Metodi di autenticazione: Nuovi attacchi e difese

Nowadays, authentication systems are widespread in our devices. They protect the security of our systems, guaranteeing that only authorized people have access to reserved services and data. Thanks to this role, authentication systems made their first appearance in the `60s, with the diffusion of the first computers in universities. Over the years, these systems have evolved. If the first authentication systems were based only on passwords, they are considerably advanced today. In particular, with the widespread diffusion of smartphones, authentication systems became commonly used, focusing on user-friendly systems such as biometrics. This evolution generated a market that is growing strongly, and it is expected to increase by 15% again in the next few years, with revenues of hundreds of billions of dollars. Usability is not the only factor influencing the evolution of authentication systems. Their safety also determines their evolution over time. If an authentication method guarantees the security of a system, it is also true that it is the first to suffer from cyber-attacks. After the appearance of new authentication technologies on the market, it is frequent to notice the spread of new methods to bypass the security of the novel technology. Research in these areas becomes fundamental: on one side, to discover new authentication systems that can improve the usability of our devices, and on the other, to anticipate possible vulnerabilities and make these systems more secure. This thesis investigates the security of authentication methods, and it is composed of two logical parts that focus on: (i) the development of novel attacks against existing authentication methods, (ii) the development of novel authentication methods. In the first part of this thesis, we focus on attacks against authentication methods. In particular, we show the effectiveness of three attacks against the security of password and PIN authentication methods. The first work shows how an attacker can use the audio recorded during a VoIP call to infer the keys pressed by a victim. We showed how this attack could be used to infer passwords successfully. The other two works of the first part consist of two distinct methods to steal secret codes from ATM PIN pads. For all these attacks, we propose effective countermeasures showing how important it is to actively participate in research in this field to improve the security of authentication systems. In the second part of this thesis, we explored authentication systems from the perspective of both users and devices authentication. In particular, we investigated a novel biometrics method based on recognizing the user's chewing movement and a new authentication method to ensure the security of legacy cyber-physical systems. We present our experimental results for the former, showing how our method can guarantee user security by keeping a user-friendly environment. For the latter, we present our authentication method showing how it can improve the security of legacy infrastructures, keeping costs down.

Al giorno d'oggi, i sistemi di autenticazione sono molto diffusi nei nostri dispositivi. Proteggono la sicurezza dei nostri sistemi, garantendo che solo le persone autorizzate abbiano accesso a servizi e dati riservati. Grazie a questo ruolo, i sistemi di autenticazione hanno fatto la loro prima apparizione negli anni '60, con la diffusione dei primi computer nelle università. Nel corso degli anni, questi sistemi si sono evoluti. Se i primi sistemi di autenticazione erano basati solo su password, oggi sono notevolmente avanzati. In particolare, con l'ampia diffusione degli smartphone, i sistemi di autenticazione sono diventati di uso comune, focalizzandosi su sistemi user-friendly come quelli biometrici. Questa evoluzione ha generato un mercato in forte crescita, e si prevede che nei prossimi anni aumenterà ancora del 15%, con un fatturato di centinaia di miliardi di dollari. L'usabilità non è l'unico fattore che influenza l'evoluzione dei sistemi di autenticazione. Anche la loro sicurezza determina la loro evoluzione nel tempo. Se un metodo di autenticazione garantisce la sicurezza di un sistema, è anche vero che è il primo a soffrire di attacchi informatici. Dopo la comparsa di nuove tecnologie di autenticazione sul mercato, è frequente notare la diffusione di nuovi metodi per aggirare la sicurezza della nuova tecnologia. La ricerca in queste aree diventa fondamentale: da un lato, per scoprire nuovi sistemi di autenticazione che possano migliorare l'usabilità dei nostri dispositivi, e dall'altro, per anticipare le possibili vulnerabilità e rendere questi sistemi più sicuri. Questa tesi studia la sicurezza dei metodi di autenticazione, ed è composta da due parti logiche che si concentrano su: (i) lo sviluppo di nuovi attacchi contro i metodi di autenticazione esistenti, (ii) lo sviluppo di nuovi metodi di autenticazione. Nella prima parte di questa tesi, ci concentriamo sugli attacchi contro i metodi di autenticazione. In particolare, mostriamo l'efficacia di tre attacchi contro la sicurezza dei metodi di autenticazione con password e PIN. Il primo lavoro mostra come un attaccante possa utilizzare l'audio registrato durante una chiamata VoIP per dedurre i tasti premuti da una vittima. Abbiamo mostrato come questo attacco possa essere usato per dedurre le password con successo. Gli altri due lavori della prima parte consistono in due metodi distinti per rubare i codici segreti dai PIN pad dei bancomat. Per tutti questi attacchi, proponiamo contromisure efficaci mostrando quanto sia importante partecipare attivamente alla ricerca in questo campo per migliorare la sicurezza dei sistemi di autenticazione. Nella seconda parte di questa tesi, abbiamo esplorato i sistemi di autenticazione sia dal punto di vista dell'autenticazione di utenti che di dispositivi. In particolare, abbiamo studiato un nuovo metodo biometrico basato sul riconoscimento del movimento masticatorio di un utente e un nuovo metodo di autenticazione per garantire la sicurezza dei cyber-physical systems datati. Nel primo lavoro, presentiamo i nostri risultati sperimentali, mostrando come il nostro metodo può garantire la sicurezza dell'utente mantenendo un ambiente user-friendly. Per il secondo lavoro, presentiamo il nostro metodo di autenticazione mostrando come può migliorare la sicurezza delle infrastrutture legacy, mantenendo bassi i costi.