazanırken, önemli güvenlik zorlukları sunmaktadır—yapay parmak izleri, sakız, macun, siyanoakrilat ve foto-litografi gibi malzemeler kullanılarak doğrulanmıştır. Tuş vuruşu desenleri gibi yumuşak biyometrikler esneklik sunar ancak eğitim süreleri gerektirir ve iptal edildiğinde benzer anahtarlar üretir. Bu araştırma, parolaların ve parola ifadelerinin, bilişsel ve sosyal psikoloji ile psikodilbilim ile birleştirildiğinde, iptal edilebilir, hatırlanabilir ve güvenli bir kimlik doğrulama şeması sağladığını önermektedir. Temel yenilik, kullanıcının Benlik görüşünün parola seçim sürecine entegre edilmesi ve kullanıcı ile makine arasındaki paylaşılan sır metaforunu geliştirmesidir.

2. Metodoloji

Bir kullanıcıyı bir sisteme karşı başarıyla doğrulamak geleneksel olarak zorlu ancak verimli bir araştırma alanı olmuştur. Başlangıçta, kullanıcı kimlik doğrulaması pahalı eski makineleri koruyordu. Günümüzde amaç, kişisel bilgisayarlar, dizüstü bilgisayarlar, PDA'lar ve cep telefonları gibi daha küçük, merkezi olmayan sistemleri korumaya kaymıştır. Yaygın bilişimin yükselişi ve artan bağlantılılık, saldırı yüzeyini geometrik olarak genişletmiştir. Birden fazla hesabı yöneten kullanıcılar, parola politikaları karşısında bunalmış hissetmektedir. Bilgi-kuramsal bir perspektiften bakıldığında, parola tabanlı sistemler bilişsel talepler altında çözülmektedir. Hedefler ve kullanıcılar arasındaki çoktan bire ilişki, özellikle 'tercih edilen' parolaların yaygınlığı göz önüne alındığında, kullanıcılar üzerinde daha büyük bir hedef oluşturmaktadır. Bu araştırma, kimlik doğrulamayı kullanıcının kendine referansıyla geliştirilmiş paylaşılan bir sır olarak görmek için bilgi-kuramsal bir model kullanmaktadır.

3. Temel İçgörü: Kimlik Doğrulamada Kendine Referans Etkisi

Bu makalenin temel içgörüsü, kendine referans etkisinin—kişinin kendisiyle ilgili bilgilerin daha kolay hatırlandığı iyi belgelenmiş bir bilişsel fenomen—daha güçlü, daha hatırlanabilir parolalar oluşturmak için kullanılabileceğidir. Kullanıcıların kişisel anlatılara, anılara veya benlik kavramlarına dayalı parolalar oluşturmasına izin vererek, sistem rastgele bir dizeyi 'sıkı sıkıya tutulan' bir sırra dönüştürür. Bu psikolojik yatırım, kullanıcıların parolayı koruma olasılığını artırır ve yazma veya paylaşma olasılığını azaltır. Makale, bu yaklaşımın 'geçici' olduğunu çünkü parolanın gücünün yalnızca karakter bileşiminde değil, aynı zamanda kullanıcı için benzersiz, kişisel anlamında yattığını ve bir saldırganın bunu kopyalamasının veya tahmin etmesinin zor olduğunu savunmaktadır.

4. Mantıksal Akış: Bilgi Aşırı Yüklenmesinden Bilişsel Güvenliğe

Makalenin mantıksal akışı ikna edicidir. Sorunu tanımlayarak başlar: birden fazla, karmaşık parola politikasından kaynaklanan bilgi aşırı yüklenmesi, zayıf güvenlik uygulamalarına (örneğin, parola tekrar kullanımı, parolaları yazmak) yol açar. Ardından mevcut çözümleri eleştirir: sert biyometrikler taklit edilebilir, yumuşak biyometrikler eğitim gerektirir ve gelecekteki anahtarları tehlikeye atar. Makale daha sonra bir çözüm önerir: bilişsel psikolojiye dayalı bir parola sistemi. Argüman, kendine referanslı parolaların daha hatırlanabilir (bilişsel yükü azaltarak) ve daha güvenli (dışarıdakiler için öngörülemez oldukları için) olduğunu göstererek ilerler. Son adım, bunu bilgi teorisi içinde çerçevelemek ve kendine referanslı bir parolanın entropisinin yalnızca karakterlerinin bir fonksiyonu değil, aynı zamanda bir saldırganın kolayca erişemeyeceği bir 'özel bilgi' biçimi olan benzersiz kişisel bağlamın bir fonksiyonu olduğunu göstermektir.

5. Güçlü ve Zayıf Yönler: Eleştirel Bir Değerlendirme

Güçlü Yönler: Makalenin birincil gücü, bilgisayar güvenliğini bilişsel ve sosyal psikolojiyle birleştiren disiplinler arası yaklaşımıdır. Tamamen teknik düzeltmelerin ötesine geçerek, insani bir soruna insan merkezli bir çözüm sunar. Sistemin bir 'sırdaş' olarak kavramsallaştırılması, kullanıcı uyumunu ve güvenlik duruşunu iyileştirebilecek güçlü bir metafordur. Bilgi-kuramsal model, önerilen sistemi analiz etmek için titiz bir çerçeve sağlar.

Zayıf Yönler: Makale biraz teoriktir ve büyük ölçekli ampirik doğrulamadan yoksundur. 'Kendine referans etkisi' hafızada iyi çalışılmıştır, ancak parola güvenliğine uygulanması daha fazla gerçek dünya testine ihtiyaç duyar. Kullanıcıların, kamusal kişiliklerine (örneğin, sosyal medya profilleri) dayalı olarak çok öngörülebilir parolalar seçme riski vardır. Makale, benlik kavramının 'geçici' doğasını tam olarak ele almamaktadır—bir kullanıcının kendi anlatısı değiştiğinde ne olur? Sistem kişisel değişime karşı dayanıklı olmalıdır. Ayrıca makale, bu tür parolaları oluşturmak veya değerlendirmek için somut bir algoritma veya uygulama detayı sağlamamaktadır.

6. Uygulanabilir İçgörüler: Pratik Öneriler

Makalenin bulgularına dayanarak, güvenlik uygulayıcıları ve sistem tasarımcıları için birkaç uygulanabilir içgörü ortaya çıkmaktadır:

• Kendine Referanslı Parola İstemlerini Uygulayın: Rastgele karakter gereksinimleri yerine, kullanıcıları kişisel hikayelere, anılara veya değerlere dayalı parolalar oluşturmaya yönlendirin. Örneğin, 'Seni bugün olduğun kişi yapan çocukluk anın nedir?'
• Parola İfadeleriyle Birleştirin: Kullanıcıları, rastgele dizelerden daha kolay hatırlanan ve kırılması daha zor olan kısa anlatılar olan parola ifadeleri oluşturmaya teşvik edin.
• Uyarlanabilir Kimlik Doğrulama Kullanın: Yüksek güvenlikli uygulamalar için, hem güvenli hem de kullanıcı dostu çok faktörlü bir sistem oluşturmak üzere kendine referanslı parolaları diğer faktörlerle (örneğin, davranışsal biyometrikler) birleştirin.
• Kullanıcıları Eğitin: Kullanıcıları 'bilişsel güvenlik' kavramı konusunda eğitin—kendine referanslı parolaların neden daha güçlü olduğunu ve kişisel bilgileri ifşa etmeden bunların nasıl oluşturulacağını açıklayın.
• Pilot Çalışmalar Yürütün: Tam dağıtımdan önce, kendine referanslı parolaların hatırlanabilirliğini ve güvenliğini geleneksel politikalarla karşılaştırmak için kontrollü deneyler yapın.

7. Teknik Detaylar ve Matematiksel Çerçeve

Makale, kendine referanslı parolaların güvenliğini ölçmek için bilgi-kuramsal bir model kullanmaktadır. Bir parolanın entropisi $H$ geleneksel olarak $H = L \cdot \log_2(N)$ olarak hesaplanır, burada $L$ uzunluk ve $N$ karakter kümesinin boyutudur. Ancak makale, kendine referanslı parolalar için etkin entropinin daha yüksek olduğunu çünkü 'alfabenin' kullanıcının benzersiz kişisel bağlamını içerdiğini savunmaktadır. Model şu şekilde genişletilebilir:

$$H_{toplam} = H_{karakter} + H_{benlik}$$

burada $H_{karakter}$ karakter tabanlı entropi ve $H_{benlik}$, kullanıcının özel bilgisinin bir fonksiyonu olan kendine referans etkisi tarafından sağlanan entropidir. Makale, $H_{benlik}$'in parola ile kullanıcının benlik kavramı arasındaki karşılıklı bilgi olan $I(Parola; Benlik)$ olarak modellenebileceğini öne sürmektedir. Bu, sırrın 'sıkı sıkıya tutulan' doğasını ölçen yeni bir katkıdır.

8. Deneysel Sonuçlar ve Diyagramatik Açıklama

Makale öncelikle teorik olsa da, hafızadaki kendine referans etkisi üzerine önceki çalışmalara atıfta bulunmaktadır. Önerilen sistemin diyagramatik bir açıklaması aşağıdaki gibidir:

Kullanıcı Girdisi: "İlk köpeğim Sunny adında bir golden retriever'dı."
    |
    v
Sistem İşleme: 
    - Anahtar öğeleri çıkar: "ilk köpek", "golden retriever", "Sunny"
    - Dönüşüm uygula: "SunnyGoldenRetriever2021!"
    - Dönüştürülmüş parolanın hash'ini sakla
    |
    v
Kimlik Doğrulama: Kullanıcı ifadeyi yeniden girer, sistem aynı dönüşümü uygular, hash'i karşılaştırır.
        

9. Analitik Çerçeve Örneği

E-posta hesabı için bir parola oluşturması gereken bir kullanıcı olan Alice'i düşünün. Rastgele bir politika yerine, sistem ondan kişisel bir değeri tanımlamasını ister. Alice şöyle yazar: "Dürüstlüğü her şeyin üstünde tutarım." Sistem bunu bir parola ifadesine dönüştürür: "DürüstlükHerŞeyinÜstünde!" Bu parola ifadesi 20 karakter uzunluğundadır, büyük harf, küçük harf ve özel bir karakter içerir ve ona $H_{karakter} = 20 \cdot \log_2(72) \approx 20 \cdot 6.17 = 123.4$ bitlik bir karakter entropisi verir. Ancak, kendine referans entropisi $H_{benlik}$ daha da yüksektir çünkü bir saldırganın Alice'in kamuya açık olmayan kişisel değerlerini bilmesi gerekir. Toplam entropi bu nedenle rastgele 20 karakterlik bir paroladan önemli ölçüde daha yüksektir ve Alice'in bunu hatırlaması muhtemeldir çünkü onun için anlamlıdır.

10. Gelecekteki Uygulamalar ve Yönelimler

Bu makalede ana hatlarıyla belirtilen ilkeler, geleneksel parola sistemlerinin ötesinde geniş uygulama alanlarına sahiptir. Gelecekteki yönelimler şunları içerir:

• Sıfır Bilgi Kanıtlarıyla Entegrasyon: Kendine referanslı parolalar, kullanıcının sırrı ifşa etmeden bilgisini kanıtladığı sıfır bilgi kimlik doğrulama protokollerinde kullanılabilir.
• Uyarlanabilir Güvenlik Sistemleri: Kullanıcının bilişsel durumuna veya erişilen verinin hassasiyetine göre kimlik doğrulama gereksinimlerini dinamik olarak ayarlayan sistemler.
• Kişiselleştirilmiş Güvenlik Soruları: Genel güvenlik sorularının (örneğin, 'Annenin kızlık soyadı nedir?') ötesine geçerek, gerçekten kişisel olan ve kamuya açık kayıtlardan tahmin edilmesi daha az olası olan sorulara geçiş.
• Platformlar Arası Tek Oturum Açma (SSO): Parola yorgunluğunu azaltmak için birden fazla hizmet için ana anahtar olarak tek, son derece hatırlanabilir bir kendine referanslı parola ifadesi kullanmak.
• Yapay Zeka Destekli Parola Oluşturma: Kullanıcıların yaygın tuzaklardan kaçınırken hem hatırlanabilir hem de güvenli kendine referanslı parolalar oluşturmasına yardımcı olmak için doğal dil işleme kullanmak.

11. Orijinal Analiz

Pilson tarafından yazılan bu makale, parola güvenliği üzerine yapılan yorgun, teknoloji merkezli söylemden kışkırtıcı ve gerekli bir ayrılıştır. Temel argüman—'sıkı sıkıya tutulan' sırlar oluşturmak için kendine referans etkisinden yararlanmamız gerektiği—hem zarif hem de psikolojik olarak sağlamdır. Kendine referans etkisi, bilişsel psikolojideki en sağlam bulgulardan biridir (Symons ve Johnson, 1997) ve bunun kimlik doğrulamaya uygulanması bir deha dokunuşudur. Ancak, makalenin gücü aynı zamanda zayıflığıdır. Bu, tamamen mühendislik ürünü bir çözüm değil, kavramsal bir çerçevedir. Makale, kendine referanslı parolaları oluşturmak ve doğrulamak için somut bir algoritmadan yoksundur ve ölçeklenebilirlik gibi kritik bir konuyu ele almamaktadır. Bir sistem, kullanıcının kişisel anlatısını saklamadan bir parolanın 'kendine referanslı' olduğunu nasıl doğrular? Bu, önemsiz olmayan bir gizlilik ve güvenlik zorluğudur.

Ayrıca, makalenin bilgi teorisine olan güveni titiz olsa da aşırı iyimser olabilir. $H_{benlik}$'in $H_{karakter}$'den bağımsız olduğu varsayımı sorgulanabilir. Pratikte, kullanıcılar yine de tahmin edilebilir olan kendine referanslı parolalar seçebilir (örneğin, 'mezuniyet' veya 'düğün' gibi yaygın yaşam olaylarını kullanarak). Makale, benlik kavramının 'geçici' doğasının daha ayrıntılı bir tartışmasından fayda sağlayacaktır. Markus ve Wurf (1987) tarafından belirtildiği gibi, benlik kavramı dinamik ve bağlama bağlıdır. Bir 'temel değere' dayalı bir parola istikrarlı olabilir, ancak bir 'mevcut hedefe' dayalı bir parola sık sık değişebilir ve parola sıfırlamalarına yol açabilir.

Bu kusurlara rağmen, makalenin katkısı önemlidir. Yeni bir araştırma yönü açmaktadır: 'bilişsel güvenlik.' Bu, insan-bilgisayar etkileşimi ve kullanılabilir güvenlikteki daha geniş eğilimlerle uyumludur. Makalenin sistemi bir 'sırdaş' olarak görme çağrısı, kullanıcıların güvenliğe yönelik tutumlarını dönüştürebilecek güçlü bir tasarım ilkesidir. Artan siber tehditler çağında, bu insan merkezli yaklaşım sadece yenilikçi değil, aynı zamanda gereklidir. Bir sonraki adım, araştırmacıların bu çerçeve üzerine inşa etmesi, büyük ölçekli kullanıcı çalışmaları yürütmesi ve güvenlik, hatırlanabilirlik ve gizliliği dengeleyen pratik uygulamalar geliştirmesidir.

12. Referanslar

• Pilson, C. S. (2021). Tightly-Held and Ephemeral Psychometrics: Password and Passphrase Authentication Utilizing User-Supplied Constructs of Self. arXiv preprint arXiv:1509.01662v1.
• Rogers, T. B., Kuiper, N. A., & Kirker, W. S. (1977). Self-reference and the encoding of personal information. Journal of Personality and Social Psychology, 35(9), 677–688.
• Symons, C. S., & Johnson, B. T. (1997). The self-reference effect in memory: A meta-analysis. Psychological Bulletin, 121(3), 371–394.
• Markus, H., & Wurf, E. (1987). The dynamic self-concept: A social psychological perspective. Annual Review of Psychology, 38, 299–337.
• Shannon, C. E. (1948). A mathematical theory of communication. The Bell System Technical Journal, 27(3), 379–423.
• Adams, A., & Sasse, M. A. (1999). Users are not the enemy. Communications of the ACM, 42(12), 40–46.
• Yan, J., Blackwell, A., Anderson, R., & Grant, A. (2004). Password memorability and security: Empirical results. IEEE Security & Privacy, 2(5), 25–31.