Social authentication : vulnerabilities, mitigations and redesign

As social networks have become an integral part of online user activity, a massive amount of personal information is readily available to such services. In an effort to hinder malicious individuals from compromising user accounts, high-value services have introduced two-factor authentication to prevent adversaries from compromising accounts using stolen credentials. Facebook has recently released a two-factor authentication mechanism, referred to as Social Authentication (SA), which requires users to identify some of their friends in randomly selected photos to be allowed access to their accounts. A recent study has provided a formal analysis of social authentication weaknesses against attackers inside the victim's social circles. In this thesis, we extend the threat model and study the attack surface of social authentication in practice, and show how any attacker can obtain the information needed to solve the challenges presented by Facebook. We implement a proof-of-concept system that utilizes widely available face recognition software and cloud services, and evaluate it using real public data collected from Facebook. Under the assumptions of Facebook's threat model, our results show that an attacker can obtain access to (sensitive) information for at least 42% of a user's friends that Facebook uses to generate social authentication challenges. By relying solely on publicly accessible information, a casual attacker can solve 22% of the social authentication tests in an automated fashion, and gain a significant advantage for an additional 56% of the tests, as opposed to just guessing. Additionally, we simulate the scenario of a determined attacker placing himself inside the victim's social circle by employing dummy accounts. In this case, the accuracy of our attack greatly increases and reaches 100% when 120 faces per friend are accessible by the attacker, even though it is very accurate with as little as 10 faces. We then revisit the Social Authentication concept and propose reSA, a two-factor authentication scheme that can be easily solved by humans but is robust against face-recognition software. Our core concept is to select photos in which state-of-the-art face-recognition software detects human faces, but cannot identify them due to certain characteristics. We implement a web application that recreates the SA mechanism and conduct a user study that sheds light on user behavior regarding photo tagging, and demonstrate the strength of our approach against automated attacks. The outcome of this user study shows that people are able to recognize their friends just as good in both standard SA tests and tests with photos of poor quality (reaching 99% of success rate).

I social network sono, attualmente, i servizi web più diffusi. L'ampia base di utenti li ha resi un obiettivo primario per i criminali informatici. Studi recenti hanno infatti mostrato che organizzazioni criminali informatiche hanno spostato la loro attenzione dal rubare numeri di carte di credito alla compromissione di profili di social network, i quali vengono rivenduti a prezzi molto alti. L'autenticazione a 2 fattori è impiegata in diversi servizi web proprio per prevenire che l'uso di credenziali rubate possa portare dei malintenzionati ad avere pieno accesso agli account compromessi delle vittime. Nel 2011 Facebook ha introdotto un proprio meccanismo di autenticazione a 2 fattori, chiamato Social Authentication (SA). Quando un utente accede al proprio account, la SA richiede di identificare 7 amici a partire da una serie di foto selezionate casualmente. L'idea chiave che costituisce tale meccanismo è che solo il legittimo proprietario di un account può avere accesso alle informazioni correlate alla propria cerchia di amicizie, fattore che invece manca ad un estraneo che tenta di accedere a tale account usando credenziali rubate. In questa tesi identifichiamo le vulnerabilità insite nella SA di Facebook, le quali permettono ad un aggressore di bypassare tale meccanismo. L'intuizione è che un aggressore che abbia accesso alle credenziali di un account può ottenere abbastanza informazioni per rispondere in modo automatico alle domande previste dal meccanismo di SA, cosiccome farebbe un utente legittimo. Abbiamo progettato e realizzato un attacco automatico per dimostrare il rischio pratico che deriva dall'uso della SA. Nell'attacco progettato, l'aggressore procede come segue. Inizialmente ottiene l'elenco degli amici della vittima e le foto accessibili dal suo profilo. Ciò comporta la scansione della porzione accessibile al pubblico del grafo sociale della vittima. Successivamente l'aggressore analizza le foto raccolte utilizzando software per il riconoscimento di volti in grado di creare un modello facciale di ogni amico. Anche se è altamente improbabile che l'aggressore previsto dal nostro modello possa avere familiarità con gli amici di una vittima, i modelli facciali costruiti gli permettono di risolvere la SA. Infine, presentiamo reSA, abbreviazione di "Social Authentication, Revisited", un meccanismo di autenticazione a 2 fattori che può essere facilmente risolto da umani, ma che è robusto contro algoritmi di riconoscimento facciale. Dal momento che abbiamo dimostrato che la SA può essere superata in maniera automatica, l'idea chiave alla base di reSA è di utilizzare foto di scarsa qualità, in cui gli odierni software per il riconoscimento facciale non possano identificare i volti umani in esse presenti. A tale scopo abbiamo realizzato un'applicazione web che ricrea fedelmente il meccanismo della SA e abbiamo condotto uno studio in cui abbiamo chiesto a degli utenti di risolvere test con foto di qualità variabile.