Alice in Warningland: A Large-Scale Field Study of Browser Security Warning Effectiveness. Presented by: Elli Panagi

Transcript

1 Alice in Warningland: A Large-Scale Field Study of Browser Security Warning Effectiveness Presented by: Elli Panagi

2 Παρούσα Έρευνα Είναι αποτελεσματικά τα warnings του browser? Έλεγχος μόνο των bypassable warnings Αυτά που μπορούν να αγνοήσουν οι χρήστες Πώς ενεργούν οι χρήστες στα Warnings; Click through = Αγνόα την προειδοποίηση και συνέχισε στη σελίδα Leave = Λάβε υπόψη την προειδοποίηση. Απόφυγε τη σελίδα

3 Συλλογή Δεδομένων Browser Telemetry framework Μηχανισμός στο browser για την συλλογή δεδομένων Καταγράφει την συμπεριφορά των χρηστών στο διαδίκτυο Τα δεδομένα συλλέγονται ανώνυμα και με την συγκατάθεση των χρηστών τα δεδομένα αντανακλούν την πραγματική συμπεριφορά των χρηστών μετά την εμφάνιση προειδοποιήσεων Από Chrome και Firefox browsers Μεγάλης κλίμακας έρευνα Πάνω από 25 εκατομμύρια αντιδράσεις σε warnings

4 Warnings Μελετώνται 3 είδη warnings Malware warnings Phishing warnings SSL warnings Browser βγάζει: Warning όταν δεν είναι 100% σίγουρος ο κίνδυνος Error Page στις υπόλοιπες περιπτώσεις Σκοπός: να αποθαρρύνουν την πρόσβαση σε ύποπτες σελίδες

5 Malware and Phishing Warnings Προστασία χρηστών από κακόβουλες ιστοσελίδες Περιέχουν malicious executables Ή προσπαθούν να ξεγελάσουν τους χρήστες Πως αναγνωρίζουν malware και phishing websites? Μέσω του Safe Browsing list (μια λίστα από ύποπτα sites)

6 SSL πρωτόκολλο Ασφαλές κανάλι επικοινωνίας μεταξύ client και server Τα δεδομένα στέλνονται κρυπτογραφημένα Επικύρωση της ταυτότητας του server είναι σημαντική Αυτό γίνεται με digital certificates Επικύρωση γίνεται από trusted certificate authorities

7 SSL Warnings Όταν αποτυγχάνει η επικύρωση του certificate Σημαίνει ένα από τα πιο κάτω: Man-in-the-middle (MITM) attack Καταλάθος (πχ. Λανθασμένες ρυθμίσεις του server)

8 Browser Release Channels Stable/release: Σταθερή έκδοση του browser Λιγότερα προβλήματα Συνιστάται Pre-Release (Beta, Developer, Nightly ) Ασταθής Υπό ανάπτυξη Καινούργιες δυνατότητες Λαμβάνεται υπόψη το κανάλι που έχουν οι χρήστες.

9 Προηγούμενες μελέτες Σχηματίστηκε η εικόνα ότι οι χρήστες δεν δίνουν προσοχή στα warnings Πλείστες έρευνες ασχολούνταν με πεπαλαιωμένα warnings Έχουν εγκαταλειφθεί (deprecated) Ή έχουν τροποποιηθεί Μόνο 2 μελέτες ασχολούνται με πιο σύγχρονα warnings Μεροληπτικά αποτελέσματα Το περιβάλλον εργαστηρίου έχει επηρεάσει τα clickthrough

10 Μεθοδολογία Μετρούν πόσες φορές αγνοεί ή λαμβάνει υπόψη ένα warning Υπολογίζουν το clickthrough rate για κάθε είδος warning Μετρούν πόσο χρόνο σπαταλούν οι χρήστες στα SSL warnings Συσχέτιση χρόνου με αποτέλεσμα (clickthrough, leave) Συσχέτιση χρόνου με τύπο error (untrusted authority, name mismatch και expired certificate)

11 Αποτελέσματα

12 Malware and Phishing warnings Malware Rates by date Τα clickthrough rates στο Chrome ποικίλουν ανά ημερομηνία οφείλεται στην διαφορετική αντιμετώπιση των 2 browsers σε πιθανούς ύποπτους πόρους Firefox κάνει block τον πόρο χωρίς προειδοποίηση Chrome εμφανίζει warning

13 Malware/Phishing Rates by Warning type OS vs clickthrough rates Release channel vs clickthrough rates Firefox: υψηλότερο clickthrough rate στα phishing warnings

14 Malware/Phishing Rates by Warning type OS vs clickthrough rates Release channel vs clickthrough rates Chrome: κατά μέσο όρο υψηλότερο clickthrough rate στα malware warnings

15 Malware/Phishing Rates by Browser OS vs clickthrough rates Release channel vs clickthrough rates Υψηλότερο clickthrough rate στο Chrome

16 Malware/Phishing rates by Demographics OS vs clickthrough rates Release channel vs clickthrough rates Υψηλότερο clickthrough rate έχουν οι Linux users

17 Malware/Phishing rates by Demographics OS vs clickthrough rates Release channel vs clickthrough rates Υψηλότερο clickthrough rate έχουν οι Nightly users

18 SSL Warnings

19 SSL rates by Demographics OS vs clickthrough rates Release channel vs clickthrough rates

20 SSL rates by Demographics OS vs clickthrough rates Release channel vs clickthrough rates

21 SSL rates by Demographics OS vs clickthrough rates Release channel vs clickthrough rates

22 SSL rates by Browser OS vs clickthrough rates Release channel vs clickthrough rates 1 2

23 SSL rates by Certificate Error Type Chrome Firefox Περίπου ίδιο ποσοστό 24.4% διαφορά

24 Time Spent On SSL Warnings Time by Outcome Time by Error Type Proceed = λιγότερο χρόνο σκέψης Don t Proceed = περισσότερο χρόνο Συχνότητα εμφανίσεων ενός error είναι αντιστρόφως ανάλογη του χρόνου

25 Συμπεράσματα Τα warnings μπορούν να γίνουν αποτελεσματικά στους χρήστες Χαμηλό clickthrough rate για malware και phishing warnings Χρήστες με τεχνικά skills (Linux and pre-release channels users) κάνουν περισσότερα click through Πρέπει να περιοριστούν οι φορές που εμφανίζονται τα warnings Λιγότερα click through Οι χρήστες δεν διαβάζουν τα «More Information» να μην κρύβονται πληροφορίες που είναι σημαντικές για την λήψη αποφάσεων