Le terme que vous recherchez est " dynamique de frappe" ou "biométrie de frappe" et est un domaine intéressant et en croissance.

L'idée est qu'un individu tape certaines clés d'une certaine manière qui ne change pas beaucoup avec le temps. Si vous pouvez mapper ces dynamiques, vous pouvez, potentiellement, supprimer complètement les mots de passe et simplement demander à l'utilisateur de taper n'importe quoi .

Je pense que ce serait très, très ennuyeux pour les utilisateurs légitimes de votre application ou site Web. Des choses comme un doigt cassé ou simplement tenir un sandwich dans une main rendraient votre connexion inutilisable. De plus, vous devez encourager l'utilisation de gestionnaires de mots de passe, qui enverront des frappes extrêmement rapidement ou n'enverront pas du tout. Votre système empêcherait probablement même les meilleurs gestionnaires de mots de passe de fonctionner.

Il y a du bon, du mauvais et du VRAIMENT laid ici.

Le bon
Cela augmente l'entropie des mots de passe et rend plus difficile la force brute

The Bad
Il est basé sur quelque chose qui peut être enregistré et chronométré de manière audible et qui nécessite des tolérances aux pannes, ce qui signifie que quelque chose doit seulement être suffisamment proche pour rendre ce problème

Le VRAIMENT laid
Les gens changent avec le temps. Pour une multitude de raisons (blessure, âge, oubli du modèle), ils peuvent ne plus être en mesure de le saisir à la même vitesse et fréquence exactes ou dans les limites des tolérances et cela nuit en fait à la capacité des utilisateurs à utiliser le service

Donc, bien que ce soit une bonne idée et un domaine intéressant, ce n'est vraiment rien de plus que difficile pour l'homme de maintenir l'entropie sur le mot de passe. Pire encore, il est facile de recréer le motif avec des machines. Cela rendra plus difficile le piratage sans connaissance préalable de la personne ou du modèle, mais cela pourrait également aggraver l'expérience d'un utilisateur avec votre service au fil du temps et faciliter la collecte d'informations locales sur l'entropie du mot de passe.

s'il s'agissait d'un ajout viable à la sécurité de nos jours

La seule raison pour laquelle je ne pense pas que ce serait viable est que les gens se connectent à partir de tant d'appareils différents ces jours-ci . Je peux vous promettre qu'il n'y a pas de corrélation avec le rythme avec lequel je saisis mon mot de passe sur mon bureau principal et le clavier Swype de ma tablette.

Oui, c'est plus sûr. Cela rendrait un mot de passe chronométré à 8 caractères aussi fort qu'un mot de passe non chronométré d'environ 9,5 caractères.

Ce serait une forme de dynamique de frappe . C'est un domaine de recherche active depuis un certain temps - bien que les logiciels fonctionnant sur un Amiga soient probablement antérieurs à la plupart d'entre eux!

Il existe un package python pour cela, au cas où vous voudriez expérimenter dans un langage plus moderne (avertissement: je l'ai écrit) .

Certains services modernes utilisent effectivement cette technique - comme Coursera, qui utilise cela pour s'assurer que la personne qui répond à un test est bien l'utilisateur.

Explorons un peu la théorie pour répondre à votre question. Les options habituelles d'authentification humaine sont:

• Quelque chose que vous savez (mot de passe, code PIN)
• Quelque chose que vous avez (téléphone portable, matériel jeton, carte à puce)
• Quelque chose que vous êtes (empreinte digitale, iris, démarche). En général, la biométrie.

La dynamique des frappes appartient à la troisième catégorie. Habituellement, les bons systèmes d'authentification reposent sur plusieurs d'entre eux. Lorsque vous utilisez deux systèmes différents, ceci est communément appelé authentification à deux facteurs.

En général, la biométrie comporte quelques mises en garde :

• Ils peuvent changer avec le temps. Votre modèle de frappe changera avec l'heure de la journée, la hauteur de votre chaise et de votre bureau, le clavier que vous utilisez et de nombreux autres facteurs
• Ils peuvent être irrémédiablement perdus. Si vous parvenez à perdre un doigt, vous ne pourrez jamais vous authentifier.

Votre conception, cependant, n'emploie pas une biométrie traditionnelle. Vous demandez à l'utilisateur de se souvenir d'un modèle de saisie. Cela tomberait dans la première catégorie ( quelque chose que vous connaissez ), donc, effectivement, vous pouvez mesurer le niveau de sécurité qu'il ajoute en utilisant l'entropie.

En supposant que votre système ait deux durées possibles de pression sur les touches (ce que votre exemple semble impliquer), cela ajoute un bit d'entropie par caractère - ainsi cela rendrait un mot de passe chronométré à 8 caractères aussi fort qu'un ~ 9,5 caractères non mot de passe chronométré.

Bien sûr, la conception a également des défauts, par rapport à la dynamique de frappe biométrique:

• le fait que le motif est très distinctif fera il est plus vulnérable à un attaquant avec un enregistreur audio
• Puisque le modèle est connu par l'utilisateur, il peut être contraint de le révéler. La dynamique de frappe traditionnelle peut être utilisée comme authentification implicite.

Étant donné que cela exclut fondamentalement l'utilisation d'un gestionnaire de mots de passe, ce qui constitue les meilleures pratiques de base pour la sécurité des mots de passe, cela n'améliore pas mais nuit à la sécurité des mots de passe.

C'est une bonne idée, et l'effet net serait une augmentation de l'entropie du mot de passe. Par exemple, supposons que votre seuil soit de 1/4 de seconde et que la pause maximale soit de 1 seconde. À un moment donné, les pauses seraient converties en bits, ce qui augmenterait effectivement le jeu de caractères du mot de passe de 4X; par exemple. un jeu de 80 caractères deviendrait un jeu de 320 caractères. Un mot de passe à 10 chiffres avec 80 caractères possibles deviendrait 1 million de fois plus difficile à forcer en mettant en œuvre votre idée. Une autre façon de dire que votre mot de passe à 10 caractères deviendrait plus comme 13 ou 14 caractères.

En pratique, le principal avantage que je vois serait qu'il est probablement plus facile pour les humains de se souvenir du rythme d'une chanson combiné avec 10 caractères que pour retenir 14 caractères. Mais les meilleurs mots de passe sont ceux dont les humains ne se souviennent pas de toute façon, il serait donc probablement beaucoup plus simple (pour toutes les parties impliquées) d'ajouter simplement quelques caractères supplémentaires à votre mot de passe pour obtenir la même augmentation d'entropie.

J'ai fait un peu de travail dans ce domaine, et dans certains domaines connexes, et ma réponse à la question dépend du temps dont vous disposez:

Réponse courte: Oui, avec un mais.

En termes simples, comme vous l'avez découvert précédemment, il existe des similitudes dans les frappes observées (ou d'autres modèles biométriques comportementaux). Ceux-ci peuvent, en théorie, être utilisés pour une sécurité supplémentaire, mais les taux de faux positifs et de faux négatifs sont encore relativement élevés, donc la convivialité est discutable, et il n'y a pas de bibliothèques pré-construites que je recommanderais comme fiables.

Réponse plus longue: Non, avec un cependant.

Le problème avec la biométrie comportementale dans le contexte de la sécurité est qu'elle ne correspond pas à nos modèles actuels. Si on vous donne un mot de passe, c'est soit correct, soit faux. Si quelque chose mesure votre iris, c'est une correspondance ou non. Il n'y a pas de marge de manœuvre ou de marge de manœuvre, l'une ou l'autre authentification binaire.

Les comportements ne font pas cela. Les comportements changent en fonction de l'heure de la journée, de l'heure du mois, du temps qu'il fait à l'extérieur. Vous pouvez dire "cela ressemble à cette personne", mais il n'y a pas de réponse "oui / non" simple, ce qui les rend mauvais pour l'authentification traditionnelle, en particulier avec des échantillons courts comme les mots de passe.

D'un autre côté, il existe beaucoup d'analyses comportementales qui peuvent être mesurées (utilisation du réseau, frappe, utilisation de la souris, mouvement et bien d'autres). Ces peuvent être combinés pour donner une indication de confiance durable sur une période prolongée. Ainsi, par exemple, vous pouvez vous connecter à votre machine et cela ne vous permettra pas d'accéder à votre banque car elle ne vous a pas encore vérifié. Faites quelques autres choses dont vous avez besoin, travaillez pendant un certain temps, et les algorithmes renvoient une bonne valeur de confiance, et l'accès est accordé aux systèmes privilégiés.

Essentiellement, les routes d'authentification binaire actuellement en place ne sont pas bonnes adapté à la biométrie comportementale, mais il y a beaucoup de promesses pour l'authentification basée sur la confiance plus tard.

Une autre raison pour non: supposez que votre utilisateur saisit parfois son mot de passe par erreur. Vous pouvez le taper parfaitement, mais le reste d’entre nous a parfois de gros doigts. Ils le taperont probablement plus lentement à la deuxième tentative et bousilleront vos métriques. Cela est particulièrement vrai s'il y a un timeout / retard détectable (limitation de débit ou juste un serveur de connexion lent) car ils ne voudraient pas attendre un autre délai ayant déjà été ennuyé par le premier

Appelons cette saisie de mot de passe chronométrée .

En gros, ce que vous faites est la suivante:

• Essayer d'augmenter l'entropie du mot de passe.

Cela a quelques inconvénients, comme le fait que les gens changent, et cela pourrait vous mordre après quelques années.

La question est: est-ce que cette méthode pour augmenter l'entropie du mot de passe en vaut la peine? Pour répondre correctement, vous devez d'abord mesurer l'entropie totale obtenue en exigeant une entrée de mot de passe chronométrée.

Je dirais que vous ne gagnerez pas beaucoup d'entropie, car la plupart des gens utilisent généralement des claviers de la même manière. Ainsi, lorsque vous savez que la plupart des gens utilisent généralement des claviers à peu près de la même manière, vous saurez qu'il n'y a pas beaucoup d'entropie (ou d'informations) dans la connaissance de la saisie chronométrée.

Par conséquent, je suggère que:

• Les entrées de mot de passe chronométrées ne valent pas les risques.
• Si vous avez besoin de plus d'entropie, utilisez simplement des mots de passe de meilleure qualité (plus longs avec des lettres plus aléatoires).

C'est une très bonne idée, mais si elle n'était pas mise en œuvre correctement comme tout le monde l'a dit, cela ne fonctionnerait pas car les gens changent et la tolérance aux pannes devrait être mise en œuvre correctement.

Ma L'idée d'un bon moyen de mettre en œuvre cela serait de voir si l'utilisateur saisit son mot de passe dans un certain temps.Si ce n'est pas le cas et que le mot de passe est correct, vous pouvez utiliser ces informations pour rendre la demande un peu suspecte et demandez peut-être à l'utilisateur d'envoyer un SMS sur son téléphone pour s'assurer qu'il s'agit bien de lui.

Les avantages: l'utilisateur entre normalement son mot de passe, s'il est hors de temps alors vous pouvez passer aux mesures secondaires d'authentification. Cela ne dérangerait l'utilisateur que s'il le tapait anormalement ou s'il s'agissait d'une personne essayant d'accéder à son compte.

Les inconvénients: il pourrait s'agir de faux positifs qui pourraient agacer le l'utilisateur essayant de se connecter, et les horaires pourraient être vus et / ou enregistrés par quelqu'un regardant par-dessus votre épaule.

Oui, cela peut fonctionner, s'il est géré correctement

Les avantages sont évidents: il est plus difficile pour quelqu'un d'autre de se connecter avec votre mot de passe. Deviner devient plus difficile, et même si quelqu'un a (une partie de) votre mot de passe, il n'a pas encore fini.

Donc, je vais répondre aux préoccupations:

Oui, vous pouvez toujours vous connecter avec un doigt cassé

Bien sûr, le mot de passe peut être «perdu» lorsque vous vous cassez le doigt, mais cela peut être corrigé en rendant disponible un mot de passe principal (plus fort). Si jamais vous avez des circonstances qui ne vous permettent pas de garder votre rythme, vous pouvez toujours utiliser le mot de passe principal pour entrer. (Et changer le rythme si nécessaire).

Oui, vous pouvez toujours utiliser plusieurs appareils

De toute évidence, différents types de périphériques auront des rythmes différents, mais si vous les utilisez fréquemment, le rythme par périphérique devrait être suffisamment stable. En tant que tel, vous pouvez autoriser les utilisateurs à avoir plusieurs rythmes valides.

Oui, vous pouvez toujours utiliser des gestionnaires de mots de passe

Évidemment, des gestionnaires de mots de passe pourraient être amenés à soumettre le rythme ainsi que les frappes. Bien que cela puisse être difficile, il pourrait être très facile d'utiliser simplement le mot de passe principal supprimé lors de la connexion avec le gestionnaire de mots de passe.

Plutôt que de le faire bloquer / autoriser brutalement l'utilisateur, vous pourriez lui faire "apprendre" la méthode de l'utilisateur sur une période de 10 à 20 connexions et prendre la médiane avec une légère marge de temps.

Régulier login: - Mot de passe + connexion à deux facteurs par lien app / sms / email

Après un certain temps, vous connaîtrez son modèle et pourrez donner à l'utilisateur la possibilité d'activer la sécurité supplémentaire, puis de réduire le montant de fois, il doit se connecter avec la connexion à deux facteurs. (en supposant que la même adresse IP a été utilisée)

Lorsque la sécurité ajoutée est active, vous pouvez alors autoriser l'utilisateur à se connecter avec juste le mot de passe tant que la source IP est la même. Et lorsque vous détectez que l'utilisateur fait beaucoup varier sa vitesse de connexion, vous pouvez demander à nouveau la connexion à deux facteurs et mettre à jour la liste. (prenez toujours la médiane sur 5 tentatives de connexion, en éliminant les extrêmes)

Je pense que cela aurait le plus de potentiel pour les situations où un mot de passe est souvent utilisé et où l'entrée ne permet pas une grande variété de caractères. Un exemple évident serait quelque chose comme un code d'entrée de porte. Cela présente également l'avantage que même si quelqu'un est capable de voir le code lui-même par-dessus votre épaule, il doit toujours avoir le bon rythme. Cela vous permet également d'obtenir plus d'entropie d'un périphérique d'entrée très basique.

Vous pourriez même imaginer une situation où il n'y a qu'un seul bouton et le rythme est la seule entrée, après tout c'est une version numérique du «coup secret».

Si rien d'autre, cela peut avoir une valeur de nouveauté pour les applications de sécurité de bas niveau et peut même avoir une niche plus sérieuse pour, par exemple, les musiciens professionnels qui devraient avoir un sens très précis du timing.