Social authentication for mobile phones

In this thesis we present a scheme for automating authentication based on social factors using mobile phones. We test its feasibility by running simulations on an existing dataset. We implement two protocols one based on public key infrastructure and the other on hash chains. Then we consider possible threat scenarios.Web applications such as online banking, online shopping carts, and so on, depend on the user authenticating himself securely. Traditionally this involves a username and password and if more security is required an electronic token is used in addition to this password. Other than these two "factors" there is also biometrics, such as fingerprints, retinal scans and voice recognition. Thus the traditional systems use some combination of these three factors: something you know (passwords), something you have (tokens) and something you are (biometrics).Recently it has been suggested that a fourth factor: someone you know also be part of the authentication process . This technique has been applied to the problem of emergency authentication, as a replacement for challenge questions or calls to a help-desk. The idea is that the user uses a token and pin to authenticate himself. If the user forgets his token, he can ask a friend who has their token to grant him a temporary password. Thus fourth factor or social authentication is based on the process of vouching. In this method a user asks a friend to vouch for them, that is the friend must recognize the user and then issue some proof of this recognition, which the user then uses to log in to the service. In , this vouching was done explicitly, with the user contacting a friend and literally asking for a vouching code. In this thesis we will use users' cellphones to automate this process.Whenever a user calls a friend, a token will be issued "vouching" for this contact. These tokens if obtained in sufficient numbers can then be used to prove that a user is who he says he is. In addition to this fourth factor we will make use of other means of authentication. These include a PIN (personal identification number) that must be entered when validating the "vouching" tokens, possibly fingerprint recognition and outputs from other biometric sensors, such as a wrist watch with heart-rate monitor, or shoe with built-in pedometer. In this case we may want two out of three or four of these to match before authenticating the user.Dans cette thèse nous présentons un système d'automatisation de l'authentification basée sur des facteurs sociaux, utilisant des téléphones mobiles. Nous vérifions sa faisabilité en exécutant des simulations sur un ensemble de données disponible. Nous mettons en œvre deux protocoles l'une basée sur l'infrastructure à clé publiques et l'autre sur les chaînes de hachage. Ensuite, nous considérons les menaces possible.Les applications Web telles que les services bancaires en ligne, les paniers d'achat en ligne, etc, dépendent de l'authentification de l'utilisateur en toute sécurité. Traditionnellement, ceci néssecite un nom d'utilisateur et un mot de passe et si plus de sécurité est requis un jeton de sécurité est utilisé en plus de ce mot de passe. Hormis ces deux «facteurs» il y a aussi la biométrie, comme les empreintes digitales, empreintes rétiniennes et la reconnaissance vocale. Donc les systèmes traditionnels utilisent une combinaison de ces trois facteurs: quelque chose vous savez (mots de passe), quelque chose que vous avez (jetons) et quelque chose que vous êtes (biométrie).Récemment, il a été suggéré qu'une quatrième facteur: quelqu'un vous connaissez fases aussi partie du processus d'authentification. Cette technique a été appliquée au problème de l'authentification d'urgence, comme un remplacement pour les questions de défi ou les appels à un centre d'assistance. L'idée est que l'utilisateur utilise un jeton électronique et un NIP pour s'authentifier. Si l'utilisateur oublie son jeton, il peut demander à un ami qui a son jeton de lui accorder un mot de passe temporaire. Ainsi le quatrième facteur ou authentification sociale est fondée sur un processus d'attestation. Dans cette méthode, un utilisateur demande à un ami à se porter garant pour lui, cet ami doit reconnaître l'utilisateur et lui livrer une preuve de cette reconnaissance, que l'utilisateur utilise ensuite pour se connecter au service. En ce cas l'attestation a été fait de manière explicite, l'utilisateur devant contacter un ami et demander code temporaire verbalement. Dans cette thèse, nous utiliserons des téléphones cellulaires afin d'automatiser ce processus.Chaque fois qu'un utilisateur appelle un ami, un «jeton» sera publié comme «attestation» de ce contact. Ces jetons si ils sont obtenus en nombre suffisants peuvent alors être utilisés pour prouver que l'utilisateur est bien celui qu'il prétend être. En plus de ce quatrième facteur on fera appel à d'autres moyens d'authentification. Il s'agit notamment du code NIP (Numero d'Identification Personnelle) qui doit être entré lors de la validation avec les jetons d'attestation et possiblement la reconnaissance d'empreintes digitales et d'autres signaux en provenance de capteurs biométriques, comme une montre avec cardio-fréquencemètre, ou des chaussures avec podomètre intégré. Dans ce cas, nous voulons vérifier deux sur trois ou deux sur quatre de ces derniers avant l'authentification de l'utilisateur