系统可用性与安全性分析

目前大量的安全产品（系统或功能）被部署在组织内部，无论是部署在互联网侧的流量型产品，还是终端及服务器防护代理，抑或是应用系统安全策略（功能），其安全特性均不可避免影响其可用性。基于目前的互联网环境演变，绝对的安全与绝对的可用，可能无法同时达成。

系统（软件应用）的可用性和安全性分析是人机交互(HCI)的一个重要研究领域^[1]。学术学者或产品开发人员用来评估软件或应用是否满足用户需求^[2]。在早期的系统或软件开发中，主要用户是具有专业知识的技术人员。然而，随着技术的发展，越来越多的大众用户开始使用电子产品或软件，因此设计用户友好型系统的需求也随之增加。通常来说，高可用性的产品或应用应该是用户使用既方便又安全^[3]。在整个系统产品生命周期，软件从业者为了使软件安全可靠，会增加许多安全功能，如加密或其他安全功能，但一些研究人员发现部分用户可能不想使用这些“麻烦”的安全功能，从而可能绕过软件的限制或者损害其安全特性^[4]。换句话说，如果系统的安全性提高了，它的可用性可能会被降低。因此，为了提高系统安全功能的可用性，人机交互安全(HCISec)被业界提出来。尽管目前许多学术、工业界文章致力于研究安全功能的可用性，目前仍有许多安全系统没有充分考虑可用性。因此，一个产品的可用性和安全性需要同时考虑，两者之间的联系需要更多的讨论^[1]。

如何评估一个安全产品的部署或者系统里安全功能上线？如何在保证系统可用性的基础上，增加安全属性？如果增加了安全功能，如何确保所有用户的可用性，甚至便利性？Flechais在2010年提出一个安全-可用分析模型（Security-Usability Threat Model）。该模型以用户为中心，主要针对可能威胁产品的用户错误或系统。

图1：安全-可用分析模型（SUTM ^[1]）

从图1可以看出，该模型共提出了11个分析指标，包括4个可用性指标、5个安全性指标和2个通用指标。这些指标指是在评估产品的可用性和安全性时需要调查的关键因素，可能是与可用性或安全性相关的因素，也可能是与两者相关的因素。我们以“Memorability 可记忆性”为例：从可用性的角度来看，如系统要求用户设置复杂的密码是否会导致用户的认知负担？安全方面，如果系统（或产品）需要复杂的密码设置，用户会把它写下来记忆吗？相关保存介质是否会导致安全隐患。

该分析模型（以人为中心）给我们一个全面客观的评价体系，在不影响用户使用情况下，来降低用户使用或遭受潜在攻击的风险。在互联网早期（互联网由通信半导体演变而来），整个网络、服务器及终端均未采取较为严格的安全措施，所有开发人员及用户均以可用性为主。随着意识形态和互联网的普及，基于各种意图的潜在风险用户的存在，安全性不得不被各方所重视，安全产品（系统或功能）也随着而来。如何实现“平衡的艺术”，需要各方未来继续讨论^[5]。

在组织内部中，保证系统的可用性及安全性是非常重要且实际的考虑。基于组织的目标下，系统的可用性和安全性应该被综合且统筹安排，在特定的资源下来保证可用及安全。

[1] R. Kainda, I. Fléchais and A. W. Roscoe. Security and Usability: Analysis and Evaluation. In International

Conference on Availability, Reliability and Security, pages 275-282, 2010.

[2] J. Nielsen. Usability Engineering, Academic Press Inc, page 165, 1994.

[3] I. Flechais. Designing secure and usable system. Ph.D. dissertation, University of London, 2005.

[4] D. Balfanz, G. Durfee, D. Smetters, and R. Grinter. In search of usable security: five lessons from the field.

IEEE Security & Privacy, 2(5): 19–24, 2004.

[5] Haoning Shi. Usability and Security of Video Conferencing Software: Zoom- An Extended Security-Usability Threat Model (ESUTM), Master dissertation University College London, 2020.