Il termine che stai cercando è " keystroke dynamics" o "keystroke biometrics" ed è un campo interessante e in crescita.

L'idea è che un individuo digiti determinate chiavi in ​​un certo modo che non cambia molto nel tempo. Se puoi mappare queste dinamiche, potresti, potenzialmente, eliminare completamente le password e semplicemente indurre l'utente a digitare qualsiasi cosa .

Penso che sarebbe molto, molto fastidioso per gli utenti legittimi della tua applicazione o del tuo sito web. Cose come un dito rotto, o semplicemente tenere un panino in una mano, renderebbero inutilizzabile il tuo login. Inoltre, dovresti incoraggiare l'uso di gestori di password, che invieranno sequenze di tasti estremamente rapidamente o non invieranno affatto sequenze di tasti. Il tuo schema probabilmente impedirebbe il funzionamento anche ai migliori gestori di password.

Ci sono cose buone, alcune cattive e alcune VERAMENTE brutte qui.

Il buono
Aumenta l'entropia delle password e rende più difficile la forza bruta

The Bad
Si basa su qualcosa che può essere registrato e cronometrato in modo udibile e necessita di tolleranze di errore, il che significa che qualcosa deve essere abbastanza vicino da rendere discutibile

Il VERAMENTE brutto
Le persone cambiano nel tempo. Per una moltitudine di ragioni (lesioni, età, dimenticare come va il modello) potrebbero non essere più in grado di inserirlo alla stessa velocità e frequenza esatte o entro le tolleranze e quindi in realtà danneggia la capacità degli utenti di utilizzare il servizio

Quindi, sebbene sia un'idea interessante e un campo interessante, non è davvero nient'altro che difficile per gli umani mantenere l'entropia sulla password. Peggio ancora, è facile ricreare il modello con le macchine. Renderà più difficile l'hackerare senza una preventiva conoscenza della persona o del modello, ma potrebbe anche peggiorare nel tempo l'esperienza di un utente con il tuo servizio e rendere più facile la raccolta di informazioni locali sull'entropia della password.

se si trattava di un'aggiunta praticabile alla sicurezza in questi giorni

L'unico motivo per cui non credo sarebbe fattibile è che le persone accedono da così tanti dispositivi diversi in questi giorni . Posso prometterti che non c'è correlazione con il ritmo con cui digito la password sul mio desktop di lavoro principale e la tastiera Swype sul mio tablet.

Sì, è più sicuro. Renderebbe una password temporizzata di 8 caratteri forte quanto una password non temporizzata lunga ~ 9,5 caratteri.

Questa sarebbe una forma di dinamica dei tasti . È stata un'area di ricerca attiva per un po ', anche se il software in esecuzione su un Amiga probabilmente precede la maggior parte!

C'è un pacchetto python per quello, nel caso tu voglia sperimentare in un linguaggio più moderno (disclaimer: l'ho scritto io) .

Alcuni servizi moderni utilizzano effettivamente questa tecnica , come Coursera, chi usa per assicurarsi che la persona che risponde a un test sia l'utente effettivo.

Esploriamo un po 'di teoria per rispondere alla tua domanda. Le opzioni usuali per l'autenticazione umana sono:

• Qualcosa che conosci (password, codice pin)
• Qualcosa che hai (telefono cellulare, hardware token, smart card)
• Qualcosa che sei (impronta digitale, iride, andatura). Di solito biometria.

Le dinamiche di battitura appartengono alla terza categoria. Di solito, i buoni sistemi di autenticazione si basano sull'avere più di uno di questi. Quando si utilizzano due sistemi diversi, ciò è comunemente noto come autenticazione a due fattori.

Di solito, la biometria prevede un paio di avvertenze :

• Possono cambiare nel tempo. Il tuo schema di digitazione cambierà con l'ora del giorno, la tua sedia e l'altezza della scrivania, la tastiera che stai utilizzando e molti altri fattori
• Potrebbero andare irrimediabilmente persi. Se riesci a perdere un dito, non sarai mai in grado di autenticarti.

Il tuo progetto, tuttavia, non utilizza un biometrico tradizionale. Stai chiedendo all'utente di ricordare uno schema di digitazione. Ciò rientrerebbe nella prima categoria ( qualcosa che conosci ), quindi, in modo efficace, puoi misurare la quantità di sicurezza che aggiunge utilizzando l ' entropia.

Supponendo che il tuo sistema abbia due possibili durate di pressione dei tasti (che il tuo esempio sembra implicare), questo aggiunge un po 'di entropia per carattere - quindi renderebbe una password temporizzata di 8 caratteri forte come una lunghezza di ~ 9,5 caratteri non- password temporizzata.

Ovviamente, anche il design ha dei difetti, se paragonato alla dinamica dei tasti biometrici:

• il fatto che il pattern sia molto distintivo renderà è più suscettibile a un utente malintenzionato con un registratore audio
• Poiché il modello è noto dall'utente, può essere costretto a rivelarlo. Le dinamiche tradizionali dei tasti possono essere utilizzate come autenticazione implicita.

Poiché questo fondamentalmente preclude l'uso di un gestore di password, che è best practice di base per la sicurezza delle password, non migliora ma danneggia la sicurezza delle password.

È un'idea chiara e l'effetto finale sarebbe un aumento dell'entropia delle password. Ad esempio, supponiamo che la tua soglia sia di 1/4 di secondo e la pausa massima di 1 secondo. Ad un certo punto le pause verrebbero convertite in bit, e questo aumenterebbe effettivamente il set di caratteri della password di 4 volte; per esempio. un set di 80 caratteri diventerebbe un set di 320 caratteri. Una password di 10 cifre con 80 possibili caratteri diventerebbe 1 milione di volte più difficile da applicare con la forza bruta implementando la tua idea. Un altro modo per dire che la tua password di 10 caratteri diventerebbe più simile a 13 o 14 caratteri.

In pratica, il vantaggio principale che vedo è che probabilmente è più facile per gli esseri umani ricordare il ritmo di una canzone combinato con 10 caratteri piuttosto che ricordare 14 caratteri. Ma le password migliori sono quelle che gli esseri umani non possono ricordare comunque, quindi probabilmente sarebbe molto più semplice (per tutte le parti coinvolte) aggiungere solo qualche carattere in più alla tua password per ottenere lo stesso aumento di entropia.

Ho lavorato un po 'su questo e su alcune aree correlate, e la mia risposta alla domanda dipende da quanto tempo hai a disposizione:

Risposta breve: Sì, con un ma.

In poche parole, come hai scoperto in precedenza, ci sono somiglianze nella pressione dei tasti osservata (o in altri modelli biometrici comportamentali). Questi possono, in teoria, essere usati per una maggiore sicurezza, ma i tassi di falsi positivi e falsi negativi sono ancora relativamente alti, quindi l'usabilità è discutibile e non ci sono librerie predefinite che consiglierei come affidabili.

Risposta più lunga: No, con un tuttavia.

Il problema con la biometria comportamentale nel contesto della sicurezza è che non si adatta ai nostri modelli attuali. Se ti viene fornita una password, è giusta o sbagliata. Se qualcosa misura la tua iride, è una corrispondenza o non lo è. Non c'è margine di manovra o spazio di manovra, l'uno o l'altro, l'autenticazione binaria.

I comportamentali non lo fanno. I comportamenti cambiano a seconda dell'ora del giorno, dell'ora del mese, del tempo fuori. Puoi dire "questo sembra come questa persona", ma non c'è una risposta "sì / no" immediata, il che li rende pessimi con l'autenticazione tradizionale, in particolare con campioni di dimensioni brevi come le password.

D'altra parte, ci sono molte analisi comportamentali che possono essere misurate (utilizzo della rete, sequenza di tasti, utilizzo del mouse, movimento e molte altre). Questi possono essere combinati per fornire un'indicazione di affidabilità sostenuta per un periodo prolungato. Quindi, ad esempio, potresti accedere alla tua macchina e non ti consentirebbe di accedere alla tua banca perché non ti ha ancora verificato. Fai alcune altre cose che ti servono, lavora per un po 'e gli algoritmi restituiscono un buon valore di confidenza e l'accesso viene concesso ai sistemi privilegiati.

Essenzialmente, le rotte di autenticazione binaria attualmente in atto non sono buone adatto alla biometria comportamentale, ma ci sono molte promesse per l'autenticazione basata sulla fiducia più avanti nella linea.

Un altro motivo per no: supponi che il tuo utente di tanto in tanto digiti erroneamente la password. Tu puoi digitarlo perfettamente, ma il resto di noi a volte ha le dita grasse. Probabilmente lo digiteranno più lentamente al secondo tentativo e rovineranno le tue metriche. Ciò è particolarmente vero se c'è un timeout / ritardo rilevabile (limitazione della velocità o solo un server di accesso lento) in quanto non vorrebbe aspettare un altro ritardo essendo già stato infastidito dal primo

Chiamiamola immissione password a tempo .

In sostanza, quello che stai facendo è questo:

• Stai cercando di aumentare l'entropia della password.

Questo ha alcuni svantaggi, come il fatto che le persone cambiano e potrebbe rimangiarti dopo alcuni anni.

La domanda è: questo metodo per aumentare entropia password ne vale la pena? Per rispondere correttamente, devi prima misurare l'entropia totale ottenuta richiedendo l'immissione di una password a tempo.

Direi che non otterrai molta entropia, perché la maggior parte delle persone lo farebbe generalmente usa le tastiere in modo simile. Quindi, quando sai che la maggior parte delle persone usa generalmente le tastiere in modo simile, saprai che non c'è molta entropia (o informazione) nel conoscere la digitazione a tempo.

Pertanto suggerisco che:

• L'immissione di password a tempo non vale i rischi.
• Se hai bisogno di più entropia, usa semplicemente password di qualità superiore (più lunghe con più lettere casuali).

È un'idea molto interessante, ma se non fosse implementata correttamente come hanno detto tutti gli altri non funzionerebbe perché le persone cambiano e la tolleranza agli errori dovrebbe essere implementata correttamente.

Il mio l'idea per un buon modo di implementare questo sarebbe vedere se l'utente inserisce la propria password in un determinato schema temporale e se non lo è e la password è corretta allora potresti usare queste informazioni per far sembrare la richiesta un po 'sospetta e fare altre cose come magari chiedere all'utente di inviare un messaggio al telefono per assicurarsi che sia davvero lui.

I pro: l'utente inserisce la password normalmente, se è fuori tempo quindi si può passare alle misure secondarie di autenticazione. Ciò darebbe fastidio all'utente solo se lo digita in modo anomalo o se è qualcuno che cerca di entrare nel suo account.

Contro: potrebbero essere falsi positivi che potrebbero infastidire il utente che sta tentando di accedere e i tempi potrebbero essere visti e / o registrati da qualcuno che guarda alle tue spalle.

Sì, può funzionare, se gestito correttamente

I vantaggi sono evidenti: è più difficile per qualcun altro accedere con la tua password. Indovinare diventa più difficile, e anche se qualcuno possiede (parte della) tua password, non ha ancora finito.

Quindi, affronterò le preoccupazioni:

Sì, puoi comunque accedere con un dito rotto

Certo, la password può andare "persa" quando ti rompi il dito, ma questo può essere risolto mettendo a disposizione una password principale (più forte). Se ti capita di avere circostanze che non ti consentono di mantenere il tuo rythem, puoi sempre utilizzare la password principale per entrare (e cambiare il rythem se necessario).

Sì, puoi ancora utilizzare più dispositivi

Ovviamente diversi tipi di dispositivi avranno ritmi diversi, ma se li usi frequentemente, il ritmo per dispositivo dovrebbe essere abbastanza stabile. In quanto tale, puoi consentire agli utenti di avere più ritmi validi.

Sì, puoi ancora usare i gestori di password

Ovviamente i gestori di password potrebbero essere impostati per inviare sia i ritmi che le sequenze di tasti. Anche se questo può essere difficile, potrebbe essere molto facile usare semplicemente la suddetta password principale quando si accede con il gestore di password.

Piuttosto che bloccare / consentire brutalmente l'utente, potresti fargli "apprendere" il metodo dell'utente per un periodo di 10-20 accessi e prendere la mediana con un leggero margine di tempo.

Regolare login: - Password + login a due fattori tramite link app / sms / e-mail

Dopo un po 'conoscerai il suo schema e potrai dare all'utente la possibilità di abilitare la sicurezza aggiuntiva, quindi abbassare l'importo di volte ha bisogno di accedere con il login a due fattori. (presumendo che sia stato utilizzato lo stesso IP)

Quando la sicurezza aggiunta è attiva, è possibile consentire all'utente di accedere solo con la password purché la sorgente IP sia la stessa. e quando si rileva che l'utente sta variando la sua velocità di tocco tocco di accesso molto rispetto alle registrazioni precedenti, è possibile richiedere nuovamente l'accesso a due fattori e aggiornare l'elenco. (prendi sempre la mediana su 5 tentativi di accesso, eliminando gli estremi)

Penso che questo avrebbe il maggior potenziale per le situazioni in cui una password viene utilizzata spesso e l'input non consente una grande varietà di caratteri. Un esempio ovvio potrebbe essere qualcosa come un codice di accesso alla porta. Questo ha anche il vantaggio che anche se qualcuno è in grado di vedere il codice da sopra la tua spalla, deve comunque ottenere il ritmo giusto. Ciò consente anche di ottenere più entropia da un dispositivo di input molto semplice.

Potresti anche immaginare una situazione in cui c'è un solo pulsante e il ritmo è l'unico input, dopo tutto questa è una versione digitale del "colpo segreto".

Se non altro questo potrebbe avere un valore di novità per applicazioni di sicurezza di basso livello e potrebbe anche avere una nicchia più seria per diciamo musicisti professionisti che dovrebbero avere un senso del tempismo molto preciso.