Het werkingsprincipe van ZEBRA
Een computer beveiligen tegen misbruik lijkt voor de gebruiker altijd sores met zich mee te brengen, denken onderzoekers van de universiteiten van Alabama (VS) en Aalto (Fin) te hebben uitgevogeld. Het gebruikersvriendelijke beveiligingssysteem ZEBRA (nul inspanning) werkt prima bij eerlijke mensen, maar is niet bestand tegen valsspelers, vonden ze.
ZEBRA is ontwikkeld door onderzoekers van het Dartmouth College in de VS. Het systeem moest veilig en makkelijk in het gebruik zijn. De gebruiker en de computer verzenden elkaar steeds ‘blijken van echtheid’: ik ben diegene die ik voorgeef te zijn. “Tegenwoordig moet je bij bijna alles wat je doet een wachtwoord gebruiken, van bankieren tot communiceren”, zegt onderzoeker Nitesh Saxena van de universiteit van Alabama. “Omdat mensen vaak moeite hebben die te onthouden is er vraag naar een systeem waarbij je je eenvoudig en veilig kan identificeren of aan- en af te melden.” Dat soort simpele maar toch veilige procedures is vooral van belang in een omgeving waar meer mensen van de computer gebruik maken en waar vertrouwelijke gegevens om gaan, zoals ziekenhuizen. Saxena: “Er zijn vorderingen gemaakt met een goed identificatiesysteem, maar veilig en gebruiksvriendelijk tegelijk is niet eenvoudig.” Onderzoekers van Dartmouth College bedachten ZEBRA (dus), waarbij de identiteit van de gebruiker voortdurend wordt gecontroleerd gedurende een sessie en nul inspanning. Die identificatie gebeurt via meting met een speciale persoonsgebonden polsband die via Bluetooth is verbonden met de computer.
Als de gebruiker zich aanmeldt maakt het systeem een veilige verbinding met de polsband. Als hij/zij op de computer werkt dan zendt de polsband de metingen van de bewegingen naar de computer. Die zet die bewegingen om in een reeks wisselwerkingen. “Nu heeft de computer twee verschillende blikken op hetzelfde fenomeen: ten eerste de reeks directe wisselwerkingen met het toetsenbord en ten tweede de reeks wisselwerkingen opgemaakt uit de metingen”, zegt onderzoeker Nikola Asokan van de Aalto-universiteit. “Als die twee reeksen overlappen, dan concludeert de computer dat de persoon die op de computer werkt dezelfde is als bij het aanmelden. Als die reeksen verschillen verbreekt ZEBRA meteen de verbinding.”
Uit het onderzoek blijkt dat ZEBRA prima werkt bij eerlijke mensen, maar minder eerlijke mensen kunnen het systeem voor de gek houden. In de experimenten speelden 20 proefpersonen voor ‘slachtoffer’, terwijl de onderzoekers de ‘inbrekers’ waren. Zij deden na wat de slachtoffers op de computer deden. Saxena: “We wilden zien of we ZEBRA konden verslaan, hoe secuur het werkt als iemand probeert een sessie te ‘kapen’. Dat bleek vrij makkelijk te zijn.” De ‘inbreker’ kan er voor kiezen vlak bij het ‘slachtoffer’ te gaan zitten en afkijken wat die doet en welke handelingen die zal nabootsen. Het bleek mogelijk dat de ‘inbreker’ in 40% van de keren niet ontdekt werd. Het systeem beschermt wel tegen ongelukjes maar niet tegen opzettelijk valsspelen. Asokan: “Het is lastig om te bedenken wat inbrekers doen. Wat wij willen zeggen is dat het verkeerd modelleren van de aanvaller tot verkeerde gevolgtrekkingen kan leiden over de veiligheid van het systeem. Met een realistischer model komen de zwakke plekken meteen naar voren en kunnen die worden aangepast.”
Bron: Science Daily