Theses supervised by Prof. Dr. Kemal Bıçakcı
10 theses · TOBB Economics and Technology University
Güvenilir işletim ortamı teknolojisi kullanılarak mobil kimlik uygulaması geliştirilmesi
Nüfus cüzdanlarının yerine kullanılmaya başlanan yeni kimlik kartları elektronik ortamda da kimlik doğrulama amacıyla kullanılabilecek teknolojiye sahiptir. Öte yandan, akıllı kart okuyucusu gereksinimi, yazılım kütüphanesinin mobil işletim sistemlerine uyumlu olmaması gibi nedenlerden ötürü yeni kimlik kartlarının akıllı telefonlar üzerinden kullanımı çok kolay değildir. Bu çalışmada, söz konusu teknik zorlukları aşmak için Android ortamında çalışan bir Mobil Kimlik çözümü tanıtılmaktadır. Çözümümüz, iki temel bileşenden oluşmaktadır. Mobil telefon uygulaması, Güvenilir İşletim Ortamı teknolojisini kullanarak açık anahtar ve özel anahtar çifti üretir. Özel anahtar, Güvenilir İşletim Ortamından çıkmaz ve bu sayede Zengin Android ortamına ilişkin tehditlere karşın korunmuş olur. Masaüstü uygulaması ise, mobil telefondan gelen açık anahtarı kullanıcının kimlik kartında mevcut özel anahtar ile imzalatır (bir anlamda, sayısal sertifika üretmiş olur) ve üçüncü partiler kimlik doğrulama amacıyla mobil telefon uygulamasının ürettiği sayısal imzaları doğrularken açık anahtar ile kullanıcı arasındaki bağın güvenli bir şekilde kurulmasını sağlar. Geliştirdiğimiz çözümün, başta E-devlet uygulamaları olmak üzere mevcut mobil kimlik doğrulama çözümlerine güvenli ve kullanışlı bir alternatif olduğu düşünülmektedir.
Blokzincir kullanılarak kimlik doğrulama seremonisini ortadan kaldıran bir güvenli mesajlaşma uygulamasının geliştirilmesi
Uçtan uca şifreleme, genelde açık anahtar kriptografisine dayanan ve birçok güvenli mesajlaşma uygulamasında kullanılan bir güvenlik özelliğidir. Bu sayede, iletilen me- sajlar, tarafların katkısıyla oluşturulan ortak bir anahtar vasıtasıyla şifrelenerek iletilir. Bu özelliğe sahip bir uygulamada, bir kullanıcının açık anahtarı, cihaz veya SIM kart değişikliği ve uygulamanın yeniden kurulması gibi sebeplerle değişebileceği gibi, olası bir saldırı nedeniyle de farklılık gösterebilir. Bu yüzden, muhtemel saldırıları önlemek ve iletişimin güvenli olduğundan emin olmak adına yeni açık anahtarın doğrulanması gerekir. Bu amaçla, birçok güvenli mesajlaşma uygulamasında, açık anahtar değişikliği durumunda "kimlik doğrulama seremonisi" adı verilen ve açık anahtar doğrulamasının kullanıcılar tarafından farklı bir kanal vasıtasıyla karşılaştırılarak yapıldığı bir meka- nizma bulunur. Ancak, tüm kullanıcıların kimlik doğrulama seremonisini doğru bir şekilde tamamlamasını beklemek iyi bir fikir olarak görünmemektedir. Bu nedenle, bu tezde, blokzincir tabanlı bir açık anahtar altyapısı (PKI) sistemi olan Blockstack plat- formunu kullanarak "BlockSignal" adı verilen Signal Android Messenger tabanlı açık kaynaklı bir güvenli mesajlaşma uygulaması geliştirildi. Böylece, Signal uygulama- sında da bulunan kimlik doğrulama seremonisinin blokzincir vasıtasıyla ortadan kaldı- rılarak kullanıcıların güvenlik çemberinin dışına çıkarılması sağlandı. Bunun yanısıra, kimlik doğrulama problemi haricinde Signal uygulaması üzerinde literatürde mevcut tehdit olasılıklarının bir araya getirildiği bir tehdit modeli oluşturulmuş, BlockSignal uygulamasının güvenlik analizi yapılarak Signal'da karşılaşılabilecek tehditleri berta- raf edilebilecek kabiliyette olduğu gösterilmiştir.
Güvenilir işletim ortamı teknolojisi kullanılarak mobil kimlik uygulaması geliştirilmesi
Nüfus cüzdanlarının yerine kullanılmaya başlanan yeni kimlik kartları elektronik ortamda da kimlik doğrulama amacıyla kullanılabilecek teknolojiye sahiptir. Öte yandan, akıllı kart okuyucusu gereksinimi, yazılım kütüphanesinin mobil işletim sistemlerine uyumlu olmaması gibi nedenlerden ötürü yeni kimlik kartlarının akıllı telefonlar üzerinden kullanımı çok kolay değildir. Bu çalışmada, söz konusu teknik zorlukları aşmak için Android ortamında çalışan bir Mobil Kimlik çözümü tanıtılmaktadır. Çözümümüz, iki temel bileşenden oluşmaktadır. Mobil telefon uygulaması, Güvenilir İşletim Ortamı teknolojisini kullanarak açık anahtar ve özel anahtar çifti üretir. Özel anahtar, Güvenilir İşletim Ortamından çıkmaz ve bu sayede Zengin Android ortamına ilişkin tehditlere karşın korunmuş olur. Masaüstü uygulaması ise, mobil telefondan gelen açık anahtarı kullanıcının kimlik kartında mevcut özel anahtar ile imzalatır (bir anlamda, sayısal sertifika üretmiş olur) ve üçüncü partiler kimlik doğrulama amacıyla mobil telefon uygulamasının ürettiği sayısal imzaları doğrularken açık anahtar ile kullanıcı arasındaki bağın güvenli bir şekilde kurulmasını sağlar. Geliştirdiğimiz çözümün, başta E-devlet uygulamaları olmak üzere mevcut mobil kimlik doğrulama çözümlerine güvenli ve kullanışlı bir alternatif olduğu düşünülmektedir.
Açık anahtar doğrulamasında kullanılan parmak izi ve emniyet numarası yöntemlerinin güvenliğinin ve kullanılabilirliğinin karşılaştırılması
Açık anahtarlı şifreleme, şifreleme ve şifre çözme işlemleri için sırasıyla açık anahtar (public key) ve bu açık anahtardan üretilemeyen bir özel anahtar (private key) olmak üzere iki farklı anahtar kullanılan şifreleme yöntemidir. Bazı sistemlerde, son kullanıcı için açık anahtarlardan türetilen çeşitli arayüzler (örn. SSH fingerprint), bir güvenlik önlemi olarak karşımıza çıkmaktadırlar. Literatürde "açık anahtar doğrulaması" olarak geçen bu probleme farklı çözüm yöntemleri önerilmiştir. Bu yöntemler sayısal sertifika gibi güvenilir üçüncü partilerin kullanımını içeren maliyetli çözümler yerine bu işin kullanıcı tarafından yapılması esasına dayanır. Günlük hayatta kullanılan bazı anlık mesajlaşma uygulamaları da kullanıcılarına açık anahtar doğrulaması yapabilme imkanı tanır. Mobil uygulama geliştiriciler açık anahtar doğrulamayı birbirlerinden farklı arayüzler ile kullanıcılarına sunabilmektedirler. Emniyet numarası ve parmakizi yöntemleri ise, bu uygulamalarda yaygın şekilde kullanılan iki farklı açık anahtar doğrulama şeklidir. Son kullanıcıya yönelik geliştirilmeleri dolayısı ile bu açık anahtar doğrulama yöntemlerinin kullanılabilirliği ve güvenliği temel başarı kriterlerindendir. Uçtan uca şifreleme sağlayan açık kaynaklı bir anlık mesajlaşma uygulaması olan SIGNAL, geçmiş versiyonlarında "parmakizi" ile, güncel versiyonunda ise "emniyet numarası" ile açık anahtar doğrulama yöntemini kullanıcılarına sunmuştur. Parmakizi ile açık anahtar doğrulama yönteminde sisteme kayıt yaptırmış her kullanıcının, açık anahtarından türetilmiş bir parmakizi bulunmaktadır. Emniyet numarası ile açık anahtar doğrulamada ise kullanıcının ve mesajlaştığı kişinin açık anahtarlarından türetilmiş bir tek emniyet numarası ile doğrulama sağlanmaktadır. Tahmin edileceği üzere üretilen bu emniyet numarası oturuma özeldir; yani bir kullanıcının mesajlaştığı her kişiyle farklı bir emniyet numarası bulunmaktadır. Her iki versiyonda da, daha kolay karşılaştırma yapılabilmesi için QR kod tarama seçeneği de bulunmaktadır. Yapmış olduğumuz çalışmada, SIGNAL android uygulaması üzerinden bu iki açık anahtar doğrulama yöntemini, laboratuvar ortamında kullanıcı deneyine tabi tuttuk. 21'er kişilik birbirine benzer iki kullanıcı grubu ile yapılan çalışmada, emniyet numarası ile açık anahtar doğrulama yönteminin gerçekte ne kadar güvenlik ve kullanışlılık sunduğunu, parmakizi ile açık anahtar doğrulama yöntemiyle karşılaştırarak test ettik. Elde ettiğimiz sonuçlar, doğrulama süresi ve kolaylığı noktasında "emniyet numarası" yönteminin "parmakizi" yöntemine göre daha avantajlı olduğunu göstermektedir.
Açık anahtar doğrulamasında kullanılan parmak izi ve emniyet numarası yöntemlerinin güvenliğinin ve kullanılabilirliğinin karşılaştırılması
Açık anahtarlı şifreleme, şifreleme ve şifre çözme işlemleri için sırasıyla açık anahtar (public key) ve bu açık anahtardan üretilemeyen bir özel anahtar (private key) olmak üzere iki farklı anahtar kullanılan şifreleme yöntemidir. Bazı sistemlerde, son kullanıcı için açık anahtarlardan türetilen çeşitli arayüzler (örn. SSH fingerprint), bir güvenlik önlemi olarak karşımıza çıkmaktadırlar. Literatürde "açık anahtar doğrulaması" olarak geçen bu probleme farklı çözüm yöntemleri önerilmiştir. Bu yöntemler sayısal sertifika gibi güvenilir üçüncü partilerin kullanımını içeren maliyetli çözümler yerine bu işin kullanıcı tarafından yapılması esasına dayanır. Günlük hayatta kullanılan bazı anlık mesajlaşma uygulamaları da kullanıcılarına açık anahtar doğrulaması yapabilme imkanı tanır. Mobil uygulama geliştiriciler açık anahtar doğrulamayı birbirlerinden farklı arayüzler ile kullanıcılarına sunabilmektedirler. Emniyet numarası ve parmakizi yöntemleri ise, bu uygulamalarda yaygın şekilde kullanılan iki farklı açık anahtar doğrulama şeklidir. Son kullanıcıya yönelik geliştirilmeleri dolayısı ile bu açık anahtar doğrulama yöntemlerinin kullanılabilirliği ve güvenliği temel başarı kriterlerindendir. Uçtan uca şifreleme sağlayan açık kaynaklı bir anlık mesajlaşma uygulaması olan SIGNAL, geçmiş versiyonlarında "parmakizi" ile, güncel versiyonunda ise "emniyet numarası" ile açık anahtar doğrulama yöntemini kullanıcılarına sunmuştur. Parmakizi ile açık anahtar doğrulama yönteminde sisteme kayıt yaptırmış her kullanıcının, açık anahtarından türetilmiş bir parmakizi bulunmaktadır. Emniyet numarası ile açık anahtar doğrulamada ise kullanıcının ve mesajlaştığı kişinin açık anahtarlarından türetilmiş bir tek emniyet numarası ile doğrulama sağlanmaktadır. Tahmin edileceği üzere üretilen bu emniyet numarası oturuma özeldir; yani bir kullanıcının mesajlaştığı her kişiyle farklı bir emniyet numarası bulunmaktadır. Her iki versiyonda da, daha kolay karşılaştırma yapılabilmesi için QR kod tarama seçeneği de bulunmaktadır. Yapmış olduğumuz çalışmada, SIGNAL android uygulaması üzerinden bu iki açık anahtar doğrulama yöntemini, laboratuvar ortamında kullanıcı deneyine tabi tuttuk. 21'er kişilik birbirine benzer iki kullanıcı grubu ile yapılan çalışmada, emniyet numarası ile açık anahtar doğrulama yönteminin gerçekte ne kadar güvenlik ve kullanışlılık sunduğunu, parmakizi ile açık anahtar doğrulama yöntemiyle karşılaştırarak test ettik. Elde ettiğimiz sonuçlar, doğrulama süresi ve kolaylığı noktasında "emniyet numarası" yönteminin "parmakizi" yöntemine göre daha avantajlı olduğunu göstermektedir.
Açık anahtar doğrulamasında kullanılan parmak izi ve emniyet numarası yöntemlerinin güvenliğinin ve kullanılabilirliğinin karşılaştırılması
Açık anahtarlı şifreleme, şifreleme ve şifre çözme işlemleri için sırasıyla açık anahtar (public key) ve bu açık anahtardan üretilemeyen bir özel anahtar (private key) olmak üzere iki farklı anahtar kullanılan şifreleme yöntemidir. Bazı sistemlerde, son kullanıcı için açık anahtarlardan türetilen çeşitli arayüzler (örn. SSH fingerprint), bir güvenlik önlemi olarak karşımıza çıkmaktadırlar. Literatürde "açık anahtar doğrulaması" olarak geçen bu probleme farklı çözüm yöntemleri önerilmiştir. Bu yöntemler sayısal sertifika gibi güvenilir üçüncü partilerin kullanımını içeren maliyetli çözümler yerine bu işin kullanıcı tarafından yapılması esasına dayanır. Günlük hayatta kullanılan bazı anlık mesajlaşma uygulamaları da kullanıcılarına açık anahtar doğrulaması yapabilme imkanı tanır. Mobil uygulama geliştiriciler açık anahtar doğrulamayı birbirlerinden farklı arayüzler ile kullanıcılarına sunabilmektedirler. Emniyet numarası ve parmakizi yöntemleri ise, bu uygulamalarda yaygın şekilde kullanılan iki farklı açık anahtar doğrulama şeklidir. Son kullanıcıya yönelik geliştirilmeleri dolayısı ile bu açık anahtar doğrulama yöntemlerinin kullanılabilirliği ve güvenliği temel başarı kriterlerindendir. Uçtan uca şifreleme sağlayan açık kaynaklı bir anlık mesajlaşma uygulaması olan SIGNAL, geçmiş versiyonlarında "parmakizi" ile, güncel versiyonunda ise "emniyet numarası" ile açık anahtar doğrulama yöntemini kullanıcılarına sunmuştur. Parmakizi ile açık anahtar doğrulama yönteminde sisteme kayıt yaptırmış her kullanıcının, açık anahtarından türetilmiş bir parmakizi bulunmaktadır. Emniyet numarası ile açık anahtar doğrulamada ise kullanıcının ve mesajlaştığı kişinin açık anahtarlarından türetilmiş bir tek emniyet numarası ile doğrulama sağlanmaktadır. Tahmin edileceği üzere üretilen bu emniyet numarası oturuma özeldir; yani bir kullanıcının mesajlaştığı her kişiyle farklı bir emniyet numarası bulunmaktadır. Her iki versiyonda da, daha kolay karşılaştırma yapılabilmesi için QR kod tarama seçeneği de bulunmaktadır. Yapmış olduğumuz çalışmada, SIGNAL android uygulaması üzerinden bu iki açık anahtar doğrulama yöntemini, laboratuvar ortamında kullanıcı deneyine tabi tuttuk. 21'er kişilik birbirine benzer iki kullanıcı grubu ile yapılan çalışmada, emniyet numarası ile açık anahtar doğrulama yönteminin gerçekte ne kadar güvenlik ve kullanışlılık sunduğunu, parmakizi ile açık anahtar doğrulama yöntemiyle karşılaştırarak test ettik. Elde ettiğimiz sonuçlar, doğrulama süresi ve kolaylığı noktasında "emniyet numarası" yönteminin "parmakizi" yöntemine göre daha avantajlı olduğunu göstermektedir.
Yüksek performanslı bitcoin madenciliği için SHA256 özet algoritmasının eniyilenmesi
2008'in başlarından beri, Bitcoin önemli ölçüde kullanıcının ilgisini çekmekte ve bu merkezi olmayan sanal para biriminin popülerliği her geçen gün artmaktadır. Bitcoin tamamen dağıtılmış, eşten eşe bir sistemdir. Bu nedenle merkezi bir sunucu veya kontrol noktası yoktur. Bitcoin, madencilik adı verilen ve zorlu bir sorunun çözümünü arayan bir süreçle oluşturulur. Bitcoin ağında yer alan herhangi bir katılımcı, bu soruna çözüm bulmaya çalışmak için bilgisayarlarının işlemci gücünü kullanarak madenci olarak çalışabilir. Ortalama olarak her 10 dakikada bir, son 10 dakikalık işlemlerin geçerliliğini doğrulayan yeni bir çözüm, ağda bulunan herhangi bir madenci tarafından bulunmakta ve yeni bitcoinler ile ödüllendirilmektedir. Aslında, Bitcoin madenciliği bir merkez bankasının işlevlerini merkezsizleştirmekte ve herhangi bir merkez bankasının ihtiyacını ortadan kaldırmaktadır. Yıllar boyunca madenciler, Bitcoin maden arenasında ayakta kalabilmek için oldukça yüksek özet işlemi yapma gücüne ihtiyaç duymuşlardır. Madencilik aygıtlarının özet üretme hızı ve enerji tüketimi Bitcoin madenciliğinde kazanç elde etmeyi belirleyen en önemli unsurlardır. Bitcoin madenciliği, tamamen belirli yapıdaki girdinin iki kere SHA256 işlemine tabi tutulmasına dayanmaktadır ve bu işlem için birçok araştırmacı donanım tabanlı optimizasyon yapmayı düşünmüştür. Bitcoin madenciliği için spesifik olan durumlar göz önüne alınarak SHA256 algoritmasının optimizasyonu üzerine çok az araştırma yapılmıştır. Bu çalışmada literatür taraması sonucu elde edilen bazı yöntemler uygulanarak SHA256 algoritmasının hızlanması amaçlanmaktadır. Burada yapılacak olan işlemler genel SHA256 algoritmasında bir hızlandırma yapmamasına rağmen Bitcoin madenciliği için önemli gelişmeler sağlayacaktır. Önerilen iyileştirme metotları Xilinx Virtex-7 FPGA kartında gerçeklenmiştir ve elde edilen kaynak ve güç tüketimi değerlerine göre bu iyileştirme metotlarının uygulanabilir olduğu sonucuna ulaşılmıştır. Tasarlanan sistem sonucunda elde edilen değerlere bakıldığında performans olarak %7'lik bir artış meydana geldiği sonucuna ulaşılmıştır ve bu değere göre de Bitcoin madenciliği için kullanılan iki SHA256 özet fonksiyonunun işlem süresi yaklaşık olarak 1.8611 SHA256 işlem süresine düşmektedir. Bitcoin madenciliğinde en önemli kısıtlayıcı adım olan elektrik tüketiminde de %7'lik bir düşüş olması beklenmektedir. 2016 yılında Bitcoin madenciliği için 400 milyon $'lık elektrik tüketimi yapıldığı kaynaklarda belirtilmektedir ve bu performans artışına göre de 28 milyon $'lık elektrik tasarrufu elde edilebilir. Böylelikle özet üretme hızında bir artış ve enerji tüketiminde bir düşüş sağlanabilmektedir.
Blokzincir kullanılarak kimlik doğrulama seremonisini ortadan kaldıran bir güvenli mesajlaşma uygulamasının geliştirilmesi
Uçtan uca şifreleme, genelde açık anahtar kriptografisine dayanan ve birçok güvenli mesajlaşma uygulamasında kullanılan bir güvenlik özelliğidir. Bu sayede, iletilen me- sajlar, tarafların katkısıyla oluşturulan ortak bir anahtar vasıtasıyla şifrelenerek iletilir. Bu özelliğe sahip bir uygulamada, bir kullanıcının açık anahtarı, cihaz veya SIM kart değişikliği ve uygulamanın yeniden kurulması gibi sebeplerle değişebileceği gibi, olası bir saldırı nedeniyle de farklılık gösterebilir. Bu yüzden, muhtemel saldırıları önlemek ve iletişimin güvenli olduğundan emin olmak adına yeni açık anahtarın doğrulanması gerekir. Bu amaçla, birçok güvenli mesajlaşma uygulamasında, açık anahtar değişikliği durumunda "kimlik doğrulama seremonisi" adı verilen ve açık anahtar doğrulamasının kullanıcılar tarafından farklı bir kanal vasıtasıyla karşılaştırılarak yapıldığı bir meka- nizma bulunur. Ancak, tüm kullanıcıların kimlik doğrulama seremonisini doğru bir şekilde tamamlamasını beklemek iyi bir fikir olarak görünmemektedir. Bu nedenle, bu tezde, blokzincir tabanlı bir açık anahtar altyapısı (PKI) sistemi olan Blockstack plat- formunu kullanarak "BlockSignal" adı verilen Signal Android Messenger tabanlı açık kaynaklı bir güvenli mesajlaşma uygulaması geliştirildi. Böylece, Signal uygulama- sında da bulunan kimlik doğrulama seremonisinin blokzincir vasıtasıyla ortadan kaldı- rılarak kullanıcıların güvenlik çemberinin dışına çıkarılması sağlandı. Bunun yanısıra, kimlik doğrulama problemi haricinde Signal uygulaması üzerinde literatürde mevcut tehdit olasılıklarının bir araya getirildiği bir tehdit modeli oluşturulmuş, BlockSignal uygulamasının güvenlik analizi yapılarak Signal'da karşılaşılabilecek tehditleri berta- raf edilebilecek kabiliyette olduğu gösterilmiştir.
Metin tabanlı insan etkileşim ispatı sistemleri için insan hesaplama kullanımı
İnsan Etkileşim İspatı (İEİ) testleri, otomatik saldırıları azaltmak için kullanılır. Bu testlerin insanlar tarafından kolaylıkla geçilebildiği fakat bilgisayar veya otomatik programlar tarafından geçilemeyecek şekilde tasarlandığı düşünülmektedir. Güvenlik ve kullanışlılık İEİ'ler için her zaman kritik bir problem olmuştur. Özellikle "erişilebilirlik" bir sistem gereksinimi olduğunda bu ihtiyaçlar daha ön plana çıkmaktadır. İşitsel İEİ'ler ya otomatik olarak çözülebilecek şekilde çok kolay, ya da insanların bile çözemeyeceği şekilde çok zor olup, genellikle meşru kullanıcılarla saldırganları güvenilir bir şekilde ayırt edemezler. Metin tabanlı İEİ'lerin kullanışlılık ve erişilebilirlik özellikleri tam istenilen şekilde olsa bile güvenlik sorunu henüz çözülememiştir. Metin tabanlı İEİ'leri üretmek için tamamen otomatik teknikleri kullanan güvenli bir sistem olmadığı göz önünde bulundurularak, bu tez çalışmasında güvenli şekilde metin tabanlı İEİ üretebilmek için insan hesaplamanın kullanılması önerilmiştir. Bu çalışmada halihazırda kullanımda olan metin tabanlı bir İEİ sisteminin, textCAPTCHA'nın, kullanışlılığı Google'ın reCAPTCHA servisi ile karşılaştırılmıştır. Sonuçlar incelendikten sonra, SMARTCHA adında yeni bir sistem tasarlanmış ve uygulamaya geçirilmiştir. SMARTCHA, insanlar tarafından üretilen İEİ'lerin güvenli olduğunu anlayabilmek için otomatik olarak proaktif kontroller gerçekleştiren bir güvenlik motoru ve İEİ sorularının sayısını artırmak için insan hesaplama ile otomatik yöntemleri birleştiren bir modül içermektedir. Üç adet insan hesaplama çalışması yapılmış ve bu çalışmalarda İEİ operatörlerinden yararlanılmıştır. İEİ operatörleri SMARTCHA sistemi için toplamda yaklaşık 22.000 soru üretmişlerdir. Bu insan hesaplama çalışmalarının yöntemi, verimliliği ve sonuçları detaylı olarak analiz edilmiştir. SMARTCHA sisteminin kullanışlılığı 372 kullanıcının katıldığı geniş bir kullanıcı çalışmasıyla değerlendirilmiştir. Kullanıcılar SMARTCHA'nın metin tabanlı İEİ'lerini çözmeyi görsel reCAPTCHA İEİ'lerini çözmeye göre istatistiksel anlamlı bir şekilde daha eğlenceli bulmuşlardır. Bu çalışmada ayrıca, soru ön filtreleme ve otomasyon teknikleri kullanımının etkileri de incelenmiştir. Sonuçlara göre soru ön filtreleme SMARTCHA testlerinin çözülme süresini kısaltırken, otomasyon teknikleri uygulamak bu süreyi artırmaktadır. 31 adet görme engelli kullanıcı arasında yapılan başka bir kullanıcı çalışması da SMARTCHA'nın erişilebilirlik yönünden değerlendirilebilmesini sağlamıştır. Çalışma sonucuna göre SMARTCHA İEİ'lerini çözmek, yeni sürüm işitsel reCAPTCHA İEİ'lerini çözmeye göre daha eğlencelidir ve daha kısa zaman almaktadır. Her iki çalışma da metin tabanlı İEİ'lerin güvenli, kullanışlı ve erişilebilir İEİ'ler elde edebilmek için gelecek vaat ettiğini göstermektedir.
Charpattern: rethinking android lock pattern to adapt to remote authentication
Android Lock Pattern is popular as a screen lock method on mobile devices but it cannot be used directly over the Internet for user authentication. In this thesis, we carefully adapt Android Lock Pattern to satisfy the requirements of remote authentication and introduce a new pattern based method called charPattern. Our new method allows dual mode of input (typing a password and drawing a pattern) hence accommodate users who login alternately with a physical keyboard and a touchscreen device. It uses persuasive technology to create strong passwords which withstand attacks involving up to 10^6 guesses; an amount many experts believe su cient against online attacks. We conduct a hybrid lab and web study to evaluate the usability of the new method and observe that logins with charPattern are signi cantly faster than the ones with text passwords on mobile devices.