Dinâmica da Digitação Aplicada a Ambientes Web

Transcrição

1 Dinâmica da Digitação Aplicada a Ambientes Web Rodrigo S. Pavezi 1, Douglas D. J. De Macedo 1, Rafael Andrade 1, Aldo von Wangenheim 1 1 Laboratório de Telemedicina Universidade Federal de Santa Catarina (UFSC) Caixa Postal Florianópolis SC Brasil {rsp,macedo,andrade,awangenh}@inf.ufsc.br Abstract. The information systems that need access restriction are usually based in user name and password, as its use requirement. That authentication process makes the nowadays systems considered unsafe. The authentication data loss and/or the robbery are the problem with this security process. Thinking about this problem and in some way to solve it, that the present work aims to develop and study the keystroke dynamic biometric technique as well as the creation of a user authentication system towards the web environment. Resumo. Sistemas de informações que necessitam de uma restrição de acesso são normalmente baseados em nome de usuário e senha como requisito para a sua utilização. Tal processo de autenticação faz com que os sistemas sejam atualmente considerados pouco seguros. O problema desse processo de segurança tem sido a perda ou o roubo dos dados de autenticação. Foi pensando neste problema e, em alguma forma de resolvê-lo, que o presente trabalho visa desenvolver um estudo da técnica biométrica dinâmica da digitação, bem como a criação de um sistema de identificação e autenticação de usuários voltados para ambiente web. 1. Introdução Pessoas que utilizam a Internet em seu cotidiano necessitam de aplicações que lhe garantam consideráveis níveis de segurança para a proteção das informações, como dados bancários, que são acessadas durante a navegação. Esta segurança deve ser oferecida pelos sistemas que guardam e gerenciam tais informações, mas num mundo onde a web faz parte da vida das pessoas, proteger os dados é uma tarefa bastante custosa. Ou seja, com a web, pessoas e empresas se abriram para o mundo, conseqüentemente o risco de informações privadas serem acessadas por indivíduos sem permissão aumentou consideravelmente. Alguns desses sistemas como, o prontuário eletrônico de paciente (PEP), bancos on-line e gerenciadores de , exigem uma preocupação muito grande por parte das empresas que administram essas informações. Porém, com o crescimento dos ataques por parte de usuários mal intencionados, vê-se a necessidade de criação de mecanismos de controle de acesso e autenticação mais eficientes. Sendo que esta é uma das áreas que atrai grande interesse de pesquisadores nos últimos anos [Beznosov 1999]. Uma das formas de elevar os níveis de segurança é a utilização de técnicas biométricas, com o objetivo de aumentar a segurança entre usuários e sistemas. De acordo com Faundez-Zanuy (2006), a palavra biometria vem das palavras gregas: bios (vida) e metrikos (medida). Ela é uma ciência que envolve uma análise

2 estatística das características biológicas, estudando as características físicas e comportamentais do ser humano com o intuito de identificá-lo. Como exemplo das técnicas que utilizam características físicas, pode-se citar: impressão digital, íris, retina, entre outras. Já no caso das que utilizam as características comportamentais, pode-se citar: dinâmica da digitação e o reconhecimento da assinatura. Estudos sobre o corpo humano indicam que é possível capturar a biometria dos indivíduos, criar uma aplicação de segurança que analise as características biológicas capturadas e assim fazer uma verificação da identidade única de um indivíduo. Esse sistema nada mais é que um sistema de autenticação de pessoas [Moore 2007]. Geralmente os usuários esperam que um sistema desses não seja invasivo ou constrangedor, pois suas características comportamentais ou fisiológicas estão em processo de avaliação e todo cuidado deve ser tomado na criação de um sistema baseado em biometria. O custo aliado aos níveis de segurança que serão implantados são requisitos de extrema importância para sistemas. Por este motivo, analisar qual técnica biométrica se adapta melhor ao sistema é de fundamental importância para o sucesso do projeto. Umas das técnicas biométricas que vem sendo muito utilizada é a impressão digital, tanto pelo fato desta técnica ter um custo acessível, como também, por ter uma precisão aceitável [Moore 2007]. Outras técnicas como identificação pela íris ou reconhecimento pela retina são técnicas de custo elevado, mas que tem um alto grau de precisão. Um dos fatores do custo elevado vem da necessidade de um hardware próprio para o sistema, principalmente das técnicas de biometria física. Já algumas técnicas de biometria comportamental não precisam de um hardware próprio. Como exemplo, pode-se citar o reconhecimento de voz que necessita de apenas um simples microfone e um computador para captura do sinal da voz [Magalhães et al. 2005]. Para aplicações em ambiente web, a utilização da técnica de impressão digital não seria muito viável, pois necessita de um equipamento para ler a impressão. Isso implica diretamente na aquisição de leitores de impressão digital para todos os computadores com acesso a Internet, o que possivelmente inviabilizaria sua utilização em larga escala. Outra técnica biométrica é a dinâmica da digitação (Keystroke Dynamics), a qual é baseada no comportamento do ser humano ao digitar um texto em um teclado. Ao mesmo tempo ela é uma das técnicas de baixo custo, pois não necessita de um equipamento especial. Jarmo Ilonen (2003) define dinâmica da digitação como uma biometria baseada na suposição em que pessoas diferentes digitam de maneiras características. Em seus estudos, ele também relata que no século 19, os operadores de telégrafo já tinham padrões de telegrafar, os quais eram utilizados para o reconhecimento. Isso caracteriza o marco inicial da idéia de dinâmica da digitação. Ao pensar na utilização da dinâmica da digitação, logo vê-se que a implementação dessa técnica tem a intenção de aumentar o nível de segurança em vista do que já vem sendo utilizado, ou seja, a autenticação de usuários com o uso de nome de usuário e senha. Desta forma, a inclusão desse processo não deve causar mudanças elevadas tanto para os usuários finais, como também para os sistemas que venham a utilizar a dinâmica da digitação. Assim como em outras técnicas biométricas, a dinâmica da digitação necessita de um algoritmo de classificação, que é o principal responsável pelo funcionamento

3 dessa técnica. Um classificador é uma entidade que utiliza conhecimentos préadquiridos durante um treinamento para classificar objetos a partir de características. No caso da dinâmica da digitação, o classificador é treinado com os tempos de digitação de um determinado usuário, ou com outras características do comportamento do digitador. Neste caso, o sistema pode verificar se um conjunto de características pertence ou não a um usuário conhecido. Alguns algoritmos de classificação se utilizam de métricas de distância como avaliadores de similaridades entres os objetos a serem classificados. De tal forma, objetos são descritos como entidades dimensionais e com isso algoritmos de cálculo de distância espacial podem ser utilizados. Após a implementação de uma técnica biométrica é necessário mensurar o quão essa técnica é viável ou não para a utilização, pois qualquer algoritmo inteligente (algoritmo da área de inteligência artificial) tem suas restrições. Assim sendo, duas formas de avaliação são utilizadas: FAR (Falsa Aceitação) e FRR (Falsa Rejeição). Mais detalhes na seção Parâmetros de Avaliação. No presente trabalho é desenvolvido um sistema de autenticação baseado na técnica biométrica dinâmica da digitação. Este sistema foi implementado em versão para Internet com a utilização da linguagem de programação Java e a interface web implementada com a tecnologia Java Applet. Para a classificação, ou seja, o reconhecimento do padrão de digitação dos usuários do sistema foi utilizada a técnica de reconhecimento de padrões k vizinhos mais próximos (K-Nearest Neighbor K- nn) [Dasarathy 1991] e o cálculo da distância euclidiana como métrica de distância. Este artigo é composto por 5 seções, onde a seção 1 apresenta a introdução e a definição do problema. Na seqüência, a seção 2 sintetiza os trabalhos relacionados ao tema proposto. A seção 3 apresenta a metodologia proposta para o desenvolvimento da pesquisa. Na seção 4 os resultados dos testes e avaliações são expostos. O documento encerra com a seção 5, onde há a conclusão do trabalho, além de apresentar possíveis complementos à pesquisa, a título de trabalhos futuros. 2. Trabalhos Relacionados Conforme Jarmo Ilonen (2003) há várias maneiras de medir a dinâmica da digitação quando os usuários digitam em um teclado normal de um computador. Algumas das maneiras são: o intervalo de tempo entre o pressionamento de teclas consecutivas; o tempo que uma tecla fica pressionada; o tempo total da digitação; a freqüência da digitação de teclas erradas; o hábito de usar teclas diferentes do teclado. Revett et al. (2005) citado por Magalhães et al. (2005), concluiu que dividindo o teclado de um computador em setores, reduz-se a taxa de sucesso de impostores (False Acceptance Rate - FAR). As senhas que têm caracteres em diferentes setores forçam os usuários a utilizarem teclas que estão dispersas pelo teclado, garantindo uma melhor captura do ritmo de digitação dos usuários.

4 Além da forma de captura também se utiliza o processo de captura, ou seja, o treinamento do classificador. Dois tipos de processos podem ser utilizados: a utilização da digitação de um texto durante o treinamento [Curtin 2006]e a utilização da própria senha cadastrada pelo usuário [Cho 2000]. Gaines et al. (1980) realizaram um dos primeiros estudos sobre a aplicação da dinâmica da digitação em um processo de autenticação [Monrose & Rubin 2000]. Foram feitos testes com sete secretárias, utilizando três textos que continham de 300 a 400 palavras. O classificador utilizava uma técnica de reconhecimento de padrões estatística baseada na capturas dos tempos de digitação. Os testes resultaram em um índice FAR de 0% e um índice FRR de 4%. No começo da década de noventa Joyce e Gupta (1990) testaram a utilização da dinâmica da digitação com 33 usuários. Os padrões dos usuários eram capturados por meio da digitação do nome do usuário, senha e primeiro e segundo nomes. O sistema era composto por uma etapa de treino com 8 repetições e outra de teste com 5 repetições. Para a classificação foi utilizado um classificador baseado em estatística. Os resultados obtidos nos testes apresentaram um índice FAR de 0,25% e um índice de FRR de 16,67%. Haider, Abbas e Zaidi (2000) em seus estudos utilizam a captura dos tempos de pressionamento entre as teclas. O padrão de digitação do usuário foi formado por n-1 vetores, sendo n, o número de dígitos que compõe a senha. Também se trabalhou com um classificador que utilizava três diferentes técnicas de reconhecimento de padrões: lógica fuzzy, redes neurais e métodos estatísticos. As avaliações foram feitas sobre cada técnica separadamente e sobre a união das três técnicas. Os testes mostraram que a união das três técnicas no processo de classificação obteve um melhor resultado do que a utilização de qualquer uma delas separadamente. Em relação à utilização em separado a técnica que obteve o melhor resultado foi à baseada em métodos estatísticos. Foram feitos dois testes: no primeiro a rejeição de acesso ao sistema na primeira tentativa de ingresso do usuário era contabilizada como erro e no segundo teste os usuários tinham duas chances de acesso. Os resultados mostraram que geralmente os usuários válidos são rejeitados na primeira vez [Haider 2000]. No trabalho de Cho (2000), foi desenvolvido um sistema para ambiente web, que foi desenvolvido com duas técnicas de classificação: medida de distância do vizinho mais próximo e uma rede MLP (Multi Layer Perceptron). Os testes foram feitos com 21 usuários que tiveram um número de padrões de treinamento variando entre 76 a 388. Os resultados apontaram por uma superioridade da rede MLP sobre a medida de distância. A média do erro para falsa rejeição no caso da MLP foi de 1,0% e da técnica do vizinho mais próximo foi de 19,5%, quando o índice de erro para falsa aceitação era igual a 0,0%. Cavalcanti (2005) mostrou em seu trabalho, a típica extração do ritmo de digitação do usuário. A técnica utilizada foi capturar os tempos de pressionamento de cada tecla e o intervalo de tempo entre o pressionamento dessas teclas. Também foi desenvolvido um sistema que utiliza uma normalização e uma seleção baseada no desvio padrão das características capturadas. Esses dois passos são feitos antes da aplicação de uma medida de distância como classificadora. Os resultados mostraram que com o índice de falsa aceitação igual a zero, o erro falsa rejeição atingiu 6,04% quando utilizadas a normalização e a seleção. Já sem os dois passos, o erro de falsa

5 rejeição atingiu 30,99%. Nos estudos de Yingpeng Sang et al. (2004) foi utilizada a técnica de reconhecimento de padrões máquina de vetor suporte (Support Vector Machine - SVM), aplicada em duas formas diferentes, ou seja, um algoritmo SVM de duas classes e outro de uma classe. O sistema foi dividido em três fases: pré-processamento dos dados, aprendizado e classificação. Na fase de pré-processamento foi feito a captura dos padrões dos impostores e dos usuários autorizados. Os testes foram feitos durante um mês com dez participantes como usuários autorizados e cinco como impostores. Os usuários cadastravam dois tipos de senha, uma senha alfabética e outra numérica. Ambas com dez dígitos. Os resultados dos testes obtidos foram um FAR de 10,0 % para as senhas alfabéticas e de 20,0 % para as senhas numéricas, utilizando o algoritmo de duas classes. Já o algoritmo de uma classe, obteve um FAR de 2,0 % para as senhas alfabéticas e 10,0 % para as senhas numéricas. Isso demonstrou que o algoritmo SVN de uma classe teve um resultado melhor do que o algoritmo com duas classes. Modi e Elliott (2006) demonstram a aplicação da dinâmica da digitação utilizando uma senha gerada espontaneamente. As características dos indivíduos são capturadas com um treinamento repetitivo utilizando quinze palavras diferentes. Cada indivíduo repete dez vezes a digitação das quinze palavras. Depois é gerada uma senha que corresponde a uma combinação das quinze palavras anteriormente digitadas. Para cada letra pertencente à combinação, é feito um levantamento das ocorrências durante a digitação das quinze palavras e somente são considerados os tempos capturados em cada ocorrência. Foram feitas diferentes classificações, onde os melhores resultados foram um FAR de 0,33% e FRR de 94,87. Isso mostrou que a utilização de um gerador de senhas espontâneas não seria aceitável num cenário real. 3. Metodologia Proposta A dinâmica da digitação aplicada em ambiente web pode ser considerada uma forma de autenticação biométrica baseada em comportamento. A utilização desta metodologia pode prover uma maior segurança em aplicações que necessitam de acesso seguro. Esta seção está dividida em duas subseções onde a primeira apresenta uma visão do algoritmo de classificação e reconhecimento de padrões (k-nn), e define os parâmetros de avaliação, como falsa aceitação e falsa rejeição. Na segunda, será apresentada uma visão geral do sistema, da arquitetura e do modelo da aplicação desenvolvida. De acordo com Cavalcanti (2005), o ritmo de digitação dos usuários pode ser capturado a partir de duas diferentes medidas que contabilizam o tempo: uma contabiliza o tempo que o usuário mantém cada tecla pressionada e a outra contabiliza o intervalo de tempo entre uma tecla e outra quando pressionadas consecutivamente. A diferença entre os dois modos de captura é demonstrada na figura 1, onde pode-se visualizar uma seqüência de letras digitadas durante um espaço de tempo.

6 Figura 1 - Captura dos tempos da digitação [Cavalcanti 2005]. Após a captura do ritmo de digitação, os tempos formam um vetor caracterizado como o padrão do usuário para o sistema classificador. Esse vetor composto pelos tempos tem um tamanho dependente da quantidade de teclas que foram pressionadas. Com isso, pode-se formar uma equação onde com n teclas pressionadas, o tamanho do vetor ou a quantidade de tempos vai ser igual a 2n 1. Por exemplo, uma senha de seis caracteres formará um vetor composto por 11 tempos, sendo que seis são tempos de pressionamento de teclas e cinco são intervalos de tempos entre teclas pressionadas consecutivamente. A classificação foi efetuada utilizando o algoritmo K-nn, um algoritmo de aprendizado supervisionado pertencente a área de reconhecimento de padrões. O algoritmo necessita que os padrões estejam representados na forma de objetos do espaço dimensional, ou seja, na forma de um vetor de n dimensões. O K-nn classifica os padrões dos k vizinhos mais próximos do conjunto de treinamento, ou seja, dado um padrão x, são encontrados os k padrões contidos no conjunto de treinamento mais próximo de x. Diante disto, a classe mais freqüente dentre os k padrões será atribuída ao padrão x. Para encontrar os k vizinhos mais próximos, o algoritmo usa uma técnica de medida de distância. Dentre diversas técnicas de medidas de distância, nesse trabalho será usada à distância euclidiana, que pode ser obtida pela expressão abaixo, onde DE representa a distância euclidiana, x i o valor de um elemento do primeiro vetor, y i o valor de um elemento do segundo vetor e n o número de dimensões. A figura 2 demonstra essa classificação, sendo que o ponto X u é o padrão a ser classificado e cada seta representa a ligação com os seus vizinhos mais próximos. Neste caso, como a variável k foi atribuída com o valor cinco, o algoritmo K-nn encontrou os cinco pontos mais próximos de X u. Sendo que dos cinco mais próximos, quatro pertencem à classe dos padrões representados por círculos e, um pertence à classe representada por quadrados. O padrão X u será classificado como um ponto pertencente à classe ω 1 (omega 1), pois ele se encontra mais próximo dos pontos dessa classe do que dos demais.

7 Figura 2 - Um padrão X u e seus vizinhos mais próximos. Para se classificar é preciso construir o classificador, o qual é construído com os dados do treinamento. Isso torna o K-nn um algoritmo que precisa de uma grande capacidade de armazenamento, onde o aumento é proporcional à quantidade de usuários cadastrados no sistema. O valor da variável k deve ser bem selecionado, pois um valor muito alto aumenta a dissimilaridade entre os padrões e um valor muito pequeno pode fazer com que a classificação não seja confiável. A idéia de desenvolver o algoritmo K-nn vem da tentativa de proporcionar uma classificação a partir de um confronto entre os padrões treinados. Onde, todos os padrões capturados de todos os usuários serviram de comparação para a classificação. Isso faz como que o conjunto dos padrões, ou também chamado de descritor conceitual, esteja na memória em tempo de execução da classificação. Nesse trabalho o tamanho da senha foi limitado a seis caracteres alfa-numéricos pelo fato que a medida de distância utilizada pelo algoritmo K-nn aceita somente padrões de mesma dimensão. Com isso todos os padrões dos usuários são formados por um vetor de 11 (onze) tempos. O tamanho da senha poderia ser alterado para qualquer dimensão, mas todos os usuários deveriam utilizar a mesma quantidade de caracteres. 3.1 Parâmetros de Avaliação Toda técnica biométrica tem as suas vantagens e desvantagens: nenhum aprendizado de máquina ou cálculo estatístico é 100% correto e sempre se tem uma margem de erro. O importante é saber se essa margem de erro afeta, de maneira considerável, a utilização do sistema que implementa a técnica biométrica [Moore 2007]. Um sistema de autenticação não pode aceitar intrusos, como também, não pode rejeitar os verdadeiros usuários do sistema. Tais situações devem ser testadas e analisadas como erros da técnica desenvolvida. De acordo com Cavalcanti (2005) uma forma de testar uma técnica especifica, é avaliar os erros: Falsa Aceitação (FAR): quando um sistema de autenticação aceita ou autentica um impostor como um usuário cadastrado no sistema;

8 Falsa Rejeição (FRR): quando um sistema de autenticação rejeita um usuário válido cadastrado no sistema. Em um sistema de autenticação as simulações são realizadas com os possíveis usuários que utilizaram o sistema. Cada usuário deve ser cadastrado no sistema e o algoritmo de aprendizado de máquina deve aprender o padrão correspondente ao usuário. Essa fase é chamada de treinamento. Depois do treinamento o usuário testa se o sistema o reconhece como um usuário válido. Se por um acaso o sistema rejeitar o usuário válido, um erro de FRR é constatado. Outro teste é feito para verificar o FAR, nesse caso, um intruso tenta obter acesso com os dados do usuário válido, caso ele obtenha acesso o erro FAR é constatado. 3.2 Visão Geral do Sistema A dinâmica da digitação aplicada ao ambiente web tem como vantagem dar uma maior segurança para portais e aplicações web. Na figura 3 é mostrado o diagrama de atividades do sistema desenvolvido. Nesse diagrama é possível visualizar o módulo de autenticação, o qual é dividido em dois processos separados que representam páginas diferentes no sistema. Quando um novo usuário se cadastrar no sistema é necessário que ele faça um treino, que nada mais é, a digitação repetitiva da senha que ele mesmo escolheu. Durante a fase de treino o usuário entra com um nome de usuário e escolhe uma senha que deve ser composta por seis dígitos e digitada repetidamente pelo menos 5 vezes. Esse limite de seis dígitos foi imposto devido à limitação do algoritmo em trabalhar com vetores diferenciados em relação ao tamanho, mas poderia ser qualquer quantidade de caracteres. Após o treino o padrão de digitação e o nome do usuário são armazenados no banco de dados. Usuários já cadastrados no sistema acessam diretamente a tela de login. Para acesso, basta que o usuário entre com nome de usuário e a senha, mas essa deve ser digitada como foi previamente cadastrada na situação de treino. Após a captura dos tempos na entrada da senha, o sistema procura pelo usuário no banco de dados e, se o usuário existir, então o sistema faz a classificação utilizando a dinâmica de digitação. Esse processo é o diferencial do modelo usual de autenticação. Ao termino da classificação, se o usuário for classificado como verídico, então é liberado o acesso ao sistema para o usuário. Caso contrário, o sistema rejeita o usuário (figura 3). Para a captura dos tempos foi utilizada uma função que se baseia no ciclo do processador e tem uma precisão de nano segundo.

9 Figura 3 Diagrama de atividades. Para a implementação do presente trabalho foi utilizado a linguagem de programação orientada à objetos Java, principalmente pela necessidade de se utilizar um Java Applet. De acordo com Cho (2000), Applet é a melhor tecnologia para ser utilizada nestes casos, por ter um baixo custo, ter um linguagem base orientada à objeto e ser multiplataforma. Outra questão, é que para se capturar os tempos de digitação a partir do navegador é necessário que a linguagem tenha uma boa biblioteca de captura de eventos e outra de cálculo de tempo. O Applet tem as duas propriedades, podendo-se tratar facilmente os eventos gerados pelo teclado selecionando as teclas que influenciam na captura dos tempos. A Tabela 1 mostra a comparação entre as tecnologias: criação de plug-in para o navegador, utilização do Active-X e utilização do Java Applet. Tabela 1 - Comparativo entre tecnologias [Cho, 2000].

10 O sistema proposto é composto por duas páginas com Applet e um servidor RMI (Remote Method Invocation). Os Applets de treinamento e de acesso tiveram que ser assinados digitalmente por causa da conexão entre eles com o servidor RMI. É com o uso dessa conexão que os dados do usuário são enviados para o servidor. A Figura 4 demonstra a arquitetura do sistema. Como se trata do ambiente web, ou seja, uma situação de cliente-servidor, o navegador forma a parte cliente juntamente com o Java Applet, o qual se comunica com o servidor de duas formas: uma através do navegador e outra por meio de uma conexão remota com um servidor RMI. Esse servidor RMI faz a conexão com o banco de dados e a classificação dos usuários. Figura 4 - Arquitetura do sistema. 4. Resultados Foi efetuado um teste prático para a avaliação do sistema e do classificador K-nn. Nesse teste, os usuários se cadastravam no sistema e depois tentavam obter o acesso. Cada usuário também deveria efetuar uma tentativa de acesso com o nome de usuário e senha de outro usuário cadastrado no sistema. Para avaliar o algoritmo de classificação foram feitos dois testes: um com uma entrada de cinco repetições no treinamento e outro com uma entrada de dez repetições no treinamento. Para o treinamento com cinco repetições foi atribuído o valor 5 (cinco) para o k do classificador, ou seja, o classificador K-nn procurou os cinco padrões mais semelhantes. Já para o treinamento com dez repetições foi atribuído o valor 10 (dez) para o k. Para computar a avaliação, nas telas de aceitação e rejeição de acesso, foi adicionado um formulário, que servia para saber se o usuário que foi rejeitado ou aceito era um usuário válido ou um intruso tentando ter acesso. Cada vez que um usuário válido era rejeitado, um erro de falsa rejeição (FRR) era computado. Quando um intruso era aceito pelo sistema, um erro de falsa aceitação (FAR) era computado. Os testes foram feitos com um total de 20 (vinte) usuários e 100 (cem) tentativas. Cada pessoa fez o seu cadastro nos dois sistemas, com cinco e com dez repetições da senha durante o treinamento. Depois, cada pessoa tinha uma tentativa de acessar com o seu próprio usuário e outra tentativa de acessar com os dados de outro usuário, ou seja, como um intruso. Em alguns casos houve repetição desse

11 procedimento de acesso. A Tabela 2 mostra as variáveis estatísticas e os resultados obtidos em cima dos testes realizados. A principal comparação é feita sobre os valores de erros (FAR e FRR) e a quantidade de repetições durante o treino. Nos outros valores vê-se a relação entre a quantidade de tentativas como usuário verídico e como usuário intruso, onde dessas tentativas têm-se a quantidade de falsa aceitação e falsa rejeição. Tabela 2 - Resultados dos testes. Quantidade de tentativas Tentativas como verídico Tentativas como intruso Quantidade de falsa aceitação Quantidade de falsa rejeição 5 repetições no treino ,00% 26,00% 10 repetições no treino ,00% 30,00% Na Figura 4 é mostrado um comparativo entre os erros do tipo FAR e FRR que ocorreram durantes os testes com cinco e com dez repetições. Foi percebido que entre os dois testes houve um aumento de 6% no valor do tipo de erro FAR e um aumento de 4% no tipo de erro FRR. Isso demonstra que o aumento de repetições durante o treinamento fez com que o sistema aceitasse mais usuários intrusos e rejeitasse mais usuários verídicos. FAR FRR 35,00% 30,00% 25,00% 26,00% 30,00% 20,00% 15,00% 16,00% FAR FRR 10,00% 10,00% 5,00% 0,00% 5 repetições no treino 10 repetições no treino Figura 5 Gráfico comparativo dos testes. 5. Conclusões e Trabalhos Futuros O estudo da dinâmica da digitação e outras técnicas biométricas mostram que a técnica da dinâmica da digitação é uma técnica de custo baixo, mas que garante uma elevação significativa nos níveis de segurança dos sistemas. Isso é fundamental para sistemas que estão na web. A cada dia mais sistemas estão sendo criados na Internet e o sistema protótipo criado neste trabalho pode perfeitamente ser utilizado em produção, pois a sua arquitetura garante um bom funcionamento.

12 A intenção de combater o padrão de um usuário com o outro, utilizando a técnica de classificação K-nn, não obteve bons resultados se comparado com os trabalhos relacionados. Pode-se observar que os testes com o sistema que tinha um treinamento com cinco repetições obtiveram uma taxa menor de erro aos testes que tinham treinamento com dez repetições. Isso mostrou que o valor 10 (dez) atribuído ao k no sistema com dez repetições fez o classificador ficar menos especifico, ou seja, o algoritmo escolhe os dez padrões mais próximos, em vez de 5 (cinco). Assim, a probabilidade de escolher padrões de diferentes usuários aumenta, pois o algoritmo utiliza um descritor conceitual formado por todos os padrões de todos os usuários. Os padrões de diferentes usuários podem ser similares ao ponto do algoritmo não conseguir separá-los em duas classes. Outra causa é o fato dos usuários terem uma maior discrepância entre os padrões capturados no treino com dez repetições, pois a digitação repetitiva se torna cansativa ao passo que as repetições aumentam. Pelo motivo da técnica não ser cem por cento precisa, ela teria de ser desenvolvida juntamente com outro parâmetro de entrada que permita o acesso do usuário ao sistema mesmo que o padrão não fosse reconhecido. Esse parâmetro poderia ser retirado de informações pré-cadastradas pelo usuário como a data de nascimento, nomes familiares ou uma resposta a uma pergunta conhecida. Desta forma, no momento que o sistema rejeitasse o usuário, mas com os parâmetros nome de usuário e senha correto atualmente verificado, uma pergunta seria feita ao usuário para confirmar sua autenticidade e liberar o acesso ao sistema. Para trabalhos futuros é importante o desenvolvimento de um classificador que venha a melhorar o processo de classificação. Esse classificador poderia ser desenvolvido com a característica de verificar uma pequena mudança temporal do padrão do usuário e aprender com essa mudança. Pode-se também, melhorar a etapa de treinamento, sendo que, no lugar de treinar o usuário no cadastro, o treino seria realizado durante os primeiros acessos do mesmo no sistema para evitar a discrepância dos tempos capturados causado pelo cansaço e melhorar a representação do padrão do usuário. Referências Beznosov, K.; Deng, Y.; Blakley, B.; Burt, C. e Barkley, J. A Resource Access Decision Service for CORBA-based Distributed Systems, Proceedings. of the 15th Annual Computer Security Applications Conference (ACSAC '99)., (1999), Cavalcanti, George D. C.; Pinheiro, Eggo H. F.; Carvalho, Edson C. B. (2005) Um sistema de verificação de identidade pessoal através de dinâmica da digitação. Em XXV Congresso da Sociedade Brasileira de Computação. Cho, Sungzoon et al. (2000) Web based Keystroke Dynamics Identity Verification using Neural Network. Em Journal of Organizational Computing and Electronic Commerce, v. 10, n. 4, p Curtin, Mary et al. (2006) Keystroke Biometric Recognition on Long-Text Input: A Feasibility Study. Proc. Int. Workshop Sci Comp/Comp Stat (IWSCCS 2006), Hong Kong, June Dasarathy, B. V. (1991) "Nearest neighbor pattern classification techniques, Em IEEE Computer Society Press, 1991.

13 Faundez Z., M. (2006) Biometric security technology, IEEE Aerospace and Electronic Systems Magazine, v. 21, n. 6, p Gaines R, Lisowski W, Press S, Shapiro N. (1980) Authentication by keystroke timing: some preliminary results, Rand Report R-256-NSF. Rand Corporation. Haider, S.; Abbas, A.; Zaidi, A.K. (2000) A multi-technique approach for user identification through keystroke dynamics. Systems, Man, and Cybernetics, IEEE International Conference on, v. 2, p Ilonen Jarmo (2003) Keystroke Dynamics, Disponível em: Acessado em: 08/09/2007. Joyce, R., Gupta, G. (1990) Identity Authentication Based on Keystroke Latencies, Communications of the ACM, v. 33, p Magalhães, S. T.; Revett, Kenneth; Santos, Henrique M. D. (2005) Password Secured Sites Stepping Forward With Keystroke Dynamics, Proceedings of the International Conference on Next Generation Web Services Practices. Modi, S. K., & Elliott, S. J. (2006). Keystroke Dynamics Verification Using a Spontaneously Generated Password, Proceedings of the 40th Annual International Carnahan Conference on Security Technology (ICCST), p , Lexington, U.S.A. Monrose, F., Rubin A. (2000) Keystroke dynamics as a biometric for authentication, Future Generation Computing Systems (FGCS) Journal: Security on the Web, p Moore, A. M. (2007) Biometric technologies an introduction. Biometric Technology Today, v. 15, n. 1, p Revett, K. and Khan, A. (2005) Enhancing login compatible with those produced by very expensive security using keystroke hardening and keyboard gridding, Proceedings of the IADIS MCCSIS. Yingpeng Sang, Hong Shen, Pingzhi Fan (2004) Novel Impostors Detection in Keystroke Dynamics by Support Vector Machine, Proc. of the 5th International Conference on Parallel and Distributed Computing: Applications and Technologies (PDCAT 2004), p , Singapore, December.