💻 computer science

Pick and Sort for Graphical Authentication

해당 논문은 사용자가 그리드 내에서 시각적 요소를 선택하고 배열하는 구성 가능한 "픽 앤 소트" 그래픽 인증 방식을 제안하며, 이는 로그인 시간이 더 길어지더라도 학습이 용이하고 유연한 솔루션을 제공하여 드문 접근이나 보조 인증 시나리오에 적합합니다.

원저자: Argianto Rahartomo, AmirHossein Jamshidipoor, Mohammad Ghafari

게시일 2026-05-04

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Argianto Rahartomo, AmirHossein Jamshidipoor, Mohammad Ghafari

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

비밀 보물 상자를 열려고 한다고 상상해 보세요. 보통은"P@ssw0rd123!"처럼 길고 복잡한 암호를 기억하거나, 전화 화면에 그린 특정 패턴을 입력해야 합니다. 하지만 타이핑하거나 그리는 대신, 좋아하는 장난감을 골라 게임 보드 위에 특정 방식으로 배열하기만 한다면 어떨까요?

이 논문에서 연구자들이 제안하는 것이 바로 이것입니다. 그들은 새로운 보안 시스템을"픽 앤 소트 (Pick and Sort)"라고 부릅니다.

다음은 이를 간단한 개념으로 나누어 설명한 것입니다:

게임 보드 (그리드)

로그인 화면을 작은 틱택토 보드 (그리드) 로 생각하세요. 그들의 테스트에서는 4x4 그리드를 사용했는데, 이는 16 개의 빈 칸이 있는 약간 더 큰 틱택토 보드와 같습니다.

말들 (시각적 요소)

문자나 숫자 대신, 선택할 그림들이 담긴"가방"이 있습니다. 연구자들은 세 가지 다른 가방을 제공했습니다:

색상 (큰 크레용 상자처럼).
아이콘 (이모지처럼: 불, 물방울, 돈주머니).
모양 (원, 사각형, 삼각형).

어떻게"로그인"하는가

고르기: 가방을 살펴보고 좋아하는 몇 가지 항목을 선택합니다. 예를 들어"검은 원", "불"아이콘, "빨간"크레용을 선택할 수 있습니다.
정리하기: 이 항목들을 그리드 위에 놓습니다. 어디에 둘지 결정합니다. 예를 들어 불은 왼쪽 상단 모서리에, 원은 중앙에, 빨간 크레용은 오른쪽 하단에 둘 수 있습니다.
비밀: 비밀번호는 선택한 항목뿐만 아니라, 보드 위의 정확한 위치까지 포함한 것입니다.

이것이 다른 이유 (마법 같은 트릭)

대부분의 비밀번호 시스템은 순서를 기억하는 것에 의존합니다 (예: "A, 그 다음 B, 그 다음 C"). 이 시스템은 두 가지를 혼합합니다:

인식: 처음부터 항목이 무엇인지 기억할 필요가 없습니다. 더미 속에서 좋아하는 장난감을 발견하듯 보일 때 인식하기만 하면 됩니다.
회상: 보드 위에 어디에 두었는지 기억해야 합니다.

연구자들은 이것이 게임과 같다고 발견했습니다. 무작위 문자열을 기억하는 것보다"불을 왼쪽 상단 모서리에 두었다"는 것을 기억하는 것이 뇌에게 더 쉽습니다.

테스트했을 때 일어난 일

연구자들은 프로토타입을 구축하고 59 명 (어린이와 성인 포함) 에게 시도해 보게 했습니다. 그들이 발견한 점은 다음과 같습니다:

약간 더 느립니다: 비밀번호를 타이핑하는 것은 빠릅니다. 그림을 고르고 배치하는 데는 조금 더 시간이 걸립니다 (약 20~30 초). 연구자들은 이것이 매우 급할 때는 좋지 않다고 인정하지만, 하루에 한 번이나 일주일에 한 번 로그인하는 경우에는 괜찮다고 말합니다.
사람들은 연습을 통해 더 나아집니다: 사람들이 처음 로그인하려고 시도했을 때 실수를 했습니다. 하지만 몇 번 시도한 후, 한 달이 지나도 더 빠르고 정확하게 되었습니다. 새로운 카드 게임을 배우는 것과 같습니다. 처음에는 혼란스럽지만 곧 근육 기억이 됩니다.
사람들은"선호하는"이동을 합니다: 게임에서와 마찬가지로 사람들은 같은 인기 있는 항목 (예: 검은색이나 불 아이콘) 을 선택하고 같은 기억하기 쉬운 위치 (예: 위쪽 줄) 에 두는 경향이 있었습니다. 해커가 인기 있는 위치를 먼저 추측할 수 있으므로 이는 다소 위험합니다.
유연합니다: 게임을 바꿀 수 있습니다. 어린이라면 만화 캐릭터를 사용할 수 있고, 노년층이라면 더 크고 명확한 아이콘을 사용할 수 있습니다. 시스템이 사용자에게 적응합니다.

결론

연구자들은 전화의 지문 스캐너나 은행의 패스키를 대체하려는 것이 아닙니다. 대신 그들은 백업 계획이나 전문 도구를 제공합니다.

마치 정문보다 열기에는 조금 더 느리지만, 도둑이 정확히 당신이 어떤 그림을 선택했고 보드 어디에 숨겼는지 알아내야 하므로 훨씬 더 추측하기 어려운 안전 금고와 같습니다. 비밀번호 입력이 어려운 사람들이나 매분마다 로그인할 필요가 없는 상황에 특히 적합한, 신원을 증명하는 안전하고 시각적인 방법입니다.

간단히 말해: 지루하고 스트레스가 많은 비밀번호를 배우기는 쉽지만 낯선 사람이 추측하기 어려운 단순한 시각적 퍼즐로 바꿉니다.

Rahartomo 외의 논문 "Pick and Sort for Graphical Authentication"에 대한 상세 기술 요약입니다.

1. 문제 제기

기존 텍스트 기반 인증 (비밀번호, PIN) 은 기억하기 어렵고, 추측/피싱에 취약하며, 사용자 피로도를 유발한다는 단점이 있습니다. Passkeys(WebAuthn) 및 생체 인식과 같은 현대적 대안은 개선을 제공하지만 다음과 같은 중대한 한계가 있습니다:

Passkeys: 특정 장치나 생태계에 묶여 있어, 장치를 분실하거나 교체할 경우 복구가 어렵습니다.
생체 인식: 하드웨어, 운영체제, 브라우저의 조율된 지원 없이는 독립적인 웹 인증 메커니즘으로 작동할 수 없으며, 생체 데이터가 유출될 경우 재설정할 수 없습니다.
기존 그래픽 비밀번호: 사용자가 명백한 이미지를 선택하여 엔트로피가 낮거나, 단일 장치 시나리오로 제한되거나, 복잡한 제스처에 의존하거나, 추측하기 쉬운 특정 시각적 핫스팟에 의존하는 경우가 많습니다.

저자들은 로그인 속도가 중요하지 않은 시나리오 (예: 드문 접근 또는 2 차 인증) 에서 보안성 (높은 엔트로피, 추측 저항) 과 사용성 (낮은 인지 부하, 게임과 같은 상호작용) 사이의 간극을 해소하는 것을 목표로 합니다.

2. 방법론: "Pick and Sort" 방식

저자들은 인식 (recognition) 과 기억 (recall) 메커니즘을 결합한 하이브리드 그래픽 인증 방식을 제안합니다.

핵심 워크플로우

등록: 사용자가 카테고리화된 풀 (예: 색상, 아이콘, 모양) 에서 시각적 요소 집합을 선택하고 그리드 (예: 4×4) 내의 특정 공간 구성으로 배열합니다.
인증: 사용자는 선택한 요소를 인식하고 정확히 동일한 그리드 위치에 배치해야 합니다.
무작위화: 위치 기반 추측을 방지하기 위해 프로토타입은 매 로그인 시도 시 요소 풀의 표시 순서를 무작위화하여, 사용자가 고정된 위치의 근육 기억에 의존하기보다 특정 항목을 능동적으로 검색하도록 강제합니다.

주요 설계 특징

하이브리드 메커니즘:
- 인식: 풀에서 선택한 이미지를 식별하여 기억 부하를 줄입니다.
- 기억: 특정 공간 배열을 기억해야 하므로 엔트로피를 높입니다.
구성 가능성: 그리드 크기 ( $n$ ) 와 선택된 요소의 수 ( $k$ ) 는 조정 가능합니다. 시스템은 서로소 집합 ( $m$ 개 집합) 을 지원합니다.
순서 독립성: 비밀은 클릭된 순서가 아닌 요소의 최종 구성으로 정의되어 인지 부하를 줄입니다.
엔트로피 계산: 이론적 비밀번호 공간은 서로소 집합과 그리드 순열을 고려하기 위해 포함 - 배제 원리를 사용하여 계산됩니다. 이 공식은 $m$ 개의 집합에서 $k$ 개의 요소를 선택하여 $n \times n$ 그리드에 배치하는 경우를 고려합니다.

프로토타입 구현

기술 스택: HTML/CSS/JS (프론트엔드), Django (백엔드), SQLite (데이터베이스).
요소 집합: 세 가지 큐레이션된 집합: 색상 (40 개 항목), 아이콘 (90 개 항목), 모양 (50 개 항목).
제약 조건: 사용자는 각 집합에서 최소 하나의 요소를 선택하고 4×4 그리드에 배치해야 합니다.

3. 주요 기여

새로운 방식 설계: 인식과 기억을 균형 있게 조화시키는 플랫폼 독립적, 그리드 기반 그래픽 인증 방법인 "Pick and Sort"를 도입했습니다.
이론적 프레임워크: 그리드 크기, 요소 선택, 집합 제약을 기반으로 이 방식의 이론적 엔트로피를 계산하기 위한 수학적 공식을 제시했습니다.
실증적 사용자 연구: 82 명의 참가자 (미성년자 포함) 를 대상으로 한 예비 연구를 통해 이 방식의 사용성, 기억성, 보안 특성을 평가했습니다.
보안 분석: 경험적 섀넌 엔트로피와 추측성 지표 (작업 계수) 를 사용하여 추측 공격에 대한 이 방식의 저항성을 정량적으로 분석했습니다.

4. 결과

이 연구에는 82 명의 참가자가 참여했으며, 59 명이 첫 번째 로그인 단계를 완료했고 43 명이 세 단계 (등록, 1 일차, 10 일차, 28 일차) 를 모두 완료했습니다.

사용성 및 성능

등록 시간: 평균 약 50 초. 젊은 사용자 (<20 세) 가 다른 연령대보다 빠랐습니다.
로그인 시간: 평균 약 22 초 (성공 시도). 텍스트 기반 방법보다 느리지만 단계 간 일관성이 있었습니다.
성공률:
- 1 단계 (1 일차): 58% 성공률.
- 이후 단계 (10 일차/28 일차): 74% 로 향상됨.
- 관찰: 성공률은 연습을 통해 향상되며, 28 일의 간격 후에도 이 방식은 기억에 남습니다.
유지율: 참가자의 72.88% 가 모든 단계를 완료했습니다.

보안 및 엔트로피

요소 선택: 사용자는 일반적으로 3~5 개의 요소를 선택했습니다. "검정"이 가장 빈번한 색상 선택이었습니다.
패턴 편향: 사용자는 단순하고 재현 가능한 패턴을 선호했습니다:
- 수평선: 23 회 발생.
- L 자 모양: 19 회 발생.
- 대각선: 9 회 발생.
- 복잡한 패턴 (정사각형) 은 드물었습니다.
경험적 엔트로피:
- 관찰된 고유 비밀의 총계: 59 개.
- 섀넌 엔트로피: 5.85 비트 (샘플 크기에 대한 이론적 최대치에 근접).
- 추측성: 공격자가 가장 일반적인 비밀을 먼저 추측할 경우:
  - 계정 10% 를 침해하려면 5 번의 추측이 필요합니다.
  - 계정 50% 를 침해하려면 29 번의 추측이 필요합니다.
- 참고: 이론적 엔트로피는 높지만 (~120 비트), 실제 엔트로피는 사용자가 단순한 패턴을 선호하는 편향으로 인해 제한됩니다.

5. 의의 및 한계

의의

접근성: 이 방식은 텍스트 비밀번호를 찾기 어렵지만 "게임과 같은" 시각적 인터페이스에 참여할 수 있는 특정 인구 집단 (예: 어린이, 노인) 에게 매우 적합합니다.
보조적 역할: Passkeys 나 생체 인식을 대체하기 위한 것이 아니라, 고급 하드웨어 지원이 불가능한 브라우저 기반 환경에서 강력한 백업 또는 2 차 인증 방법으로 기능합니다.
배포 가능성: 특수 하드웨어가 필요 없으며 터치 또는 클릭 인터페이스가 있는 모든 장치에서 작동합니다.

한계 및 타당성 위협

내적 타당성: 참가자가 원격으로 자신의 장치를 사용함으로써 화면 크기와 입력 방법의 변이가 발생했습니다. 연구 후 만족도 조사는 실시되지 않았습니다.
외적 타당성: 표본이 대학 네트워크와 개인 연결에서 추출되어 인구 통계학적 다양성이 부족할 수 있습니다.
보안 격차: 이 연구는 현실 세계의 적대적 공격 (예: 어깨 너머 훔쳐보기) 을 시뮬레이션하지 않았습니다. 단순한 패턴 (선, L 자 모양) 에 대한 관찰된 선호도는 지침 없이 사용자가 실제 엔트로피를 낮출 수 있음을 시사합니다.
누락된 기능: 프로토타입에 "비밀번호 찾기" 메커니즘이 없어 오인식률 (FRR) 과 오수용률 (FAR) 측정이 불가능했습니다.

결론

"Pick and Sort"는 구성 가능한 그리드 기반 그래픽 인증 방식이 보안과 사용성 사이의 실현 가능한 균형을 제공할 수 있음을 보여줍니다. 로그인 시간이 기존 방법보다 길지만, 이 방식은 드문 접근 시나리오와 특정 사용자 그룹에 유망한 가능성을 보입니다. 향후 작업은 단순한 패턴을 억제하기 위해 인터페이스를 개선하고, 접근성을 위한 요소 다양성을 확장하며, 대규모 종단 연구를 수행하는 데 중점을 둡니다.