Hardware Passwortmanager (Master Thesis, 2015)

µPass: Planung, Implementierung und Evaluation eines physischen Passwortspeichers.

Master Thesis im Studiengang Human-Computer Interaction, 2015, Universität Würzburg

µPass erlaubt dem Nutzer Passwörter beliebiger Länge und Komplexität, an jedem Computer mit einer USB Schnittstelle zu verwenden. Anders als viele Software-Lösungen ist µPass komplett unabhängig vom Betriebssystem, da der Computer ihn als Tastatur erkennt. Entsprechend sind keine zusätzlichen Treiber nötig und er kann sogar zur Anmeldung am Betriebssystem verwendet werden.

Ein besonderes Augenmerk liegt auf einer intuitiven und auf die Bedürfnisse der Nutzer abgestimmte Interaktion. Darüber hinaus soll µPass kostengünstig und als Freie-Software Projekt leicht nachzubauen sein. Um Designideen zu generieren wurde eine Fokusgruppe durchgeführt. Das so entstandene Konzept holt das Beste aus Knöpfen und LEDs heraus. Für die Entwicklung des Gerätes wurde ausschließlich freie Software eingesetzt: Fritzing für das Platinendesign und OpenSCAD für das Gehäuse. Um Gehäuse basierend auf Platinen zu erstellen wurden die Tools fzz2scad und scadlib entwickelt.

Nach zwei Design-Iterationen (User-Tests mit anschließender Verbesserung des Gerätes) wurde µPass zur Evaluation mit zwei anderen Lösungen verglichen, die ebenfalls den Tastaturansatz nutzen: Mooltipass ist ein Gerät, das die Passwort-Datenbank mit einer Smartcard verschlüsselt. Die Nutzer interagieren mittels Touch-Buttons und einem Display mit dem Gerät. Nur zusammen mit einem Chrome Browser-Plugin kann es sein Potential voll ausschöpfen. Die andere Lösung ist die Passwortmanager App KeePass2Android. Passwörter werden via Bluetooth an einen InputStick gesendet, der diese in Tastatureingaben am Computer umwandelt.

Um diese Lösungen objektiv miteinander vergleichen zu können, wurde das auf Web-Passwörter ausgelegte Evaluations-Framework von Bonneau u.A. (2012¹) erweitert, um auch Lösungen für z.B. die Anmeldung am Betriebssystem abzudecken. Es zeigte sich, dass die Geräte klassischen Passwörtern oftmals überlegen sind, jedoch den Nachteil haben, dass sie immer mitgeführt werden müssen.

Die Aufgaben in der Usability-Studie mit 16 Probanden umfassten das Freischalten der Geräte, sowie einen Login am Computer und auf Websites. Mit Interviews, Beobachtungen und einer Videoanalyse wurden qualitative Daten erhoben. Dabei wurde bewusst auf die beliebte Think-Aloud-Methode² verzichtet um eine Analyse der Bearbeitungszeiten anhand des Videomaterials zu ermöglichen. Für die weitere Analyse wurden qualitative Daten quantifiziert. Quantitative Daten wurden mittels der NASA-TLX und QUESI Fragebögen erhoben. Die Studie zeigte, dass InputStick+KeePass2Android die beste Portabilität hat, am leichtesten zu lernen ist und von den Nutzern am besten angenommen wird. Mooltipass ist die sicherste Lösung, ist jedoch nicht portabel. Die Nutzerschnittstelle muss verbessert evtl. sogar komplett überdacht werden. Neun der sechzehn Probanden konnten sich vorstellen µPass jederzeit mit sich zu führen. µPass hat das Potential, die effizienteste Lösung zu sein.