真的是你忘了密码吗？当账户恢复遇上基于风险的认证
密码学与安全
2024-03-19 v1
摘要
在线服务中使用基于风险的认证 (RBA) 来保护用户账户免遭未经授权的接管。当登录上下文的特征属性偏离已知且预期的值时，RBA 通常会使用指示可疑登录尝试的上下文特征。先前关于认证中 RBA 和异常检测的研究主要集中在登录过程。然而，最近的攻击揭示了认证过程其他部分的漏洞，特别是账户恢复功能。因此，为了确保全面的认证安全性，还必须研究在账户恢复上下文中使用异常检测。本文提出了第一项在真实环境中研究基于风险的账户恢复 (RBAR) 的工作。我们分析了五个已知使用 RBA 的知名在线服务对 RBAR 的采用情况。我们的发现证实了 Google、LinkedIn 和 Amazon 使用了 RBAR。此外，我们深入了解了这些服务不同的 RBAR 机制，并探讨了多因素认证对它们的影响。基于我们的发现，我们创建了 RBAR 挑战的第一个成熟度模型。我们工作的目标是帮助开发者、管理员和决策者初步了解 RBAR，并鼓励在这一方向上进行进一步研究。
引用
@article{arxiv.2403.11798,
title = {Is It Really You Who Forgot the Password? When Account Recovery Meets Risk-Based Authentication},
author = {Andre Büttner and Andreas Thue Pedersen and Stephan Wiefling and Nils Gruschka and Luigi Lo Iacono},
journal= {arXiv preprint arXiv:2403.11798},
year = {2024}
}