Prueba de concepto de interfaz Touchless en teclado numérico aleatorio para mitigación de Shoulder Surfing en cajeros automáticos

Abstract

La inclusión financiera en el Perú está en aumento, pues ya el 56 % de los adultos tiene productos financieros. Esto ha incrementado el uso de cajeros automáticos y los riesgos asociados a ellos, como el shoulder surfing. Buscando mitigar el riesgo de este ataque, se hizo una prueba de concepto de interfaz touchless que permite a los usuarios ingresar su PIN de manera segura, proponiendo un ejemplo para que sea usado por entidades bancarias o fabricantes de cajeros automáticos. Para esto, se generaron secuencias desordenadas aleatoriamente con los números del 0 al 9 sin que estos se repitan. Luego, se implementa sensores infrarrojos para ingresar los números del PIN. Se realizaron pruebas de mitigación y usabilidad con un grupo de 16 personas. La primera prueba mostró resultados alentadores, pues los a los atacantes se les dificulta identificar los dígitos ingresados por los usuarios y solo logaron registrar el 25 % correctamente. Asimismo, en las pruebas de usabilidad se obtuvo un promedio general de usabilidad de 78.4375, situando a la interfaz en un rango B+, por encima del umbral de 68 puntos. Considerando esto, se concluye que la propuesta cumple con el objetivo de permitir al usuario ingresar su PIN de manera segura ante ataques de shoulder surfing.

Financial inclusion in Peru is on the rise, with 56% of adults already having financial products. This has increased the use of ATMs and the risks associated with them, such as shoulder surfing. To mitigate the risk of this attack, a proof of concept of a touchless interface that allows users to enter their PIN securely was developed, seeking to inspire banking institutions or ATM manufacturers. For this purpose, randomly disordered sequences of numbers from 0 to 9 were generated without repeating them. Then, infrared sensors were implemented to enter the PIN numbers. Mitigation and usability tests were performed with a group of 16 people. The first test showed encouraging results, as the attackers found it difficult to identify the digits entered by the users and only managed to register 25% correctly. Likewise, in the usability tests, an usability average of 78.4375 was obtained, placing the interface in a B+ range, above the threshold of 68 points. Considering this, it is concluded that the proposal meets the objective of allowing the user to enter his PIN securely against shoulder surfing attacks.