Der gesuchte Begriff lautet " Tastendynamik" oder "Tastenanschlagbiometrie" und ist ein interessantes und wachsendes Feld.

Die Idee ist, dass eine Person bestimmte Schlüssel auf eine bestimmte Weise eingibt, die sich im Laufe der Zeit nicht wesentlich ändert. Wenn Sie diese Dynamik abbilden können, können Sie möglicherweise Kennwörter ganz weglassen und den Benutzer einfach dazu bringen, irgendetwas einzugeben.

Ich denke, es wäre sehr, sehr ärgerlich, legitime Benutzer Ihrer Anwendung oder Website zu legitimieren. Dinge wie ein gebrochener Finger oder das Halten eines Sandwichs in einer Hand würden Ihr Login unbrauchbar machen. Darüber hinaus sollten Sie die Verwendung von Kennwortmanagern empfehlen, die entweder extrem schnell Tastenanschläge senden oder überhaupt keine Tastenanschläge senden. Ihr Schema würde wahrscheinlich verhindern, dass selbst die besten Passwortmanager funktionieren.

Hier gibt es einige gute, einige schlechte und einige WIRKLICH hässliche.

Das Gute
Es erhöht die Entropie von Passwörtern und erschwert die brutale Gewalt

The Bad
Es basiert auf etwas, das hörbar aufgezeichnet und zeitgesteuert werden kann und Fehlertoleranzen benötigt, was bedeutet, dass etwas nur nahe genug sein muss, um diesen Streit zu machen

Die WIRKLICH hässlichen
Menschen verändern sich im Laufe der Zeit. Aus einer Vielzahl von Gründen (Verletzung, Alter, Vergessen, wie das Muster abläuft) können sie es möglicherweise nicht mehr mit derselben Geschwindigkeit und Häufigkeit oder innerhalb von Toleranzen eingeben, und dann beeinträchtigt dies tatsächlich die Fähigkeit eines Benutzers, den Dienst zu nutzen

Obwohl es eine coole Idee und ein interessantes Feld ist, ist es für den Menschen wirklich nur schwierig, die Entropie des Passworts aufrechtzuerhalten. Schlimmer noch, es ist einfach, das Muster mit Maschinen neu zu erstellen. Dies erschwert das Hacken ohne vorherige Kenntnis der Person oder des Musters, kann jedoch auch die Erfahrung eines Benutzers mit Ihrem Dienst im Laufe der Zeit verschlechtern und das Sammeln lokaler Informationen über die Kennwortentropie erleichtern.

ob es heutzutage eine praktikable Ergänzung zur Sicherheit war

Der einzige Grund, warum ich es nicht für realisierbar halte, ist, dass sich Leute heutzutage von so vielen verschiedenen Geräten aus anmelden . Ich kann Ihnen versprechen, dass es keine Korrelation mit dem Rhythmus gibt, mit dem ich mein Passwort auf meinem Hauptarbeitsdesktop und der Swype-Tastatur auf meinem Tablet eingebe.

Ja, es ist sicherer. Ein zeitgesteuertes Kennwort mit 8 Zeichen ist so stark wie ein nicht zeitgesteuertes Kennwort mit einer Länge von ~ 9,5 Zeichen.

Dies wäre eine Form der Tastendynamik . Es ist seit einiger Zeit ein Bereich in der aktiven Forschung - obwohl Software, die auf einem Amiga ausgeführt wird, wahrscheinlich älter ist als das meiste davon!

Dafür gibt es ein Python-Paket, falls Sie experimentieren möchten in einer moderneren Sprache (Haftungsausschluss: Ich habe es geschrieben) .

Einige moderne Dienste verwenden diese Technik tatsächlich - wie Coursera, der sie verwendet Um sicherzustellen, dass die Person, die einen Test beantwortet, der tatsächliche Benutzer ist.

Lassen Sie uns ein wenig Theorie untersuchen, um Ihre Frage zu beantworten. Die üblichen Optionen für die menschliche Authentifizierung sind:

• Etwas, das Sie wissen (Passwort, PIN-Code)
• Etwas, das Sie haben (Handy, Hardware) Token, Smartcard)
• Etwas, das Sie sind (Fingerabdruck, Iris, Gang). Normalerweise Biometrie.

Die Dynamik von Tastenanschlägen gehört zur dritten Kategorie. Gute Authentifizierungssysteme setzen normalerweise mehr als eines davon voraus. Bei Verwendung von zwei verschiedenen Systemen wird dies allgemein als Zwei-Faktor-Authentifizierung bezeichnet.

In der Regel weist die Biometrie einige Einschränkungen auf: :

• Sie können sich im Laufe der Zeit ändern. Ihr Tippmuster ändert sich mit der Tageszeit, Ihrer Stuhl- und Schreibtischhöhe, der verwendeten Tastatur und vielen anderen Faktoren.
• Sie können unwiederbringlich verloren gehen. Wenn Sie einen Finger verlieren, können Sie sich nie authentifizieren.

In Ihrem Design wird jedoch keine herkömmliche Biometrie verwendet. Sie fordern den Benutzer auf, sich an ein Tippmuster zu erinnern. Dies würde in die erste Kategorie fallen ( etwas, das Sie wissen ), sodass Sie die hinzugefügte Sicherheit mithilfe von Entropie effektiv messen können.

Angenommen, Ihr System verfügt über zwei mögliche Tastendruckdauern (was Ihr Beispiel zu implizieren scheint), fügt dies ein Bit Entropie pro Zeichen hinzu. Dies würde ein zeitgesteuertes Kennwort mit 8 Zeichen ungefähr so ​​stark machen wie ein nicht langes Kennwort mit einer Länge von ~ 9,5 Zeichen. zeitgesteuertes Passwort.

Natürlich weist das Design im Vergleich zur biometrischen Tastenanschlagdynamik auch Mängel auf:

• Die Tatsache, dass das Muster sehr charakteristisch ist, macht es möglich Es ist anfälliger für einen Angreifer mit einem Audiorecorder.
• Da das Muster dem Benutzer bekannt ist, kann er gezwungen werden, es aufzudecken. Die herkömmliche Tastendynamik kann als implizite Authentifizierung verwendet werden.

Da dies grundsätzlich die Verwendung eines Kennwortmanagers ausschließt, der als Best Practices für die Kennwortsicherheit gilt, wird die Kennwortsicherheit nicht verbessert, sondern beeinträchtigt.

Es ist eine nette Idee, und der Nettoeffekt wäre eine Erhöhung der Passwortentropie. Angenommen, Ihr Schwellenwert beträgt 1/4 Sekunde und die maximale Pause beträgt 1 Sekunde. Irgendwann würden die Pausen in Bits umgewandelt, und dies würde den Passwortzeichensatz effektiv um das Vierfache erhöhen. z.B. Ein 80-Zeichen-Satz würde zu einem 320-Zeichen-Satz. Ein 10-stelliges Passwort mit 80 möglichen Zeichen wäre durch die Umsetzung Ihrer Idee 1 Million Mal schwieriger zu erzwingen. Eine andere Möglichkeit zu sagen, dass Ihr 10-stelliges Passwort eher 13 oder 14 Zeichen entspricht.

In der Praxis besteht der Hauptvorteil darin, dass es für Menschen wahrscheinlich einfacher ist, sich an den Rhythmus eines Songs zu erinnern kombiniert mit 10 Zeichen, als es ist, sich an 14 Zeichen zu erinnern. Die besten Passwörter sind jedoch diejenigen, an die sich Menschen sowieso nicht erinnern können. Daher wäre es wahrscheinlich viel einfacher (für alle Beteiligten), Ihrem Passwort nur ein paar weitere Zeichen hinzuzufügen, um die gleiche Entropiezunahme zu erzielen.

Ich habe ein wenig in diesem und einigen verwandten Bereichen gearbeitet, und meine Antwort auf die Frage hängt davon ab, wie viel Zeit Sie haben:

Kurze Antwort: Ja, mit einem Aber.

Einfach ausgedrückt, wie Sie zuvor festgestellt haben, gibt es Ähnlichkeiten bei beobachteten Tastenanschlägen (oder anderen verhaltensbiometrischen Mustern). Diese können theoretisch für zusätzliche Sicherheit verwendet werden, aber die falsch-positiven und falsch-negativen Raten sind immer noch vergleichsweise hoch, sodass die Benutzerfreundlichkeit fraglich ist und es keine vorgefertigten Bibliotheken gibt, die ich als zuverlässig empfehlen würde.

Längere Antwort: Nein, mit einem jedoch.

Das Problem mit der Verhaltensbiometrie im Kontext der Sicherheit ist, dass sie nicht zu unseren aktuellen Modellen passt. Wenn Sie ein Passwort erhalten, ist es entweder richtig oder falsch. Wenn etwas Ihre Iris misst, ist es ein Match oder nicht. Es gibt keinen Spielraum oder Spielraum, die eine oder andere binäre Authentifizierung.

Verhaltensweisen tun dies nicht. Das Verhalten ändert sich je nach Tageszeit, Monatszeit und Wetter draußen. Sie können sagen, dass "dieses wie diese Person aussieht", aber es gibt keine abgeschnittene und trockene "Ja / Nein" -Reaktion, was sie bei der herkömmlichen Authentifizierung schlecht macht, insbesondere bei kurzen Stichprobengrößen wie Passwörtern. P. >

Auf der anderen Seite können viele Verhaltensanalysen gemessen werden (Netzwerknutzung, Tastenanschlag, Mausnutzung, Bewegung und eine Vielzahl anderer). Diese können kombiniert werden, um über einen längeren Zeitraum eine anhaltende Vertrauensanzeige zu erhalten. So könnten Sie sich beispielsweise auf Ihrem Computer anmelden und nicht auf Ihre Bank zugreifen, da Sie noch nicht überprüft wurden. Wenn Sie ein paar andere Dinge tun, die Sie tun müssen, arbeiten Sie eine Weile, und die Algorithmen geben einen guten Vertrauenswert zurück, und privilegierten Systemen wird Zugriff gewährt.

Im Wesentlichen sind die derzeit vorhandenen binären Authentifizierungsrouten nicht gut Geeignet für Verhaltensbiometrie, aber es gibt vielversprechende Möglichkeiten für eine vertrauensbasierte Authentifizierung.

Ein weiterer Grund für Nein: Angenommen, Ihr Benutzer gibt sein Kennwort gelegentlich falsch ein. Sie können es perfekt tippen, aber der Rest von uns hat manchmal dicke Finger. Sie werden es wahrscheinlich beim zweiten Versuch langsamer eingeben und Ihre Metriken vermasseln. Dies gilt insbesondere dann, wenn eine Zeitüberschreitung / Verzögerung erkennbar ist (Ratenbegrenzung oder nur ein langsamer Anmeldeserver), da sie nicht auf eine weitere Verzögerung warten möchten, die bereits durch die erste

Nennen wir diesen zeitgesteuerten Kennworteintrag .

Im Wesentlichen tun Sie Folgendes:

• Der Versuch, die Kennwortentropie zu erhöhen.

Dies hat einige Nachteile, wie die Tatsache, dass sich Menschen ändern, und es könnte Sie nach einigen Jahren zurückbeißen.

Die Frage ist: Ist diese Methode der Steigerung Passwort Entropie lohnt sich? Um dies richtig zu beantworten, müssen Sie zuerst die Gesamtentropie messen messen, die durch die Eingabe eines zeitgesteuerten Kennworts erzielt wurde.

Ich würde argumentieren, dass Sie nicht viel Entropie gewinnen werden, da die meisten Menschen dies tun würden Verwenden Sie Tastaturen in der Regel ähnlich. Wenn Sie also wissen, dass die meisten Leute Tastaturen im Allgemeinen ähnlich verwenden, werden Sie wissen, dass es nicht viel Entropie (oder Informationen) gibt, wenn Sie die zeitgesteuerte Eingabe kennen.

Daher schlage ich Folgendes vor:

• Zeitgesteuerte Passworteingaben sind das Risiko nicht wert.
• Wenn Sie mehr Entropie benötigen, verwenden Sie einfach Passwörter mit höherer Qualität (länger mit mehr zufälligen Buchstaben).

Es ist eine sehr coole Idee, aber wenn sie nicht korrekt implementiert wurde, wie alle anderen gesagt haben, würde sie nicht funktionieren, weil sich die Leute ändern und die Fehlertoleranz korrekt implementiert werden müsste.

Meine Eine gute Möglichkeit, dies zu implementieren, besteht darin, zu prüfen, ob der Benutzer sein Kennwort in einem bestimmten Zeitmuster eingibt. Wenn dies nicht der Fall ist und das Kennwort korrekt ist, können Sie diese Informationen verwenden, um die Anforderung etwas verdächtig erscheinen zu lassen und andere Dinge wie vielleicht den Benutzer bitten, einen Text auf sein Telefon zu bekommen, um sicherzustellen, dass es wirklich sie sind.

Die Vorteile: Der Benutzer gibt sein Passwort normal ein, wenn dies der Fall ist Ist die Zeit abgelaufen, können Sie zu sekundären Authentifizierungsmaßnahmen übergehen. Dies würde den Benutzer nur dann stören, wenn er es abnormal eingibt oder wenn jemand versucht, in sein Konto zu gelangen.

Die Nachteile: Es kann sich um falsch positive Ergebnisse handeln, die das Problem stören könnten Benutzer, der versucht, sich anzumelden, und die Zeiten können von jemandem gesehen und / oder aufgezeichnet werden, der über Ihre Schulter schaut.

Ja, es kann funktionieren, wenn es richtig gehandhabt wird.

Die Vorteile liegen auf der Hand: Es ist für andere Personen schwieriger, sich mit Ihrem Passwort anzumelden. Das Erraten wird schwieriger, und selbst wenn jemand (einen Teil) Ihres Passworts hat, ist er noch nicht fertig.

Also werde ich auf die Bedenken eingehen:

Ja, Sie können sich trotzdem anmelden ein gebrochener Finger

Sicher, das Passwort kann "verloren" gehen, wenn Sie sich den Finger brechen. Dies kann jedoch behoben werden, indem ein (stärkeres) Hauptpasswort zur Verfügung gestellt wird. Wenn Sie jemals Umstände haben, die es Ihnen nicht ermöglichen, Ihr Rhythmus zu behalten, können Sie immer das Hauptkennwort verwenden, um einzusteigen. (Und das Rhythmus bei Bedarf ändern.)

Ja, Sie können immer noch mehrere Geräte verwenden

Offensichtlich haben verschiedene Arten von Geräten unterschiedliche Rhythmen, aber wenn Sie sie häufig verwenden, sollte der Rhythmus pro Gerät stabil genug sein. Auf diese Weise können Sie Benutzern erlauben, mehrere gültige Rhythmen zu haben.

Ja, Sie können weiterhin Kennwortmanager verwenden.

Natürlich können Kennwortmanager erstellt werden, um sowohl den Rhythmus als auch die Tastenanschläge zu senden. Obwohl dies eine Herausforderung sein kann, kann es sehr einfach sein, das oben genannte Hauptkennwort zu verwenden, wenn Sie sich mit dem Kennwortmanager anmelden.

Anstatt es den Benutzer brutal blockieren / zulassen zu lassen, könnten Sie es die Methode des Benutzers über einen Zeitraum von 10 bis 20 Anmeldungen "lernen" lassen und den Median mit einem geringen Zeitrahmen nehmen.

Normal Login: - Passwort + Zwei-Faktor-Login per App / SMS / E-Mail-Link

Nach einer Weile kennen Sie sein Muster und können dem Benutzer die Option geben, die zusätzliche Sicherheit zu aktivieren und dann den Betrag zu senken Oft muss er sich mit dem Zwei-Faktor-Login anmelden. (unter der Annahme, dass dieselbe IP verwendet wurde)

Wenn die hinzugefügte Sicherheit aktiv ist, können Sie dem Benutzer erlauben, sich nur mit dem Kennwort anzumelden, solange die IP-Quelle identisch ist. Geben Sie ihm eine einfachere / schnellere Anmeldemethode. Wenn Sie feststellen, dass der Benutzer seine Anmeldegeschwindigkeit stark von früheren Registrierungen abweicht, können Sie erneut nach der Zwei-Faktor-Anmeldung fragen und die Liste aktualisieren. (Nehmen Sie immer den Median über 5 Anmeldeversuche, um die Extreme zu beseitigen)

Ich denke, dass dies das größte Potenzial für Situationen hat, in denen häufig ein Kennwort verwendet wird und die Eingabe keine große Anzahl von Zeichen zulässt. Ein naheliegendes Beispiel wäre so etwas wie ein Türöffnungscode. Dies hat auch den Vorteil, dass jemand, der den Code selbst über die Schulter sehen kann, den richtigen Rhythmus finden muss. Auf diese Weise können Sie auch mehr Entropie aus einem sehr einfachen Eingabegerät herausholen.

Sie können sich sogar eine Situation vorstellen, in der es nur eine Taste gibt und deren Rhythmus die einzige Eingabe ist, schließlich handelt es sich um eine digitale Version des "geheimen Klopfens".

Wenn nichts anderes, hat dies möglicherweise einen neuen Wert für Sicherheitsanwendungen mit niedrigem Level und möglicherweise sogar eine ernstere Nische für professionelle Musiker, von denen erwartet wird, dass sie ein sehr genaues Timing-Gefühl haben.