211service.com
Come creare password che non possono essere compromesse da tortura o coercizione
La protezione delle informazioni è diventata uno dei compiti più importanti e significativi nella società moderna. Molte persone si sono abituate a memorizzare password e numeri PIN, a volte di sconcertante complessità. Altri usano indicatori biometrici per la protezione: impronte digitali, iridi e simili possono aiutare a identificare gli individui.
Ma questi sistemi non sono perfetti. Un problema significativo è la minaccia di coercizione: essere costretti a rivelare una password o a mettere un dito nello scanner di impronte digitali.
Oggi, Max Wolotsky di Cal Poly Pomona e un paio di amici hanno escogitato una soluzione in grado di determinare se un individuo è stato costretto e di conseguenza negare l'autenticazione.
Il sistema è semplice nel concetto. L'idea di Wolotsky e compagni è quella di utilizzare i livelli di stress del corpo per determinare se sono costretti in qualche modo. E lo fanno misurando la risposta dell'individuo alla musica rilassante che in precedenza identificavano come rilassante.
La musica chill è così chiamata perché provoca un brivido lungo la schiena, una risposta simile al freddo. Sono gli effetti fisiologici di questo brivido che Wolotsky e compagni hanno deciso di misurare monitorando il battito cardiaco e gli schemi delle onde cerebrali.
La loro ipotesi è che questi segnali siano impossibili da falsificare e possono essere misurati solo quando il soggetto è rilassato. Qualsiasi coercizione comporterebbe un segnale diverso.
Per scoprire se questo è il caso, il team ha chiesto a cinque soggetti del test di scegliere il loro brano preferito di musica rilassante e quindi hanno monitorato il battito cardiaco e le onde cerebrali mentre ascoltavano.
In particolare, il team si è concentrato sui momenti all'interno della musica che innescano la risposta gelida partendo dal presupposto che ciò avvenga sempre nello stesso punto della partitura. Questa sezione della musica, meno di un minuto circa, diventa quindi la chiave del processo di autenticazione.
L'idea è che se il soggetto è rilassato, può sperimentare il freddo in futuro e riprodurre i segnali fisiologici associati a questo.
In effetti, il team ha effettuato una serie di test e ha scoperto che i loro soggetti erano in grado di superare il test con una percentuale di successo del 90%.
Ci sono alcuni avvertimenti, ovviamente. Il team non è stato in grado di testare la risposta dei suoi soggetti sotto alcun tipo di stress per simulare il tipo di coercizione che questo test è progettato per sventare. Uno dei motivi per cui non l'abbiamo fatto è perché non è etico minacciare i soggetti del test per verificare che il nostro sistema sia completamente resistente alla coercizione, poiché potrebbe lasciare ai soggetti danni fisici o psicologici permanenti, dicono.
Questa è una limitazione significativa. Se il team non ha verificato che funzioni nelle condizioni in cui è progettato per operare, come può essere sicuro che sia sicuro? Ci sono anche altri potenziali problemi. È probabile che le informazioni che potrebbero trarre vantaggio da questo tipo di maggiore protezione siano estremamente preziose, cose come i codici di lancio delle armi nucleari, forse. (Uno degli autori lavora presso i Sandia National Laboratories, che è responsabile della gestione delle scorte nucleari.)
Ma l'accesso urgente a questo tipo di informazioni potrebbe essere necessario solo in periodi di forte stress e questo potrebbe invalidare il test. Il pensiero di qualcuno che tenta di accedere ai codici di lancio mentre si svolge la terza guerra mondiale, ma che deve rilassarsi in anticipo, ha una sorta di commedia nera.
Tuttavia, lo sviluppo di password resistenti alla coercizione è un obiettivo importante. Wolotsky e co hanno intrapreso alcune misure provvisorie su cui altri possono basarsi.
Rif: http://arxiv.org/abs/1605.01072: Chill-Pass: utilizzo di risposte neurofisiologiche alla musica rilassante per sconfiggere gli attacchi di coercizione