Σύστηµα Αυθεντικοποίησης Μέσω Αναγνώρισης Τρόπου Πληκτρολόγησης

Transcript

1 ΑΡΙΣΤΟΤΕΛΕΙΟ ΠΑΝΕΠΙΣΤΗΜΙΟ ΘΕΣΣΑΛΟΝΙΚΗΣ ΠΟΛΥΤΕΧΝΙΚΗ ΣΧΟΛΗ ΤΜΗΜΑ ΗΛΕΚΤΡΟΛΟΓΩΝ ΜΗΧΑΝΙΚΩΝ & ΜΗΧΑΝΙΚΩΝ ΥΠΟΛΟΓΙΣΤΩΝ ΙΠΛΩΜΑΤΙΚΗ ΕΡΓΑΣΙΑ µε θέµα Σύστηµα Αυθεντικοποίησης Μέσω Αναγνώρισης Τρόπου Πληκτρολόγησης Σπυρίδων Σιάτρας Επιβλέπων Καθηγητής: Μ. Γ. Στρίντζης Θεσσαλονίκη, Ιούλιος 2004

2 Θα ήθελα στο σηµείο αυτό, να εκφράσω τις θερµότερες ευχαριστίες µου στον Καθηγητή Μιχαήλ Γ. Στρίντζη για την υποστήριξη και καθοδήγηση του. Επίσης, ευχαριστώ θερµά τον ρ. ηµήτριο Τζοβάρα για τις πολύτιµες συµβουλές του και τη συνεισφορά του κατά τη διάρκεια της ενασχόλησης µου µε τη διπλωµατική εργασία. Τέλος, δε θα µπορούσα να παραλείψω όλους όσους πρόθυµα συµµετείχαν κατά την διάρκεια των δοκιµών των προγραµµάτων της εργασίας. Η βοήθεια τους ήταν πολύτιµη. 2

3 Περιεχόµενα Κεφάλαιο Εισαγωγή Εισαγωγικό σηµείωµα Σκοπός της εργασίας ιάρθρωση της εργασίας...7 Κεφάλαιο Βιοµετρικές Μέθοδοι Αναγνώρισης Γενικά Ορισµοί Τα στάδια της βιοµετρικής αναγνώρισης είκτες απόδοσης Μέθοδοι που χρησιµοποιούνται ιαφορές µεταξύ των µεθόδων Παρουσίαση των µεθόδων...16 Κεφάλαιο Αναγνώριση Τρόπου Πληκτρολόγησης Εισαγωγή Λίγα λόγια για τη µέθοδο Χαρακτηριστικά της µεθόδου Πλεονεκτήµατα και µειονεκτήµατα Εφαρµογές Ανασκόπηση της σχετικής βιβλιογραφίας...27 Κεφάλαιο Εισαγωγικά Στοιχεία Των Προγραµµάτων Γενικά Χαρακτηριστικά των προγραµµάτων Τρόπος µετρήσεων Πρώτα συµπεράσµατα

4 Κεφάλαιο Αυθεντικοποίηση σε Σύστηµα µε Συνθηµατικά Εισαγωγή Εγγραφή Εκπαίδευση Αυθεντικοποίηση Αποτελέσµατα...49 Κεφάλαιο Αυθεντικοποίηση κατά την Πληκτρολόγηση Κειµένου Εισαγωγή Χαρακτηριστικά του συστήµατος Εγγραφή Εκπαίδευση Αυθεντικοποίηση Αποτελέσµατα...64 Κεφάλαιο Αναγνώριση κατά την Πληκτρολόγηση Κειµένου Εισαγωγή Μέθοδοι αναγνώρισης Αποτελέσµατα...70 Κεφάλαιο Επίλογος...73 Βιβλιογραφία

5 Κεφάλαιο 1 Εισαγωγή 1.1. Εισαγωγικό σηµείωµα Είναι αναµφισβήτητο γεγονός ότι το δεύτερο µισό του αιώνα που µας πέρασε έχει σηµαδευτεί από την εντυπωσιακή ανάπτυξη στον τοµέα των ηλεκτρονικών υπολογιστών. Σήµερα, µε την ολοένα και αυξανόµενη διάδοση του διαδικτύου και του ηλεκτρονικού εµπορίου, οι υπολογιστές αποτελούν αναπόσπαστο κοµµάτι της καθηµερινής µας ζωής. Οι υπολογιστές ελέγχουν σήµερα τις τηλεπικοινωνίες, τις αεροµεταφορές καθώς και όλες τις οικονοµικές συναλλαγές. Τους εµπιστευόµαστε από τα πιο απλά πράγµατα, όπως οι αγορές µας µέσω διαδικτύου, µέχρι και κρίσιµες πληροφορίες σχετικά µε τις τραπεζικές µας καταθέσεις και τα ιατρικά µας δεδοµένα. Τους χρησιµοποιούµε για να πληρώσουµε τους φόρους και τους λογαριασµούς µας, για την καθηµερινή µας ενηµέρωση, για την απόκτηση γνώσης από την απέραντη δεξαµενή πληροφορίας που βρίσκεται στο διαδίκτυο, καθώς και για να γράψουµε και να στείλουµε ένα προσωπικό γράµµα µέσω του ηλεκτρονικού ταχυδροµείου. Οι δυνατότητες των υπολογιστών και του διαδικτύου φαντάζουν απεριόριστες. Όσο όµως έχουν διευκολύνει και απλοποιήσει τις περισσότερες πτυχές της ζωής µας, τόσο η µεγάλη εξάρτηση της κοινωνίας µας από αυτούς τους καθιστά συχνά στόχους επιθέσεων και κάνει την καθηµερινότητα µας να φαντάζει ευάλωτη απέναντι σε οποιαδήποτε απειλή εναντίων των υπολογιστών και των δικτύων τους. 5

6 Είναι άλλωστε νωπές οι εντυπώσεις από τον τρόµο και την υστερία που προκάλεσε η φηµολογούµενη έλευση του «πληροφοριακού Αρµαγεδδών» µε την εύγλωττη ονοµασία, «ο ιός της χιλιετίας»... Στις µέρες µας, η έννοια ασφάλεια παίζει κυρίαρχο ρόλο. Τα τραγικά γεγονότα της 11 ης Σεπτεµβρίου του 2001 και οι πρόσφατες εξελίξεις σε πολλά σηµεία του πλανήτη έχουν αναδείξει την ασφάλεια ως τη νούµερο ένα προτεραιότητα κάθε κυβέρνησης και οργανισµού. Έχοντας κατά νου τη µεγάλη εξάρτηση της κοινωνίας µας από τους υπολογιστές καθώς και τις ζωτικές πληροφορίες και αποστολές που τους έχουµε εµπιστευτεί, δεν προξενεί καµία απορία η µεγάλη βαρύτητα και προσοχή που έχει δοθεί στην ασφάλεια των υπολογιστικών συστηµάτων και των δικτύων των υπολογιστών. Τα παραδοσιακά µέτρα προστασίας των υπολογιστών και των πληροφοριακών συστηµάτων, όπως τα συνθηµατικά (passwords) και οι προσωπικοί αριθµοί αναγνώρισης (PINs), δεν έχουν αποδειχθεί επαρκή. Νέοι τρόποι προστασίας αναζητούνται, µε κυρίαρχα επιθυµητά χαρακτηριστικά το µεγαλύτερο δυνατό ποσοστό ασφάλειας και το µικρότερο δυνατό κόστος υλοποίησης. Στο νέο αυτό περιβάλλον αυξηµένων αναγκών σε αποτελεσµατικούς τρόπους προστασίας, πρωταγωνιστικό ρόλο αναµένεται να παίξουν οι βιοµετρικές µέθοδοι αναγνώρισης (biometrics). Ήδη αρκετές τέτοιες µέθοδοι έχουν αναπτυχθεί και εφαρµοσθεί, ενώ παρουσιάζονται διαρκώς και νέες, υποσχόµενες ολοένα και µεγαλύτερη ασφάλεια. Εµείς, στην εργασία αυτή, θα ασχοληθούµε κυρίως µε µια σχετικά νέα µέθοδο βιοµετρικής αναγνώρισης, την αναγνώριση τρόπου πληκτρολόγησης (keystroke dynamics), µία µέθοδος που επιχειρεί να αναγνωρίσει ή να επιβεβαιώσει την ταυτότητα του χρήστη ενός ηλεκτρονικού υπολογιστή µε βάση τον τρόπο που αυτός πληκτρολογεί Σκοπός της εργασίας Σκοπός της εργασίας είναι η µελέτη και κατανόηση της λειτουργίας των βιοµετρικών µεθόδων αναγνώρισης και ειδικότερα της µεθόδου της αναγνώρισης τρόπου πληκτρολόγησης. Απαιτείται η ανάπτυξη αλγορίθµων και η κατασκευή προγραµµάτων ώστε να καλυφθούν ορισµένες πτυχές της συγκεκριµένης µεθόδου και 6

7 να προκύψουν αποτελέσµατα, ποσοστά επιτυχίας, συµπεράσµατα και προτάσεις προκειµένου να εξεταστεί η δυνατότητα εφαρµογής της µεθόδου ιάρθρωση της εργασίας Στο επόµενο κεφάλαιο ασχολούµαστε εκτενέστερα µε τις βιοµετρικές µεθόδους αναγνώρισης. Αναφερόµαστε στις πιο σηµαντικές από αυτές και καταγράφουµε τα πλεονεκτήµατα και τα µειονεκτήµατα της καθεµίας, τις διαφορές µεταξύ τους, καθώς και τη διαδικασία που ακολουθείται κατά την εφαρµογή τους. Το τρίτο κεφάλαιο καταλαµβάνει το κύριο αντικείµενο του ενδιαφέροντος µας, η αναγνώριση τρόπου πληκτρολόγησης. Παρουσιάζουµε τα βασικά στοιχεία και χαρακτηριστικά που αφορούν τη µέθοδο, αναλύουµε τα πλεονεκτήµατα και µειονεκτήµατα της, και αναφερόµαστε στις πιθανές εφαρµογές και στη σχετική έρευνα που έχει γίνει πάνω στο αντικείµενο. Στο τέταρτο κεφάλαιο αναφερόµαστε στη δουλειά µας. Παρουσιάζουµε κάποια στοιχεία που είναι κοινά για όλα τα συστήµατα που κατασκευάσαµε, καθώς και τα πρώτα συµπεράσµατα που προέκυψαν πριν από την υλοποίηση των βασικών προγραµµάτων. Στα κεφάλαια πέντε, έξι και εφτά παρουσιάζονται τα συστήµατα που υλοποιήσαµε κατά τη διάρκεια της εργασίας. Αναφερόµαστε στους αλγόριθµους που χρησιµοποιήσαµε και παρουσιάζουµε τον τρόπο λειτουργίας των προγραµµάτων και τα αποτελέσµατα που προέκυψαν κατά τη δοκιµή τους. Στο τελευταίο κεφάλαιο, το όγδοο, γίνεται η ανασκόπηση της εργασίας και διατυπώνονται τα συµπεράσµατα που προέκυψαν. 7

8 Κεφάλαιο 2 Βιοµετρικές Μέθοδοι Αναγνώρισης 2.1. Γενικά Οι βιοµετρικές µέθοδοι αναγνώρισης προβάλλουν σήµερα ως ένα από τα αποτελεσµατικότερα µέτρα προστασίας στη διαρκώς αυξανόµενη ανάγκη για µεγαλύτερη ασφάλεια. Ήδη σε πολλούς κυβερνητικούς οργανισµούς και σε άλλες τοποθεσίες όπου απαιτείται µέγιστη ασφάλεια (όπως αεροδρόµια) έχουν ενσωµατωθεί συσκευές που εφαρµόζουν βιοµετρικές µεθόδους αναγνώρισης για την προσπέλαση χώρων και υπολογιστικών πόρων. Το 2001 το Technology Review του πανεπιστηµίου ΜΙΤ ονόµασε τις βιοµετρικές µεθόδους ως µία από τις «δέκα αναδυόµενες τεχνολογίες που θα αλλάξουν τον κόσµο», ενώ µόλις πρόσφατα άνοιξε η συζήτηση για τη δηµιουργία ταυτοτήτων που θα περικλείουν τα βιοµετρικά στοιχεία του κατόχου της. Όσο εξωτικές και πολύπλοκες και αν φαντάζουν σήµερα, θεωρείται βέβαιο πως τα επόµενα χρόνια οι βιοµετρικές συσκευές θα αποτελούν κοµµάτι της καθηµερινότητας µας. 8

9 2.2. Ορισµοί Οι βιοµετρικές µέθοδοι αναγνώρισης ορίζονται ως αυτοµατοποιηµένες µέθοδοι αναγνώρισης ή αυθεντικοποίησης της ταυτότητας ενός προσώπου µε βάση φυσιολογικά χαρακτηριστικά ή συνήθεις συµπεριφορές του. Ένας πιο εκτεταµένος ορισµός αναφέρει ότι οι βιοµετρικές µέθοδοι αναγνώρισης είναι κάθε αυτόµατα µετρήσιµο, χρονικά σταθερό και ευδιάκριτο φυσιολογικό χαρακτηριστικό ή προσωπικό στοιχείο, που µπορεί να χρησιµοποιηθεί για την αναγνώριση ή την επιβεβαίωση της ταυτότητας ενός προσώπου. Στη συνέχεια θα προσπαθήσουµε να κάνουµε σαφέστερους τους παραπάνω ορισµούς, αποκαλύπτοντας το νόηµα που κρύβεται πίσω από τις λέξεις. Αναγνώριση και αυθεντικοποίηση Οι έννοιες αναγνώριση και αυθεντικοποίηση διαφέρουν σηµαντικά στον τοµέα της ασφάλειας των υπολογιστικών συστηµάτων. Αναγνώριση ονοµάζεται η διαδικασία αναζήτησης της ταυτότητας ενός χρήστη µέσα στο πλήθος των καταγεγραµµένων χρηστών. Κατά τη διαδικασία της αναγνώρισης το σύστηµα προσπαθεί να εντοπίσει ένα συγκεκριµένο χρήστη συγκρίνοντας τα στοιχεία του µε τα αποθηκευµένα στοιχεία όλων των χρηστών. Λέγεται και ένα προς πολλά αναζήτηση (1:N) και ουσιαστικά επιχειρεί να απαντήσει στο ερώτηµα «Ποιος είναι ο Χ;». Αυθεντικοποίηση ονοµάζεται η διαδικασία επιβεβαίωσης της ταυτότητας ενός χρήστη. Το σύστηµα ουσιαστικά επιχειρεί να απαντήσει στην ερώτηση «Είναι ο Χ;» συγκρίνοντας τα χαρακτηριστικά του συγκεκριµένου χρήστη µόνο µε τα αποθηκευµένα στοιχεία του προσώπου την ταυτότητα του οποίου διεκδικεί. Λέγεται και ένα προς ένα αναζήτηση (1:1) και είναι προφανώς πιο γρήγορη µέθοδος από την αναγνώριση. Τόσο η αναγνώριση όσο και αυθεντικοποίηση επιτυγχάνονται µε κάποια από τις παρακάτω τεχνικές ή µε συνδυασµό τους: Τεχνικές µε βάση κάτι που γνωρίζει ο χρήστης (π.χ. passwords, PINs κλπ.) 9

10 Τεχνικές µε βάση κάτι που κατέχει ο χρήστης (π.χ. smart cards, µαγνητικές κάρτες κλπ.) Τεχνικές που βασίζονται σε χαρακτηριστικά ή συµπεριφορές του χρήστη (βιοµετρικές µέθοδοι) Το κυριότερο πλεονέκτηµα των βιοµετρικών µεθόδων σε σχέση µε τις άλλες τεχνικές, είναι ότι προφανώς δεν µπορούν να αποκαλυφθούν ή να προβλεφθούν (όπως τα passwords), ούτε να κλαπούν ή να χαθούν (όπως οι µαγνητικές κάρτες). Αυτοµατοποιηµένη µέθοδος Οι λέξεις αυτοµατοποιηµένες µέθοδοι και αυτόµατα µετρήσιµο, που χρησιµοποιούνται στους παραπάνω ορισµούς αναφέρονται στο γεγονός ότι το φυσιολογικό χαρακτηριστικό ή το προσωπικό στοιχείο του χρήστη πρέπει να είναι εύκολο να εντοπιστεί, να καταγραφεί από κάποιο αισθητήριο ή κάποια άλλη συσκευή και να µετατραπεί σε ψηφιακή µορφή για να επεξεργαστεί. Η αυτοµατοποίηση που περιγράψαµε επιτρέπει στη διαδικασία να ολοκληρωθεί σε µικρό χρονικό διάστηµα και διαχωρίζει τις βιοµετρικές µεθόδους από την παραδοσιακή µέθοδο της αναγνώρισης µέσω ταυτότητας µε φωτογραφία και δακτυλικό αποτύπωµα. Χρονικά σταθερό χαρακτηριστικό Ο όρος αυτός αποτυπώνει το γεγονός ότι το χαρακτηριστικό που θα χρησιµοποιήσουµε για την αναγνώριση ή την αυθεντικοποίηση ενός προσώπου πρέπει να µην υπόκειται σε σηµαντικές µεταβολές κατά τη διάρκεια του χρόνου. Οι αλλαγές αυτές µπορεί να είναι αποτέλεσµα της ηλικίας, κάποιου ιατρικού προβλήµατος, της επαγγελµατικής ενασχόλησης ή κάποιου άλλου παράγοντα. Ένα χαρακτηριστικό µε υψηλή χρονική σταθερότητα (όπως η ίριδα του µατιού) δεν αλλάζει σηµαντικά µε το χρόνο, σε αντίθεση µε κάποιο χαρακτηριστικό µε µικρότερη σταθερότητα, όπως η φωνή ενός ανθρώπου, που µπορεί εύκολα να αλλάξει ακόµα και 10

11 κατά τη διάρκεια της ίδιας µέρας λόγω κούρασης, ψυχολογικής κατάστασης, κάποιας αρρώστιας ή για οποιοδήποτε άλλο λόγο. Ευδιάκριτο χαρακτηριστικό Με τον όρο αυτό παρουσιάζεται µια βασική ιδιότητα κάθε βιοµετρικής µεθόδου. Το χαρακτηριστικό που έχει επιλεγεί για την αναγνώριση ή αυθεντικοποίηση πρέπει να είναι κάποιο ευδιάκριτο και ξεχωριστό στοιχείο του χρήστη µέσα σε ένα µεγάλο πλήθος ατόµων. Ο όρος αυτός αποτελεί ένα µέτρο της διαφορετικότητας του βιοµετρικού χαρακτηριστικού ανάµεσα στον πληθυσµό. Όσο πιο ευδιάκριτο µέσα στο πλήθος είναι το χαρακτηριστικό που έχει επιλεγεί, τόσο πιο εύκολη είναι η αναγνώριση ή η επιβεβαίωση της ταυτότητας του χρήστη Τα στάδια της βιοµετρικής αναγνώρισης Για τη διαδικασία της αναγνώρισης ή αυθεντικοποίησης µέσω βιοµετρικών χαρακτηριστικών, τρία στάδια είναι απαραίτητο να περιλαµβάνονται. Εγγραφή Ψηφιακή αναπαράσταση Σύγκριση Εγγραφή Το στάδιο της εγγραφής του χρήστη είναι ιδιαίτερα κρίσιµο, καθώς τα δεδοµένα που θα προκύψουν από αυτό θα χρησιµοποιηθούν για την αναγνώριση ή την επιβεβαίωση της ταυτότητας του χρήστη κάθε φορά που θα χρησιµοποιεί τη βιοµετρική συσκευή. Η συσκευή καταγράφει έναν αριθµό δειγµάτων ώστε στη συνέχεια να τα επεξεργαστεί για να προκύψει η βιοµετρική ταυτότητα του χρήστη. 11

12 Το στάδιο αυτό επηρεάζεται από τη διάθεση συνεργασίας που επιδεικνύει ο χρήστης και από το κατά πόσο είναι εξοικειωµένος µε παρόµοιες συσκευές. Οι συνθήκες του περιβάλλοντος χώρου επηρεάζουν επίσης την απόδοση αυτού του σταδίου. Αν για παράδειγµα, σε µία συσκευή αναγνώρισης φωνής, η εγγραφή γίνει σε ένα περιβάλλον µηδενικού θορύβου και στη συνέχεια ο χρήστης επιχειρήσει να αναγνωριστεί µέσω µιας συσκευής που βρίσκεται σε θορυβώδες περιβάλλον, είναι βέβαιο ότι η διαδικασία δε θα αποδώσει σύµφωνα µε το µέγιστο των δυνατοτήτων της. Για τον λόγο αυτό, είναι ιδιαίτερα επιθυµητό η εγγραφή να γίνεται σε περιβάλλον όσο το δυνατόν πιο κοντά σε αυτό της πραγµατικής εφαρµογής. Ένας άλλος παράγοντας που πρέπει να λαµβάνεται υπόψη είναι ότι τα βιοµετρικά δεδοµένα µπορεί να µεταβάλλονται κατά τη διάρκεια του χρόνου. Έτσι, η βάση δεδοµένων των αρχικών εγγραφών πρέπει να ανανεώνεται σε χρονικά διαστήµατα ανάλογα µε τη χρονική σταθερότητα του κάθε βιοµετρικού στοιχείου. Ψηφιακή αναπαράσταση Τα δεδοµένα αφού καταγραφούν, υπόκεινται επεξεργασία και αποθηκεύονται για µελλοντική χρήση τους. Αυτό που άλλωστε µας ενδιαφέρει κατά την καταγραφή ενός βιοµετρικού χαρακτηριστικού, δεν είναι αυτό καθεαυτό το χαρακτηριστικό αλλά κάποια συγκεκριµένα στοιχεία που επιτρέπουν τη διάκριση µεταξύ των χρηστών. Τα δεδοµένα που προκύπτουν πρέπει να είναι κατά το δυνατόν µικρότερα όσον αφορά την υπολογιστική µνήµη και η αποθήκευση τους να γίνεται σε χώρο που είναι άµεσα προσβάσιµος, ώστε να διευκολύνεται η γρήγορη επεξεργασία και σύγκριση τους. Σύγκριση Η σύγκριση λαµβάνει χώρα κατά τη στιγµή που ο χρήστης επιχειρεί να αναγνωριστεί ή να επιβεβαιώσει την ταυτότητα του. Εκείνη τη στιγµή λαµβάνεται το κατάλληλο βιοµετρικό χαρακτηριστικό του, το οποίο συγκρίνεται είτε µε όλα τα αποθηκευµένα δείγµατα, εφόσον µιλάµε για αναγνώριση, είτε µόνο µε το δείγµα της ταυτότητας που διεκδικεί, εφόσον αναφερόµαστε σε διαδικασία αυθεντικοποίησης. Η διαδικασία της σύγκρισης των δεδοµένων είναι το τελευταίο στάδιο της βιοµετρικής 12

13 αναγνώρισης, εκεί όπου παίρνεται η απόφαση αν ο χρήστης έχει τα κατάλληλα δικαιώµατα για την προσπέλαση ενός χώρου, των υπολογιστικών πόρων ή για όποια άλλη εφαρµογή χρησιµοποιείται η βιοµετρική συσκευή είκτες απόδοσης µεθόδων είναι: Οι πιο συχνά χρησιµοποιούµενοι δείκτες της απόδοσης των βιοµετρικών Το ποσοστό των λανθασµένων απορρίψεων, FRR (False Rejection Rate), δηλαδή το ποσοστό των εξουσιοδοτηµένων χρηστών στους οποίους δε παραχωρήθηκε πρόσβαση Το ποσοστό των λανθασµένων αποδοχών, FAR (False Acceptance Rate), δηλαδή το ποσοστό των µη εξουσιοδοτηµένων χρηστών στους οποίους παραχωρήθηκε πρόσβαση. Οι δύο αυτοί δείκτες είναι αµοιβαίως αποκλειόµενοι, δηλαδή όταν αυξάνει ο ένας µειώνεται ο άλλος. Όπως είναι φυσικό, όταν το σύστηµα γίνει πολύ αυστηρό ώστε να εξαλειφθεί το ποσοστό των λανθασµένων αποδοχών, θα δυσκολεύονται και οι πραγµατικοί χρήστες να αποκτήσουν πρόσβαση σε αυτό µε αποτέλεσµα να αυξάνει το ποσοστό των λανθασµένων απορρίψεων. Ακριβώς το αντίθετο συµβαίνει όταν το σύστηµα γίνει αρκετά χαλαρό ώστε να αποκτούν εύκολα πρόσβαση όλοι οι νόµιµοι χρήστες. Έγκειται στην κάθε εφαρµογή ξεχωριστά, αφού ελαχιστοποιήσει τους δύο αυτούς δείκτες, να θέσει τον επιθυµητό χαρακτήρα της εφαρµογής. Αν δηλαδή µεγαλύτερη έµφαση θα δοθεί στην αποτροπή των εισβολέων ή στην φιλικότητα του συστήµατος προς τους νόµιµους χρήστες του Μέθοδοι που χρησιµοποιούνται τα παρακάτω: Τα κυριότερα είδη βιοµετρικών µεθόδων που χρησιµοποιούνται σήµερα είναι 13

14 Σάρωση της ίριδας του µατιού Σάρωση του αµφιβληστροειδή Αναγνώριση προσώπου Αναγνώριση φωνής ακτυλικά αποτυπώµατα Γεωµετρία χεριού Εξακρίβωση υπογραφής Αναγνώριση τρόπου πληκτρολόγησης ιαφορές µεταξύ των µεθόδων Οι µέθοδοι διαχωρίζονται µε βάση το αν ο χρήστης πρέπει να προβεί σε κάποια πράξη κατά τη διάρκεια της αναγνώρισης του ή όχι, και µε το αν το υπό µέτρηση βιοµετρικό στοιχείο είναι φυσιολογικό του χαρακτηριστικό ή στοιχείο της συµπεριφοράς του. Στατικές υναµικές µέθοδοι Ο πρώτος διαχωρισµός των βιοµετρικών µεθόδων έχει να κάνει µε την παρουσία του χρήστη κατά τη διάρκεια της µέτρησης. Στις στατικές µεθόδους ο χρήστης δεν έχει να κάνει τίποτα άλλο από το να τοποθετήσει το υπό µέτρηση χαρακτηριστικό του σε ένα αισθητήριο ή σε κάποια άλλη συσκευή που θα επιτελέσει τη µέτρηση. Τέτοιες µέθοδοι είναι η σάρωση της ίριδας του µατιού και του αµφιβληστροειδή, η αναγνώριση προσώπου, τα δακτυλικά αποτυπώµατα και η γεωµετρία χεριού. Αντίθετα στις δυναµικές µεθόδους ο χρήστης πρέπει να εκτελέσει κάποια ενέργεια για να είναι δυνατή η αναγνώριση του. Έτσι κατά την αναγνώριση φωνής ο χρήστης θα πρέπει να προφέρει κάποιες λέξεις ή φράσεις, κατά την εξακρίβωση υπογραφής να βάλει την υπογραφή του (προφανώς δεν αναφερόµαστε σε υπογραφή µε µελάνι αλλά σε υπογραφή µε ηλεκτρονικά µέσα) και κατά την αναγνώριση τρόπου πληκτρολόγησης να πληκτρολογήσει ορισµένες λέξεις ή κάποιο κείµενο. 14

15 Φυσιολογικές Ψυχολογικές µέθοδοι Ένα ακόµα στοιχείο διάκρισης των βιοµετρικών µεθόδων, που περιλαµβάνει πολλά από αυτά που έχουµε ήδη αναφέρει, προκύπτει από το αν το υπό µέτρηση βιοµετρικό χαρακτηριστικό είναι στοιχείο της φυσιολογίας του χρήστη ή στοιχείο της συµπεριφοράς του, ή αλλιώς στοιχείο της ψυχολογίας του. Ένα φυσιολογικό χαρακτηριστικό είναι κατά κανόνα ιδιαίτερα σταθερό. Αν εξαιρέσουµε την επίδραση ηλικίας και κάποιου τραυµατισµού, τα στοιχεία αυτά παρουσιάζουν µεγάλη χρονική σταθερότητα και δεν εξαρτώνται από κανένα ψυχολογικό ή περιβαλλοντικό παράγοντα. Τέτοια χαρακτηριστικά είναι η ίριδα και ο αµφιβληστροειδής χιτώνας (κατά κανόνα, αλλά όχι πάντα όπως θα δούµε κατά την ανάλυση της µεθόδου), τα δακτυλικά αποτυπώµατα και η γεωµετρία του προσώπου και του χεριού. Τα ψυχολογικά χαρακτηριστικά αντανακλούν περισσότερο την ψυχολογική κατάσταση του ατόµου παρά τη φυσιολογία του, αν και παράγοντες όπως το φύλο και η σωµατική διάπλαση έχουν έναν σηµαίνοντα ρόλο στη διαµόρφωση αυτών των χαρακτηριστικών. Άλλοι παράγοντες όπως η κούραση, το άγχος, η ψυχολογική διάθεση του ατόµου και το περιβάλλον όπου γίνεται η µέτρηση, παίζουν έναν ιδιαίτερα σηµαντικό ρόλο κατά τη καταγραφή ενός ψυχολογικού βιοµετρικού στοιχείου. Ψυχολογικά χαρακτηριστικά είναι αυτά που αναφέραµε πριν ως δυναµικά, δηλαδή η φωνή, η υπογραφή και ο τρόπος πληκτρολόγησης, καθώς για να αποκαλυφθεί η συµπεριφορά κάποιου ατόµου πρέπει προφανώς να προβεί σε κάποια ενέργεια. Λόγω των διαφορών µεταξύ φυσιολογικών και ψυχολογικών µεθόδων, είναι προφανές ότι η υλοποίηση βιοµετρικών συστηµάτων που βασίζονται σε ψυχολογικά χαρακτηριστικά συµπεριφορές του χρήστη, είναι µάλλον πιο περίπλοκη και απαιτητική διαδικασία. Είναι, για παράδειγµα, ευκολότερη η κατασκευή ενός συστήµατος που καθοδηγεί το χρήστη να τοποθετεί κάθε φορά το χέρι του στο ίδιο σηµείο, από ότι η κατασκευή αλγορίθµων που θα λαµβάνουν υπόψη τη συναισθηµατική κατάσταση του χρήστη ή το γεγονός ότι µπορεί να έχει συνάχι! Τα σηµαντικότερα µειονεκτήµατα των συστηµάτων που βασίζονται σε φυσιολογικά χαρακτηριστικά είναι ότι συνήθως είναι ιδιαίτερα µεγάλα σε µέγεθος, κοστίζουν ακριβά και πολλές φορές φαντάζουν απειλητικά και ενοχλητικά στους χρήστες. Όπως όµως έχουµε ήδη τονίσει, παρουσιάζουν πολύ µεγαλύτερη χρονική σταθερότητα και 15

16 είναι κατά κανόνα πιο ευδιάκριτα από ότι τα χαρακτηριστικά που βασίζονται σε συνήθεις συµπεριφορές του χρήστη Παρουσίαση των µεθόδων Σάρωση της ίριδας του µατιού Κατά τη σάρωση της ίριδας του µατιού αποτυπώνεται η µορφή και η δοµή της ίριδας στο χρωµατιστό µέρος των µατιών. Στην πραγµατικότητα το χρώµα είναι εντελώς ανεξάρτητο από το βιοµετρικό στοιχείο που καταγράφει η συσκευή. Η µορφή της ίριδας σχηµατίζεται τυχαία σε κάθε άνθρωπο. Ως εκ τούτου η µορφή της είναι διαφορετική στο αριστερό και στο δεξί µάτι του καθένα από µας και διαφορετική ακόµα και ανάµεσα σε µονοζυγωτικά δίδυµα αδέρφια. Όπως είναι φανερό, η ίριδα του µατιού αποτελεί ένα ιδιαίτερα ευδιάκριτο και χρονικά αµετάβλητο βιοµετρικό χαρακτηριστικό, το οποίο µπορεί να καταγραφεί και να υποστεί επεξεργασία σε πολύ µικρό χρονικό διάστηµα. Το σηµαντικότερο µειονέκτηµα της µεθόδου είναι ότι πολλοί χρήστες δεν αισθάνονται άνετα απέναντι σε µία συσκευή που σηµαδεύει το µάτι τους. Σάρωση του αµφιβληστροειδή Αυτό το σύστηµα αναγνώρισης χρησιµοποιεί τη µορφολογία των αγγείων του αίµατος στον αµφιβληστροειδή χιτώνα του µατιού. Η µορφολογία αυτή αποτελεί ένα τέλειο χαρακτηριστικό για την ταυτότητα του κάθε ατόµου. Η συσκευή περιλαµβάνει µία φωτεινή πηγή που εστιάζει στο µάτι του χρήστη, ο οποίος πρέπει να στέκεται ακίνητος σε απόσταση εκατοστών από τη συσκευή. Μία τέτοια συσκευή φαντάζει ιδιαίτερα απειλητική και ενοχλητική για τους περισσότερους χρήστες, µε αποτέλεσµα να µην χρήζει ιδιαίτερης αποδοχής. Εκτός αυτού, η µορφολογία των αγγείων του αµφιβληστροειδή χιτώνα τείνει να µεταβάλλεται ως αποτέλεσµα ορισµένων κλινικών καταστάσεων όπως είναι η υψηλή πίεση, η εγκυµοσύνη και η ασθένεια του AIDS, µε αποτέλεσµα να αποκαλύπτει τελικά πολλά περισσότερα από ότι απλώς τη βιοµετρική 16

17 ταυτότητα του χρήστη, κάτι που είναι µη αποδεκτό και µακριά από τον σκοπό των βιοµετρικών µεθόδων αναγνώρισης. Για τους παραπάνω λόγους, η µέθοδος δεν φαντάζει πιθανό να εφαρµοστεί ευρέως άµεσα, όχι τουλάχιστον χωρίς να υποστεί συγκεκριµένες αλλαγές. Αναγνώριση προσώπου Κατά τη διαδικασία της αναγνώρισης προσώπου καταγράφεται η γεωµετρία ορισµένων χαρακτηριστικών του προσώπου. Επειδή η καταγραφή µπορεί να γίνει από κάποια απόσταση, η αναγνώριση προσώπου µπορεί να γίνει χωρίς τη γνώση και τη συγκατάθεση του προσώπου που καταγράφεται. Αν αυτό θεωρείται πλεονέκτηµα ή µειονέκτηµα έχει να κάνει περισσότερο µε την εφαρµογή, παρόλα αυτά, σαν γενική αρχή, πρέπει να απαιτείται η σύµφωνη γνώµη του προσώπου του οποίου το βιοµετρικό στοιχείο καταγράφεται. Η επιτυχία της µεθόδου εξαρτάται εν πολλοίς από περιβαλλοντικούς παράγοντες όπως ο φωτισµός του χώρου όπου γίνεται η µέτρηση, η γωνία λήψης κ.α.. Παρόλα αυτά, θεωρείται πολλά υποσχόµενη µέθοδος, εύκολα εφαρµόσιµη τουλάχιστον όσον αφορά τον τοµέα της καταγραφής. Αναγνώριση φωνής Στα συστήµατα αναγνώρισης φωνής χρησιµοποιούνται τα λεγόµενα αποτυπώµατα φωνής για την παραγωγή ανεπηρέαστων και αξιόπιστων αποτελεσµάτων. Για την υλοποίηση του συστήµατος το µόνο που απαιτείται είναι ένα µικρόφωνο, γεγονός που κάνει τη µέθοδο ιδιαίτερα φθηνή και εύκολη στη χρήση. Στη συνέχεια το σύστηµα χρησιµοποιεί τεχνικές ανάλυσης Fourier για να µετρήσει τα χαρακτηριστικά του φάσµατος συχνοτήτων του φωνητικού δείγµατος. Όπως έχουµε ήδη τονίσει η αναγνώριση φωνής ανήκει στις ψυχολογικές µεθόδους µε αποτέλεσµα να εξαρτάται από τη διάθεση και τη φυσική κατάσταση του χρήστη (π.χ. κρυωµένος, κουρασµένος, κλπ). Επίσης εξαρτάται από περιβαλλοντικούς παράγοντες όπως ο θόρυβος. Τέλος ένα ακόµα µειονέκτηµα της µεθόδου είναι ότι η αντιγραφή της φωνής του χρήστη, για παράδειγµα µε χρήση µαγνητοφώνου, είναι ιδιαίτερα απλή υπόθεση. Μια λύση σε αυτόν τον κίνδυνο είναι 17

18 να απαιτείται από το χρήστη να πει ένα τυχαίο αριθµό λέξεων και φράσεων από ένα ειδικά φτιαγµένο λεξιλόγιο, κάτι που όµως θα έκανε τη διαδικασία εγγραφής και εκπαίδευσης του συστήµατος ιδιαίτερα επίπονη. Η διαδικασία αναγνώρισης φωνής βρίσκει εφαρµογές σε τηλεπικοινωνιακές υπηρεσίες και σε εφαρµογές τεχνητής νοηµοσύνης. ακτυλικά αποτυπώµατα Είναι γνωστό ότι τα σχέδια των γραµµώσεων του δέρµατος των δακτύλων του χεριού µπορούν να χρησιµοποιηθούν για τον µονοσήµαντο προσδιορισµό των ανθρώπων. Η διαδικασία αναγνώρισης του δακτυλικού αποτυπώµατος ως βιοµετρικό στοιχείο είναι µία αυτοµατοποιηµένη, ψηφιακή εκδοχή της παραδοσιακής µεθόδου καταγραφής του δακτυλικού αποτυπώµατος µε µελάνι, που χρησιµοποιείται από τον προπερασµένο αιώνα. Η καταγραφή του σχεδίου του δακτυλικού αποτυπώµατος γίνεται από ειδικό αισθητήριο και δε θεωρείται ιδιαίτερα κουραστική ή ενοχλητική διαδικασία για τον χρήστη. Η ψηφιακή καταγραφή των δακτυλικών αποτυπωµάτων αναµένεται να αντικαταστήσει την παραδοσιακή, όπου αυτή χρησιµοποιείται. Γεωµετρία χεριού Η βιοµετρική αναγνώριση που προκύπτει από την εξέταση της γεωµετρίας του χεριού είναι η µακροβιότερη µέθοδος βιοµετρικής αναγνώρισης. Κατά τη διαδικασία αυτή εξετάζονται χαρακτηριστικά στοιχεία των δαχτύλων και της παλάµης καθώς και η σχετική αναλογία µεταξύ των δαχτύλων. Η τεχνολογία της αναγνώρισης µέσω της γεωµετρίας χεριού είναι ιδιαίτερα διαδεδοµένη και εύκολα αποδεκτή από τους περισσότερους χρήστες. Παρόλα αυτά η γεωµετρία χεριού δε θεωρείται ως ένα ιδιαίτερα ευδιάκριτο χαρακτηριστικό µεταξύ του γενικού πληθυσµού. 18

19 Εξακρίβωση υπογραφής Εδώ και πάρα πολλά χρόνια χρησιµοποιούµε την υπογραφή ως µέσο επιβεβαίωσης της ταυτότητας µας. Είναι ιδιαίτερα σηµαντικό το γεγονός ότι η διαδικασία παραγωγής µιας υπογραφής χαρακτηρίζεται ως εκπαιδευµένο αντανακλαστικό παρά ως αντικείµενο ενσυνείδητου ελέγχου των µυών. Για τον λόγο αυτό, η αποµίµηση της διαδικασίας υπογραφής είναι ιδιαίτερα δύσκολη, ειδικά µε κανονική ταχύτητα γραφής. Παρόλα αυτά, η υπογραφή υπόκειται σε ψυχολογικούς και περιβαλλοντικούς παράγοντες, όπως κούραση, άγχος κλπ. Έφτασε λοιπόν η εποχή όπου και η υπογραφή αποκτά την ψηφιακή της εκδοχή. Κατά την εξακρίβωση της υπογραφής ως βιοµετρικό χαρακτηριστικό, δεν αποτελεί αντικείµενο µελέτης µόνο η µορφή της υπογραφής, αλλά πολλοί περισσότεροι παράγοντες. Κατά τη διαδικασία της υπογραφής µε ηλεκτρονικό χαρτί και στυλό µετρώνται χαρακτηριστικά όπως η ταχύτητα, η διεύθυνση, η πίεση που ασκείται στο χαρτί, ο χρόνος κατά τον οποίο το στυλό βρίσκεται σε επαφή ή όχι µε το χαρτί, η συνολική χρονική διάρκεια της υπογραφής και τα σηµεία όπου το στυλό χάνει και ξαναβρίσκει την επαφή µε το χαρτί. Αναγνώριση τρόπου πληκτρολόγησης Η αναγνώριση ή αυθεντικοποίηση χρηστών µε βάση τον τρόπο πληκτρολόγησης είναι ίσως η πιο ανυπόµονα αναµενόµενη βιοµετρική µέθοδος στον τοµέα της ασφάλειας των ηλεκτρονικών υπολογιστών. Όπως µαρτυρά και το όνοµα της, η µέθοδος αναλύει τον τρόπο µε τον οποίο ένας χρήστης γράφει στο πληκτρολόγιο του. Τα µεγέθη που µπορούν να χρησιµοποιηθούν για την εξακρίβωση της ταυτότητας του χρήστη είναι ο χρόνος που κρατάει πατηµένο το κάθε πλήκτρο, η χρονική καθυστέρηση µεταξύ δύο διαδοχικών πιέσεων πλήκτρων, ο χρόνος που απαιτείται για την πληκτρολόγηση συγκεκριµένων λέξεων και - µε την κατασκευή ειδικών πληκτρολογίων - η πίεση που ασκείται σε κάθε πλήκτρο. Τα πλεονεκτήµατα της συγκεκριµένης µεθόδου είναι προφανή. εν απαιτείται τίποτα παραπάνω από ένας υπολογιστής στον οποίο ούτως ή άλλως θα έγραφε ο χρήστης, γεγονός που κάνει τη µέθοδο να έχει µηδενικό κόστος, δεν εµπεριέχει την παραµικρή ενόχληση για τον χρήστη, ενώ µπορεί να είναι και εντελώς διάφανη 19

20 µέθοδος, δηλαδή ο επίδοξος εισβολέας ή πλαστογράφος να µην γνωρίζει ότι καταγράφεται ο τρόπος πληκτρολόγησης του και ότι αυτός είναι ο λόγος για τον δεν του παρέχεται πρόσβαση στον υπολογιστή. Τέλος, χρησιµοποιούµενη σε συστήµατα µε συνθηµατικά (passwords), τα απαλλάσσει από τον υπαρκτό και ευρέως χρησιµοποιούµενο κίνδυνο να γίνει µία επίθεση µέσω ενός λεξικού συνθηµατικών, καθώς εκτός από το να βρεθεί το σωστό συνθηµατικό απαιτείται να πληκτρολογηθεί η λέξη µε τρόπο αντίστοιχο µε αυτόν του νόµιµου χρήστη. Το µειονέκτηµα της µεθόδου είναι ότι αποτελεί κατά βάση ψυχολογικό βιοµετρικό στοιχείο, αν και κάποιοι φυσιολογικοί παράγοντες, όπως το µήκος των δαχτύλων, έχουν σηµαντικό ρόλο στον τρόπο που ο καθένας µας πληκτρολογεί. Η µέθοδος είναι σχετικά νέα και δεν έχουν βρεθεί ακόµα αλγόριθµοι που θα αυξάνουν κατά πολύ τη χρονική σταθερότητα και την ιδιαιτερότητα ανάµεσα στον πληθυσµό. Για όλα αυτά όµως θα µιλήσουµε στα επόµενο κεφάλαιο, καθώς η συγκεκριµένη µέθοδος είναι το κύριο αντικείµενο του ενδιαφέροντος µας. 20

21 Κεφάλαιο 3 Αναγνώριση Τρόπου Πληκτρολόγησης 3.1. Εισαγωγή Στις µέρες µας, όπου οι υπολογιστές επιτελούν έναν ιδιαίτερα σηµαντικό, έναν πρωτεύοντα ρόλο στη ζωή µας, η πιστοποίηση ότι κάθε χρήστης είναι αυτός που ισχυρίζεται ότι είναι αποκτά ζωτική σηµασία. Η πρόσβαση των υπολογιστικών πόρων και υπηρεσιών µόνο στους εξουσιοδοτηµένους χρήστες είναι το ζητούµενο. Είναι βέβαιο ότι κανείς µας δεν θα ήθελε κάποιος τρίτος να έχει πρόσβαση στα τραπεζικά ή ιατρικά του δεδοµένα, να διαβάζει την ηλεκτρονική του αλληλογραφία ή να µπορεί να δει τα αρχεία του προσωπικού του υπολογιστή. Σήµερα, η πλαστοπροσωπία και οι ηλεκτρονικές απάτες µέσα στις αχανείς λεωφόρους του διαδικτύου είναι κάτι το συνηθισµένο. Τα παραδοσιακά µέσα επιβεβαίωσης της ταυτότητας των χρηστών, όπως τα συνθηµατικά, δεν έχουν αποδειχθεί επαρκή. Οι χρήστες συνηθίζουν να διαλέγουν κακά συνθηµατικά, ευάλωτα σε επιθέσεις µέσω ενός λεξικού συνθηµατικών. Η µέθοδος αυτή χρησιµοποιεί ένα µεγάλο εύρος λέξεων που συνηθίζεται να χρησιµοποιούνται ως συνθηµατικά για να παρακάµψει την ασφάλεια ενός τέτοιου συστήµατος και παρουσιάζει αξιοσηµείωτη επιτυχία. Άλλοι χρήστες, επιλέγουν στοιχεία όπως το όνοµα τους ή την ηµεροµηνία γέννησης τους, ενώ πολλοί από αυτούς που επιλέγουν 21

22 πολύπλοκα, δύσκολα να προβλεφθούν συνθηµατικά, τα ξεχνούν ή τα κολλούν σε ένα σηµείωµα κάτω από το πληκτρολόγιο τους ή πάνω στην οθόνη τους... Τα παραπάνω προβλήµατα αποτελούν τροχοπέδη για την περαιτέρω ανάπτυξη του διαδικτύου και του ηλεκτρονικού εµπορίου. Η πάταξη των φαινοµένων αυτών θα δώσει ακόµα µεγαλύτερη ώθηση στην κοινωνία της πληροφορίας και θα επιτρέψει την υλοποίηση του νέου µεγάλου στοιχήµατος που µας παρουσιάζεται σήµερα. Στην ανάπτυξη και εξάπλωση της ηλεκτρονικής και εξ αποστάσεως µάθησης, έτσι ώστε η γνώση να διαχέεται γρήγορα και ελεύθερα σε όλους, χωρίς τους περιορισµούς της απόστασης και των υλικοτεχνικών υποδοµών. Απάντηση σε αυτούς τους προβληµατισµούς επιχειρεί να δώσει µια σχετικά νέα και υπό ανάπτυξη βιοµετρική µέθοδος αναγνώρισης, η αναγνώριση µέσω τρόπου πληκτρολόγησης. Η µέθοδος βασίζεται στη διαπίστωση ότι αντίστοιχα νευροψυχολογικά χαρακτηριστικά που καθιστούν την υπογραφή µας µοναδική, εµφανίζονται και στον τρόπο µε τον οποίο πληκτρολογούµε Λίγα λόγια για τη µέθοδο Η αρχική ιδέα από την οποία προήλθε η µέθοδος, µας γυρίζει πολύ πίσω, στα τέλη του δέκατου ένατου αιώνα. Τότε οι χειριστές του τηλέγραφου αναγνώριζαν ο ένας τον άλλον από αυτό που ονόµαζαν «η γροθιά του αποστολέα», δηλαδή τον ρυθµό και την ταχύτητα µε την οποία έφθαναν τα σήµατα από την άλλη άκρη της γραµµής. Κατά τη διάρκεια του δεύτερου Παγκόσµιου Πολέµου κάτι αντίστοιχο διαπιστώθηκε και για τους αποστολείς των σηµάτων µορς. Στις αρχές της δεκαετίας του 1980 το Εθνικό Ίδρυµα Επιστηµών των Η.Π.Α. (National Science Foundation) διεξήγαγε έρευνες µε τις οποίες διαπιστώθηκε ότι ο τρόπος πληκτρολόγησης του κάθε ανθρώπου περιέχει µοναδικά χαρακτηριστικά. Όπως είναι φανερό και από το όνοµα της, η µέθοδος της αναγνώρισης τρόπου πληκτρολόγησης αναλύει και επεξεργάζεται τον τρόπο µε τον οποίο κάποιος γράφει στο πληκτρολόγιου του. Η ανάλυση µπορεί να γίνει µε βάση κάποιο από τα παρακάτω χαρακτηριστικά: 22

23 Χρονική ιάρκεια: ιάρκεια πίεσης του κάθε πλήκτρου (ή «χρόνος διαµονής») Χρονική Καθυστέρηση: ιάρκεια µεταξύ διαδοχικών πληκτρολογήσεων (ή «χρόνος πτήσης») Πίεση που ασκείται σε κάθε πληκτρολόγηση (απαιτείται ειδικό πληκτρολόγιο) Χρόνος πληκτρολόγησης συγκεκριµένων λέξεων 3.3. Χαρακτηριστικά της µεθόδου Η µέθοδος µπορεί να χρησιµοποιηθεί τόσο για αναγνώριση όσο και για αυθεντικοποίηση χρηστών, αν και οι έρευνες έχουν επικεντρωθεί στον τοµέα της αυθεντικοποίησης. Άλλωστε η αυθεντικοποίηση είναι πιο γρήγορη και πιο εύκολα υλοποιήσιµη µέθοδος, ενώ το ζητούµενο κατά την αίτηση πρόσβασης ενός χρήστη σε ένα υπολογιστικό σύστηµα ή σε κάποια ηλεκτρονική υπηρεσία δεν είναι να αναγνωριστεί ποιος είναι, αλλά να επιβεβαιωθεί η ταυτότητα του. Η αναγνώριση του τρόπου πληκτρολόγησης σε συνδυασµό µε τη διαδικασία των συνθηµατικών µπορεί να αυξήσει κατά πολύ την ασφάλεια ενός συστήµατος, καθώς πλέον δεν θα αρκεί µόνο η αποκάλυψη του συνθηµατικού αλλά θα πρέπει να ταιριάζει και ο τρόπος πληκτρολόγησης του επίδοξου εισβολέα µε αυτόν του νόµιµου χρήστη. Η µέθοδος της αναγνώρισης τρόπου πληκτρολόγησης ανήκει στις δυναµικές µεθόδους καθώς απαιτείται από τον χρήστη να πληκτρολογήσει κάποιες λέξεις ή ένα κείµενο προκειµένου να καταγραφούν τα βιοµετρικά του χαρακτηριστικά. Επίσης η µέθοδος ανήκει στις µεθόδους που βασίζονται στη συµπεριφορά του χρήστη και όχι στη φυσιολογία του. Παρόλα αυτά φυσιολογικοί παράγοντες, όπως το µήκος των δακτύλων και των χεριών, παίζουν σηµαντικό ρόλο στον τρόπο µε τον οποίο κάποιος πληκτρολογεί. Άλλοι παράγοντες που επηρεάζουν τον τρόπο πληκτρολόγησης είναι η ευχέρεια του χρήστη στη γλώσσα στην οποία πληκτρολογεί και η οικειότητα του µε το συγκεκριµένο πληκτρολόγιο που έχει στη διάθεση του. Είναι χαρακτηριστικό το παράδειγµα της µεταβολής του τρόπου πληκτρολόγησης ενός χρήστη όταν γράφει στον προσωπικό του υπολογιστή σε σχέση µε όταν γράφει σε έναν φορητό υπολογιστή, όπου το πληκτρολόγιο είναι αρκετά διαφορετικό. 23

24 Η χρονική σταθερότητα του βιοµετρικού χαρακτηριστικού που προκύπτει από τον τρόπο πληκτρολόγησης είναι κάτι που προβληµατίζει, καθώς ένας χρήστης όσο πιο οικείος γίνεται µε τους ηλεκτρονικούς υπολογιστές και το πληκτρολόγιο, τόσο πιο γρήγορα πληκτρολογεί. Για τον λόγο αυτό, είναι επιθυµητή η ανανέωση της βάσης δεδοµένων όπου είναι αποθηκευµένα τα χαρακτηριστικά του χρήστη µετά από κάθε επιτυχηµένη του προσπάθεια να εισέλθει στο σύστηµα. Το κατά ποιο ποσοστό τα χαρακτηριστικά που προκύπτουν από τον τρόπο πληκτρολόγησης είναι ευδιάκριτα ανάµεσα στον γενικό πληθυσµό, είναι το αντικείµενο µελέτης των περισσότερων ερευνών. Από αυτά που έχουν προκύψει ως σήµερα, είναι βέβαιο ότι ο τρόπος πληκτρολόγησης µπορεί να χρησιµοποιηθεί για την αύξηση της ασφαλείας των υπολογιστικών συστηµάτων. Έχουµε ήδη αναφερθεί στα στάδια που είναι απαραίτητα για τη λειτουργία των βιοµετρικών µεθόδων. Κατά την αναγνώριση τρόπου πληκτρολόγησης, στο στάδιο της εγγραφής ζητείται από τον χρήστη να πληκτρολογήσει έναν αριθµό φορών κάποιο κείµενο ή το όνοµα χρήστη και κάποιο συνθηµατικό, ανάλογα από την εφαρµογή, ώστε να εξαχθούν τα κατάλληλα στοιχεία. Για την ψηφιακή αναπαράσταση των δεδοµένων, επιλέγονται τα κατάλληλα δεδοµένα που θα χρησιµοποιηθούν για την επιβεβαίωση της ταυτότητας του χρήστη, τα οποία και επεξεργάζονται προκύπτοντας για παράδειγµα κάποιες µέσες τιµές και διακυµάνσεις και στη συνέχεια αποθηκεύονται. Κατά το στάδιο της σύγκρισης, τα χαρακτηριστικά που λαµβάνονται εκείνη τη στιγµή συγκρίνονται µε τα αποθηκευµένα χαρακτηριστικά Πλεονεκτήµατα και µειονεκτήµατα της µεθόδου: Στο σηµείο αυτό θα συνοψίσουµε τα πλεονεκτήµατα και τα µειονεκτήµατα Πλεονεκτήµατα Μηδενικό κόστος υλοποίησης της µεθόδου. Η µέθοδος αποτελείται µόνο από λογισµικό και σε αντίθεση µε τις περισσότερες βιοµετρικές µεθόδους 24

25 αναγνώρισης που απαιτούν πολυέξοδες ειδικές συσκευές, για την αναγνώριση τρόπου πληκτρολόγησης είναι αρκετός ο προσωπικός υπολογιστής του χρήστη. Καµία ενόχληση του χρήστη. Το µειονέκτηµα πολλών βιοµετρικών µεθόδων είναι ότι είναι ενοχλητικές και πολλές φορές φαντάζουν απειλητικές για τον χρήστη. Η µέθοδος της αναγνώρισης τρόπου πληκτρολόγησης δε ζητάει από τον χρήστη να κάνει τίποτα παραπάνω από αυτό που θα έκανε, να γράψει στον υπολογιστή του. Ακόµα και η διαδικασία της εγγραφής, αφού ο χρήστης ορίσει τα προσωπικά του στοιχεία για να δηµιουργηθεί ο λογαριασµός του, µπορεί να γίνει καθώς ο χρήστης πληκτρολογεί κάτι για τη δουλειά του. Μη αντιληπτή µέθοδος. Η µέθοδος µπορεί να είναι εντελώς διάφανη, να µην αποκαλύπτεται δηλαδή ότι ο χρήστης έχει ενεργοποιήσει την αναγνώριση τρόπου πληκτρολόγησης. Αυτό έχει σαν αποτέλεσµα κάποιος επίδοξος εισβολέας να µη γνωρίζει ποιος ακριβώς είναι ο λόγος για τον οποίο δε γίνεται δεκτός στο σύστηµα. Εξάλειψη του κινδύνου επιθέσεως µε λεξικό συνθηµατικών. Όπως έχουµε ήδη πει, ένας ιδιαίτερα µεγάλος κίνδυνος για τα συστήµατα που βασίζονται στα συνθηµατικά είναι η επίθεση του συστήµατος µε ένα λεξικό συνηθισµένων συνθηµατικών. Η µέθοδος αυτή καταγράφει σηµαντική επιτυχία καθώς οι περισσότεροι χρήστες τείνουν να επιλέγουν προβλέψιµα συνθηµατικά. Η αναγνώριση τρόπου πληκτρολόγησης κάνει µία τέτοια επίθεση να φαντάζει ακίνδυνη καθότι πλέον δεν αρκετή η γνώση του συνθηµατικού. Με την εφαρµογή της µεθόδου, απαιτείται το συνθηµατικό να πληκτρολογηθεί σε πραγµατικό χρόνο (και όχι να είναι αυτόµατα δηµιουργούµενες λέξεις ενός προγράµµατος) και µάλιστα πρέπει να συµπίπτουν οι χρόνοι του επίδοξου εισβολέα µε αυτούς του πραγµατικού χρήστη. Μειονεκτήµατα Ψυχολογικό χαρακτηριστικό. Η αναγνώριση τρόπου πληκτρολόγησης έχει έµφυτα όλα τα µειονεκτήµατα των ψυχολογικών χαρακτηριστικών. Έτσι επηρεάζεται από παράγοντες όπως το άγχος και η κούραση καθώς και από τις συνθήκες του περιβάλλοντος όπου γίνεται η αναγνώριση. Επιπλέον µπορεί να 25

26 επηρεαστεί και από άλλους παράγοντες όπως το πληκτρολόγιο στο οποίο καλείται να γράψει ο χρήστης. Χρονική αστάθεια. Όπως όλοι γνωρίζουµε, όσο πιο εξοικειωµένος είναι κάποιος µε την πληκτρολόγηση σε υπολογιστή τόσο πιο γρήγορα γράφει. Έτσι η εξάσκηση κάποιου χρήστη θα έχει σαν αποτέλεσµα, µετά από κάποιο χρονικό διάστηµα, τα δείγµατα του να απέχουν από αυτά της εγγραφής του. Το πρόβληµα αυτό αντιµετωπίζεται ενσωµατώνοντας τα νέα στοιχεία του χρήστη στο προφίλ του, κάθε φορά που επιβεβαιώνεται επιτυχώς η ταυτότητα του. Ιδιαιτερότητα ανάµεσα στον πληθυσµό. Αυτό που µένει να αποδειχθεί είναι κατά πόσο τα στοιχεία που προκύπτουν από την αναγνώριση τρόπου πληκτρολόγησης είναι αρκετά ευδιάκριτα ώστε να χαρακτηρίζουν µοναδικά τον χρήστη ανάµεσα σε ένα µεγάλο πλήθος χρηστών. Αυτό που θέλουµε µε έµφαση να τονίσουµε, είναι ότι τα πολύ σηµαντικά πλεονεκτήµατα της µεθόδου την κάνουν πολύ εύκολα υλοποιήσιµη και εφαρµόσιµη. Μια µέθοδος που έχει µηδενικό κόστος λειτουργίας και δεν προκαλεί καµία ενόχληση στους χρήστες, µπορεί να εφαρµοσθεί σε συνδυασµό µε τα συνθηµατικά και να ανεβάσει κατά πολύ τον πήχη ασφαλείας ενός συστήµατος, ακόµα και αν δεν καταφέρνει να αποθαρρύνει όλους τους εισβολείς. Εφόσον µπορεί να δέχεται όλους τους νόµιµους χρήστες µε ένα πολύ υψηλό ποσοστό, άνω του 90%, έχοντας ένα απαράδεκτα υψηλό ποσοστό λανθασµένων αποδοχών (FAR), ακόµα και της τάξης του 50%, δεν παύει να αποµακρύνει έναν στους δύο εισβολείς. Μην ξεχνάµε πως σήµερα η αποκάλυψη του συνθηµατικού σηµαίνει αυτόµατα την κατάρρευση του συστήµατος ασφαλείας Εφαρµογές Η µέθοδος της αναγνώρισης τρόπου πληκτρολόγησης µπορεί να εφαρµοσθεί οπουδήποτε υπάρχει η ανάγκη της επιβεβαίωσης της ταυτότητας ενός χρήστη και ένα πληκτρολόγιο. Όπως έχουµε ήδη αναφέρει, σε συνδυασµό µε τα συνθηµατικά η µέθοδος αυξάνει κατά πολύ την ασφάλεια του συστήµατος. Έτσι µπορεί να 26

27 χρησιµοποιηθεί για τον έλεγχο πρόσβασης σε ηλεκτρονικούς υπολογιστές, καθώς και σε υπηρεσίες µέσω του διαδικτύου όπως το ηλεκτρονικό ταχυδροµείο και το ηλεκτρονικό εµπόριο. Εξάλλου, η µέθοδος µπορεί να εφαρµοστεί σε περιβάλλον εξ αποστάσεως µάθησης για να επιβεβαιώνεται ότι ο χρήστης που γράφει στον προσωπικό του υπολογιστή είναι πράγµατι ο νόµιµος χρήστης. Με το ίδιο σκεπτικό, η µέθοδος είναι ιδιαίτερα χρήσιµη για την διεξαγωγή εξετάσεων µέσω ηλεκτρονικών υπολογιστών Ανασκόπηση της σχετικής βιβλιογραφίας Στο σηµείο αυτό θα αναφέρουµε ορισµένες από τις πιο σηµαντικές εργασίες στον τοµέα της αναγνώρισης τρόπου πληκτρολόγησης. Όπως έχουµε ήδη επισηµάνει, στις αρχές της δεκαετίας του 1980 το Εθνικό Ίδρυµα Επιστηµών των Η.Π.Α. (National Science Foundation) διεξήγαγε έρευνες µε τις οποίες διαπιστώθηκε ότι ο τρόπος πληκτρολόγησης του κάθε ανθρώπου περιέχει µοναδικά χαρακτηριστικά. To 1980 το Εθνικό Γραφείο Προτύπων των Η.Π.Α. (National Bureau of Standards) χρηµατοδότησε µία έρευνα που κατέληξε στο συµπέρασµα ότι αυθεντικοποίηση µε επιτυχία 98% (ίσο FRR και FAR της τάξης του 2%) µπορούσε να επιτευχθεί µε την αναγνώριση του τρόπου πληκτρολόγησης του ονόµατος και του συνθηµατικού ενός χρήστη. Μία από τις πρώτες εργασίες πάνω στο θέµα διεξήχθη το 1980 από τους Gaines, Lisowski, Press και Shapiro ( Authentication by Keystroke Timing: some preliminary results ) Ζητήθηκε από µία οµάδα εφτά γραµµατέων να γράψουν δύο φορές, µέσα σε ένα διάστηµα τεσσάρων µηνών, τις ίδιες τρεις παραγράφους. Συνολικά απαιτούταν περίπου 300 µε 400 λέξεις τόσο κατά τη φάση της εγγραφής όσο και για κάθε σύγκριση. Η χρονική καθυστέρηση µεταξύ των διαδοχικών πιέσεων των πλήκτρων µετρήθηκε και η ανάλυση βασίστηκε σε ένα περιορισµένο αριθµό διγραµµάτων (δύο διαδοχικών γραµµάτων). Αν και τα αποτελέσµατα ήταν ιδιαίτερα ενθαρρυντικά (FAR 0% και FRR 4%) το δείγµα ήταν ιδιαίτερα µικρό και ο αριθµός των απαιτούµενων δεδοµένων πολύ µεγάλος. Μία νέα έρευνα πραγµατοποιήθηκε 1985 από τους Umphress και Williams ( Identity verification through keyboard characteristics ). Η χρονική καθυστέρηση 27

28 µεταξύ των διαδοχικών πληκτρολογήσεων χρησιµοποιήθηκε και εδώ για την αυθεντικοποίηση των χρηστών. Προκειµένου να δηµιουργηθεί το προφίλ του κάθε χρήστη απαιτούταν περίπου 1400 χαρακτήρες. Άλλοι 300 χαρακτήρες απαιτούταν κάθε φορά που έπρεπε να γίνει η αυθεντικοποίηση. Το FAR που επιτεύχθηκε ήταν 6% αλλά όπως είναι φανερό ο αριθµός των δεδοµένων που απαιτούταν ήταν ιδιαίτερα υψηλός. Μία παρόµοια έρευνα έγινε το 1988 από τους Leggett και Williams µε τη συµµετοχή 17 προγραµµατιστών ( Verifying Identity via Keystroke Characteristics ). Το σύστηµα που αναπτύχθηκε παρουσίασε FAR της τάξης του 5% και FRR της τάξης του 5.5%. Παρόλα αυτά το µεγάλο µειονέκτηµα και αυτής της µεθόδου ήταν ο µεγάλος αριθµός των δεδοµένων που απαιτούταν. Συνολικά κάθε προγραµµατιστής έπρεπε να γράψει περισσότερες από 1000 λέξεις. Προφανώς κάτι τέτοιο δεν είναι λειτουργικό στην πράξη. Το 1990 οι Joyce και Gupta δηµοσίευσαν την εργασία τους µε τίτλο Identity authentication based on keystroke latencies. Το σύστηµα απαιτούσε από τον χρήστη να εισάγει οκτώ φορές το όνοµα, το επίθετο, το όνοµα χρήστη (username) και το συνθηµατικό του προκειµένου να δηµιουργηθεί το προσωπικό του προφίλ. Στη συνέχεια η αυθεντικοποίηση επιτυγχανόταν µε µεθόδους στατικής ανάλυσης, υπολογίζοντας τη µέση τιµή και την τυπική απόκλιση του χρόνου καθυστέρησης µεταξύ δύο διαδοχικών πιέσεων πλήκτρων. Τα αποτελέσµατα που παρουσίασαν ήταν FAR ίσο µε 0.25% και FRR ίσο µε 16.67%. Το 1990 δηµοσιεύτηκε ακόµη µία εργασία, µε τίτλο Computer-Access Security Systems Using Keystroke Dynamics των Bleha, Slivinsky και Hussien. Το σύστηµα που ανέπτυξαν χρησιµοποιούσε µόνο ένα όνοµα χρήστη και µία φράση, την ίδια κάθε φορά, επιλεγµένη από το χρήστη. Το σύστηµα αυτό βασιζόταν σε διαφορετικές µεθόδους στατιστικής ανάλυσης, όπως τον αλγόριθµο ταξινόµησης του Bayes. Τα αποτελέσµατα που προέκυψαν ήταν FRR ίσο µε 8.1% και FAR ίσο µε 2.8%. Εδώ πρέπει να τονίσουµε ότι στην περίπτωση αυτή ο επίδοξος εισβολέας είχε τη δυνατότητα να παρακολουθήσει τον τρόπο που πληκτρολογεί το «υποψήφιο θύµα» του και κατά συνέπεια να προσπαθήσει να τον αντιγράψει. Το 1997 παρουσιάστηκε η εργασία των Monrose και Rubin µε τίτλο Authentication via Keystroke Dynamics. Στην εργασία αυτή, εκτός από τη χρονική καθυστέρηση µεταξύ διαδοχικών πληκτρολογήσεων, χρησιµοποιήθηκε για πρώτη φορά και η χρονική διάρκεια πίεσης των πλήκτρων. Πρέπει να τονίσουµε ότι σκοπός 28

29 της εργασίας ήταν η αναγνώριση και όχι η αυθεντικοποίηση του χρήστη και ότι χρήστες καλούνταν να πληκτρολογήσουν κάποιες συγκεκριµένες προτάσεις ή να γράψουν δικές τους. Οι Monrose και Rubin αφού πειραµατίστηκαν µε διάφορους αλγόριθµους ταξινόµησης κατέληξαν στα εξής αποτελέσµατα: Ποσοστό επιτυχούς αναγνώρισης όταν τόσο το κείµενο εκπαίδευσης όσο και το κείµενο αναγνώρισης ήταν προκαθορισµένα κείµενα τα οποία αντέγραφε ο χρήστης: 90.7% Ποσοστό επιτυχούς αναγνώρισης όταν ένα κείµενο ήταν αντιγραφή και το άλλο ήταν άγνωστο κείµενο, εµπνεύσεως του χρήστη την ώρα που πληκτρολογούσε: 44.1% Ποσοστό επιτυχούς αναγνώρισης όταν και τα δύο κείµενα ήταν άγνωστα : 23% Μία ακόµη εργασία παρουσιάστηκε το 2000 από τους Haider, Abbas και Zaidi µε τίτλο «A Multi-Technique Approach for User Identification through Keystroke Dynamics. Η εν λόγω εργασία συνδυάζει τεχνικές στατικής ανάλυσης, ασαφούς λογικής και νευρωνικών δικτύων και καταλήγει σε FAR της τάξης του 2%. Μία από τις πιο πρόσφατες εργασίες (παρουσιάστηκε το 2003) είχε τον τίτλο Biometric Authentication using Random Distributions (BioART) µε συγγραφείς τους Kacholia και Pandit. Στην εργασία χρησιµοποιούνται συναρτήσεις τυχαίας κατανοµής για την αυθεντικοποίηση των χρηστών οι οποίοι εισάγουν το όνοµα χρήστη και το συνθηµατικό τους. Τα αποτελέσµατα στα οποία καταλήγει η εργασία είναι FAR της τάξης του 1% και FRR της τάξης του 4.38%. Τα τελευταία χρόνια έχουν προταθεί και τεχνικές που εφαρµόζουν µεθόδους νευρωνικών δικτύων. Αν και οι τεχνικές αυτές έχουν να επιδείξουν ικανοποιητικά αποτελέσµατα, έχουν το έµφυτο µειονέκτηµα ότι κάθε φορά που εισέρχεται ένας νέος χρήστης, το σύστηµα πρέπει να επανεκπαιδευτεί. Για το λόγο αυτό, ένα τέτοιο σύστηµα είναι υπολογιστικά πολύπλοκο και χρονοβόρο, ενώ προφανώς δεν ενδείκνυται για συστήµατα µε πολλούς χρήστες. Αυτή τη χρονική περίοδο το µοναδικό εµπορικό σύστηµα αυθεντικοποίησης χρήστη µέσω αναγνώρισης τρόπου πληκτρολόγησης είναι το BioPassword. Το σύστηµα αυτό χρησιµοποιεί τόσο τη χρονική καθυστέρηση µεταξύ διαδοχικών 29

30 πληκτρολογήσεων όσο και τη χρονική διάρκεια πίεσης των πλήκτρων κατά την πληκτρολόγηση από τον χρήστη του ονόµατος χρήστη και του συνθηµατικού του. Αρχικά απαιτούνται από το χρήστη δεκαπέντε εγγραφές του προκειµένου να δηµιουργηθεί το προσωπικό του προφίλ. Στο σηµείο αυτό επιβάλλεται να διευκρινίσουµε ότι στις περισσότερες εργασίες µε αντικείµενο την αναγνώριση τρόπου πληκτρολόγησης, οι χρόνοι που δεν είναι χαρακτηριστικοί για τον κάθε χρήστη αποκλείονται από περαιτέρω επεξεργασία. Για παράδειγµα, στην εργασία των Joyce και Gupta αποκλειόντουσαν οι χρόνοι που απείχαν περισσότερες από τρεις τυπικές αποκλίσεις από τον µέσο όρο του χρήστη. Σε ένα πραγµατικό σύστηµα, όπου δεν ξέρουµε εκ των προτέρων αν ο χρήστης που πληκτρολογεί είναι ο νόµιµος ή όχι, προφανώς αυτός ο διαχωρισµός δεν µπορεί να γίνει. Τέλος, πρέπει να τονίσουµε ότι οι εργασίες που χρονοµετρούσαν και τη χρονική διάρκεια εκτός από την χρονική καθυστέρηση, κατέληξαν στο συµπέρασµα ότι η πρώτη παρουσιάζει πιο καλά αποτελέσµατα. Τα καλύτερα αποτελέσµατα όµως προκύπτουν µε συνδυασµό και των δύο µεγεθών. 30

31 Κεφάλαιο 4 Εισαγωγικά Στοιχεία Των Προγραµµάτων 4.1. Γενικά Μετά τη µελέτη των βιοµετρικών µεθόδων αναγνώρισης και ειδικότερα της µεθόδου αναγνώρισης τρόπου πληκτρολόγησης, έφτασε η στιγµή της κατασκευής των δικών µας συστηµάτων. Συνολικά υλοποιήσαµε τρεις µεθόδους, οι οποίες, συνοπτικά, είναι οι εξής: Αυθεντικοποίηση χρήστη µέσω αναγνώρισης τρόπου πληκτρολόγησης σε σύστηµα µε συνθηµατικά Αυθεντικοποίηση χρήστη µέσω αναγνώρισης τρόπου πληκτρολόγησης κατά την πληκτρολόγηση ελεύθερου κειµένου Αναγνώριση χρήστη µέσω αναγνώρισης τρόπου πληκτρολόγησης κατά την πληκτρολόγηση ελεύθερου κειµένου Προφανώς, ένα πρόγραµµα αναγνώρισης χρήστη σε σύστηµα µε συνθηµατικά δεν έχει καµία πρακτική αξία και για αυτό δεν υλοποιήθηκε. Από τη στιγµή που χρησιµοποιούµε συνθηµατικά µπορούµε να εφαρµόσουµε µια πιο γρήγορη µέθοδο, που αφορά την αυθεντικοποίηση. Κατά αυτό τον τρόπο άλλωστε συνδυάζουµε τόσο 31

32 τη µέθοδο των συνθηµατικών, όσο και αυτή της αναγνώρισης τρόπου πληκτρολόγησης, αυξάνοντας σηµαντικά την ασφάλεια του συστήµατος. Κάτι αντίστοιχο µπορούµε να πούµε για το πρόγραµµα αναγνώρισης κατά την πληκτρολόγηση κειµένου, το οποίο το κατασκευάσαµε περισσότερο για να ερευνήσουµε τη δυνατότητα της αναγνώρισης τρόπου πληκτρολόγησης κατά την αναγνώριση χρηστών και για να διαπιστώσουµε κατά πόσο η µέθοδος µπορεί να διακρίνει τον νόµιµο χρήστη ανάµεσα σε ένα πλήθος χρηστών. Ενσωµατώνοντας και τη διαδικασία των συνθηµατικών σε ένα τέτοιο πρόγραµµα, υλοποιώντας δηλαδή µια µέθοδο αυθεντικοποίησης ουσιαστικά, µειώνονται οι κίνδυνοι εισβολής καθώς ο επίδοξος εισβολέας πρέπει να γνωρίζει και το συνθηµατικό, εκτός από το να είναι ικανός να µιµηθεί τον τρόπο πληκτρολόγησης του εξουσιοδοτηµένου χρήστη Χαρακτηριστικά των προγραµµάτων Όλα τα προγράµµατα που υλοποιήσαµε γράφτηκαν στη γλώσσα προγραµµατισµού Visual C++, µε τη βοήθεια της πρότυπης βιβλιοθήκης MFC (Microsoft Foundation Class), σε περιβάλλον Microsoft Visual Studio 6.0. Τα µεγέθη που χρησιµοποιήσαµε για την αυθεντικοποίηση και αναγνώριση των χρηστών ήταν ο χρόνος µεταξύ δύο διαδοχικών πληκτρολογήσεων, ή αλλιώς χρονική καθυστέρηση, και ο χρόνος πίεσης του κάθε πλήκτρου, ή αλλιώς χρονική διάρκεια, µέγεθος που, όπως και στις περισσότερες παρόµοιες εργασίες, αποδείχτηκε (κατά κανόνα) περισσότερο αξιόπιστο. Τα καλύτερα αποτελέσµατα πάντως προέκυψαν µε συνδυασµό και των δύο µεγεθών. Προκειµένου να µετρήσουµε τα παραπάνω µεγέθη αξιοποιήσαµε την τεχνική της ανταλλαγής µηνυµάτων (messages). Κατά τον προγραµµατισµό σε Windows, όταν συµβαίνει κάποιο γεγονός (event) που επηρεάζει την εφαρµογή, στέλνεται ένα µήνυµα σε αυτή, µε δεδοµένα που αφορούν το γεγονός. Το κάθε µήνυµα έχει συγκεκριµένο σκοπό. Γενικά τα µηνύµατα χωρίζονται σε δύο κατηγορίες, σε αυτά που στέλνει το λειτουργικό σύστηµα και σε αυτά που προκύπτουν από την αλληλεπίδραση µε το χρήστη. Προφανώς η αλληλεπίδραση του χρήστη προκύπτει είτα από το ποντίκι είτε από το πληκτρολόγιο. 32

33 Τα µηνύµατα που προκύπτουν από τη χρήση του πληκτρολογίου είναι αυτά που µας έδωσαν τη δυνατότητα της µέτρησης των µεγεθών που µας ενδιαφέρουν. Τα µηνύµατα αυτά είναι τα WM_KEYDOWN και WM_KEYUP. Όπως είναι φανερό το πρώτο αναφέρεται στο γεγονός της πίεσης ενός πλήκτρου, ενώ το δεύτερο στο γεγονός της απελευθέρωσης ενός πλήκτρου. Η Visual C++ µας παρείχε λοιπόν τα κατάλληλα εργαλεία για τη µέτρηση της χρονικής καθυστέρησης και της χρονικής διάρκειας. Το πρώτο µέγεθος προκύπτει από το χρονικό διάστηµα που µεσολαβεί µεταξύ ενός γεγονότος WM_KEYUP και ενός γεγονότος WM_KEYDOWN, ενώ το δεύτερο ισούται µε το χρόνο που απαιτείται για να προκύψει ένα γεγονός WM_KEYUP µετά την εµφάνιση ενός γεγονότος WM_KEYDOWN. Επειδή πολλές φορές, ειδικά όταν γράφουµε γρήγορα, συµβαίνει να πατάµε δύο πλήκτρα ταυτόχρονα ή να πατάµε το επόµενο πλήκτρο πριν απελευθερώσουµε το προηγούµενο, εφαρµόζαµε πάντα τον έλεγχο αν το πλήκτρο που µόλις απελευθερώθηκε είναι αυτό που είχε πατηθεί προηγουµένως. Αν αυτό δεν συνέβαινε, το µέγεθος που µετρούσαµε θετόταν ίσο µε µηδέν. Κατά τον τρόπο αυτό οι µετρήσεις δεν περιείχαν ανακριβή µεγέθη. Τόσο η χρονική καθυστέρηση όσο και η διάρκεια µετρούταν σε msec. Εδώ πρέπει να τονίσουµε ότι κατά τη συλλογή των αποτελεσµάτων δεν εφαρµόσαµε τη συνήθη τακτική των περισσοτέρων εργασιών πάνω στη µέθοδο της αναγνώρισης τρόπου πληκτρολόγησης, την τακτική του να απορρίπτονται οι τιµές των χρηστών οι οποίες είναι µακριά από τον µέσο όρο. Η επιλογή αυτή έχει να κάνει µε την επιθυµία µας, την οποία εφαρµόσαµε και κατά τη διάρκεια των µετρήσεων, να είναι οι εφαρµογές µας όσο το δυνατόν πιο κοντά στις συνθήκες ενός πραγµατικού προγράµµατος, φτιαγµένου για τον πραγµατικό κόσµο και όχι ένα εργαστηριακό προϊόν, φτιαγµένο σε ιδανικές συνθήκες Τρόπος µετρήσεων Προκειµένου να πάρουµε τις απαραίτητες µετρήσεις ώστε να έχουµε κάποια ενδεικτικά αποτελέσµατα για τις µεθόδους που υλοποιήσαµε, τοποθετήσαµε τα προγράµµατα µας στο εσωτερικό δίκτυο του Ινστιτούτου Τηλεµατικής και Πληροφορικής του Εθνικού Κέντρου Έρευνας και Τεχνολογίας. Αφού ενηµερώσαµε 33