Signature Verification Passwords: Can they be Compromised?

ABSTRACT

Dynamic Signature verification software holds much promise for use as security passwords in a variety of computer applications. Software developers are advocating the use of their software as an alternative to personal identification numbers (PINs) since the former are not easily “forged” and not often forgotten. The ability of one such program² to detect “forged” signatures was tested in order to assess this type of product in a security environment. Participants were given a series of progressively challenging “forgery” exercises aimed at defeating a password protected screensaver which employs dynamic signature verification. While success rates varied, the software failed in many instances. A number of safeguards are proposed to enhance the reliability of signature verification password usage.

RÉSUMÉ

L'utilisation de logiciel de vérification dynamique de signature s'avère très prometteuse en tant que mot de passe sécuritaire dans une multitude d'applications informatiques. Les concepteurs suggèrent l'utilisation de leurs logiciels comme alternative au numéro d'identification personnel (NIP) étant donné que les premiers cités ne sont pas facilement “imités” et peu fréquemment oubliés. La capacité d'un tel programme a détecter les signatures “imitées” a été testée afin d'évaluer ce type de produit dans un contexte de sécurité. Les participants ont reçus des séries d'exercises “d'imitation” de complexité progressive destinés à mettre en échec un sauve-écran protégé par un mot de passe qui utilise la vérification dynamique de signature. Bien que la taux de succès a varié, le logiciel a échoué à plusieurs reprises. Certains éléments de sécurité sont proposés afin d'augmenter la fiabilité des mots de passe utilisés dans la vérification de signature.