Comment créer des mots de passe qui ne peuvent pas être compromis par la torture ou la coercition

La protection des informations est devenue l'une des tâches les plus importantes et les plus significatives de la société moderne. De nombreuses personnes se sont habituées à mémoriser des mots de passe et des codes PIN, parfois d'une complexité déconcertante. D'autres utilisent des indicateurs biométriques pour se protéger : les empreintes digitales, les iris, etc. peuvent tous aider à identifier les individus.

Mais ces systèmes ne sont pas parfaits. Un problème important est la menace de coercition – être obligé de révéler un mot de passe ou de placer un doigt dans le lecteur d'empreintes digitales.

Aujourd'hui, Max Wolotsky de Cal Poly Pomona et quelques amis ont trouvé une solution qui peut déterminer si un individu est contraint et refuser l'authentification en conséquence.

Le système est simple dans son concept. L'idée de Wolotsky et co est d'utiliser les niveaux de stress du corps pour déterminer s'ils sont contraints de quelque manière que ce soit. Et ils le font en mesurant la réponse de l'individu à la musique relaxante qu'ils ont précédemment identifiée comme relaxante.

La musique chill est ainsi appelée parce qu'elle provoque un frisson dans le dos, une réaction qui s'apparente au froid. Ce sont les effets physiologiques de ce frisson que Wolotsky et co ont entrepris de mesurer en surveillant les rythmes cardiaques et les ondes cérébrales.

Leur hypothèse est que ces signaux sont impossibles à simuler et ne peuvent être mesurés que lorsque le sujet est détendu. Toute contrainte entraînerait un signal différent.

Pour savoir si c'est le cas, l'équipe a demandé à cinq sujets de test de choisir leur morceau préféré de musique relaxante, puis de surveiller leur rythme cardiaque et leurs ondes cérébrales pendant qu'ils écoutaient.

En particulier, l'équipe s'est concentrée sur les moments de la musique qui déclenchent la réaction de refroidissement en supposant que cela se produit toujours au même point de la partition. Cette section de la musique (moins d'une minute environ) devient alors la clé du processus d'authentification.

L'idée est que si le sujet est détendu, il peut ressentir le frisson dans le futur et reproduire les signaux physiologiques qui y sont associés.

En effet, l'équipe a effectué un certain nombre de tests et a constaté que leurs sujets étaient capables de passer le test avec un taux de réussite de 90 %.

Il y a quelques mises en garde, bien sûr. L'équipe n'a pas été en mesure de tester la réponse de ses sujets sous n'importe quel type de stress pour simuler le type de coercition que ce test est conçu pour déjouer. L'une des raisons pour lesquelles nous ne l'avons pas fait est qu'il est contraire à l'éthique de menacer les sujets de test afin de vérifier que notre système est totalement résistant à la coercition, car cela pourrait laisser les sujets avec des dommages physiques ou psychologiques permanents, disent-ils.

C'est une limite importante. Si l'équipe n'a pas vérifié qu'elle fonctionne dans les conditions pour lesquelles elle est conçue pour fonctionner, comment peut-elle être sûre qu'elle est sécurisée ? Il existe également d'autres problèmes potentiels. Les informations qui pourraient bénéficier de ce type de protection accrue sont susceptibles d'être extrêmement précieuses, des choses comme les codes de lancement des armes nucléaires, peut-être. (L'un des auteurs travaille au Sandia National Laboratories, qui est responsable de la gestion des stocks nucléaires.)

Mais un accès urgent à ce type d'informations pourrait n'être nécessaire qu'en période de stress élevé, ce qui pourrait invalider le test. L'idée que quelqu'un essaie d'accéder aux codes de lancement alors que la Troisième Guerre mondiale se déroule, mais qu'il doit se détendre au préalable, a quelque chose d'une comédie noire à ce sujet.

Néanmoins, développer des mots de passe résistants à la coercition est un objectif important. Wolotsky et co ont pris quelques mesures provisoires sur lesquelles d'autres peuvent s'appuyer.

Réf : http://arxiv.org/abs/1605.01072 : Chill-Pass : utiliser les réponses neuro-physiologiques à la musique relaxante pour vaincre les attaques coercitives

cacher