肩窥攻击：从实验研究到比较框架

肩窥是一种被广泛认为是真实威胁的攻击途径——足以促使研究者投入大量精力设计抗肩窥的新型认证方法。尽管多年来提出了众多解决方案，但很少有学者对不同方法进行实证评估与比较，我们对肩窥现象的理解仍然有限。除实验设计的挑战外，其原因主要可归因于缺乏客观且可比较的脆弱性度量。本文开发了一套脆弱性度量集合，这是朝着全面评估给定方法对观测攻击易感性的首次尝试。在迄今最大规模的现场肩窥实验（n = 274）中，我们在两种观测场景下验证了该模型在四种概念不同的认证方法上的表现。以一种基于联想的新型混合认证方法为例，我们探究了输入类型对攻击者有效性的影响。我们提供了首个实证证据，表明图形密码更易被观测；然而，这并不一定意味着观测到的信息能让攻击者更容易猜出受害者的密码。对簇内各度量的深入分析揭示了此前未探索的肩窥攻击的许多其他方面。我们的比较框架推进了肩窥的评估并深化了对观测攻击的理解。研究结果对未来肩窥研究及整个密码安全领域具有重要启示。