This paper is included in the Proceedings of the Thirteenth Symposium on Usable Privacy and Security (SOUPS 2017).

July 12–14, 2017 • Santa Clara, CA, USA

ISBN 978-1-931971-39-3

Open access to the Proceedings of the Thirteenth Symposium

on Usable Privacy and Security is sponsored by USENIX.

“I feel stupid I can’t delete...”: A Study of Users’ Cloud Deletion Practices and Coping Strategies

Kopo Marvin Ramokapane and Awais Rashid, Lancaster University; Jose Miguel Such, King’s College London

https://www.usenix.org/conference/soups2017/technical-sessions/presentation/ramokapane

�× º»»´ ­¬«°·¼ × ½¿²ù¬ ¼»´»¬»òòòŒæ ß Í¬«¼§ ±º Ë­»®­ù Ý´±«¼Ü»´»¬·±² Ю¿½¬·½»­ ¿²¼ ݱ°·²¹ ͬ®¿¬»¹·»­

Õ±°± Óò ο³±µ¿°¿²»Í»½«®·¬§ Ô¿²½¿­¬»® ײ­¬·¬«¬»Ô¿²½¿­¬»® ˲·ª»®­·¬§ô ËÕ

µò®¿³±µ¿°¿²»à´¿²½¿­¬»®ò¿½ò«µ

ß©¿·­ ο­¸·¼Í»½«®·¬§ Ô¿²½¿­¬»® ײ­¬·¬«¬»Ô¿²½¿­¬»® ˲·ª»®­·¬§ô ËÕ¿ò®¿­¸·¼à´¿²½¿­¬»®ò¿½ò«µ

Ö±­» Óò Í«½¸Ü»°¿®¬³»²¬ ±º ײº±®³¿¬·½­Õ·²¹ù­ ݱ´´»¹» Ô±²¼±²ô ËÕ¶±­»ò­«½¸àµ½´ò¿½ò«µ

ßÞÍÌÎßÝÌÜ»´»¬·±² ±º ¼¿¬¿ º®±³ ½´±«¼ ­¬±®¿¹» ¿²¼ ­»®ª·½»­ ·­ ¿² ·³°±®ó¬¿²¬ ¿­°»½¬ ±º °®·ª¿½§ ¿²¼ ­»½«®·¬§ò Þ«¬ ¸±© »¿­§ ±® ­·³°´» ¿¬¿­µ ·­ ·¬ º±® «­»®­ ¬± ½±³°´»¬»á Ý´±«¼ «­»®­ù ¼»´»¬·±² °®¿½ó¬·½»­ô ½¸¿´´»²¹»­ ¿²¼ ½±°·²¹ ­¬®¿¬»¹·»­ ¸¿ª» ²±¬ ¾»»² ©»´´­¬«¼·»¼ ¬± ¼¿¬»ò É» «²¼»®¬±±µ ¿² »¨°´±®¿¬±®§ ­¬«¼§ ¬± ¾»¬ó¬»® «²¼»®­¬¿²¼ ¬¸·­ ·­­«»ò ̸®±«¹¸ ·²ó¼»°¬¸ ­»³·ó­¬®«½¬«®»¼·²¬»®ª·»©­ ¿²¼ «­» ±º ¼»´»¬·±² ­½»²¿®·±­ ©·¬¸ îê ­«¾¶»½¬­ô ©»»¨°´±®»¼ ­»ª»®¿´ µ»§ ¯«»­¬·±²­æ ©¸§ ¿²¼ ©¸»² ½´±«¼ «­»®­©±«´¼ ´·µ» ¬± ¼»´»¬»ô ©¸§ ½´±«¼ «­»®­ ½¿²²±¬ ¼»´»¬»ô ©¸¿¬½¿«­»­ ­«½¸ º¿·´«®»­ô ©¸¿¬ «­»®­ ¼± ¬± ©±®µ ¿®±«²¼ ¬¸»­»

¼»´»¬·±² ·² ¬¸» ½´±«¼ò É» º±«²¼ ¬¸¿¬ «­»®­ù º¿·´«®» ¬± ¼»´»¬»¿®·­»­ º®±³ ´¿½µ ±º ·²º±®³¿¬·±² ¿¾±«¬ ¼»´»¬·±²ô ·²½±³°´»¬»³»²¬¿´ ³±¼»´­ ±º ¬¸» ½´±«¼ ¿²¼ ¼»´»¬·±² ©·¬¸·² ¬¸» ½´±«¼ô¿²¼ °±±®´§ ¼»­·¹²»¼ «­»® ·²¬»®º¿½»­ º±® ¼»´»¬·±² º«²½¬·±²­ò

­¬®¿¬»¹·»­ ­«½¸ ¿­ ¼»´»¬·²¹ º®±³ ½»®¬¿·² ¼»ª·½»­ ±²´§ô ­»»µ·²¹¸»´° ¿²¼ ½¸¿²¹·²¹ ­»®ª·½» °®±ª·¼»®­ô ¬± ±ª»®½±³» ­«½¸ ½¸¿´ó´»²¹»­ò ر©»ª»®ô ¬¸»­» ­¬®¿¬»¹·»­ ³¿§ ²±¬ ¿´©¿§­ °®±¼«½»¼»­·®»¼ ®»­«´¬­ò É» ¿´­± ¼·­½«­­ °±¬»²¬·¿´ ©¿§­ ¬± ·³°®±ª»¬¸» «­¿¾·´·¬§ ±º ¼»´»¬·±² ·² ¬¸» ½´±«¼ò

ïò ×ÒÌÎÑÜËÝÌ×ÑÒÍ·²½» ¬¸» ¿¼ª»²¬ ±º ½´±«¼ ½±³°«¬·²¹ ·²½±³°´»¬» ¼»´»¬·±² ±º¼¿¬¿ ¸¿­ ¾»»² ¿ ½±²½»®² º±® ³±­¬ ±®¹¿²·¦¿¬·±²­ ¿²¼ «­»®­òλ­»¿®½¸»®­ ¸¿ª» ´±±µ»¼ ·²¬± °®±ª·­·±² ±º ¿­­«®»¼ ¼»´»¬·±²·² ¬¸» ½´±«¼ Åêô îêà ¿²¼ »²½®§°¬·±²ó¾¿­»¼ ­±´«¬·±²­ ¬± ­»ó½«®»´§ ¼·­°±­» ±º ¼¿¬¿ ¿º¬»® «­» Åîëô îçÃò ر©»ª»®ô ­«½¸¿°°®±¿½¸»­ ­¬¿®¬ º®±³ ¬¸» ¿­­«³°¬·±² ¬¸¿¬ «­»®­ µ²±© ¼¿¬¿³¿²¿¹»³»²¬ ·² ¬¸» ½´±«¼ô ¸¿ª» ½´»¿® ³»²¬¿´ ³±¼»´­ ±º ¸±©¼»´»¬·±² ³¿§ ±°»®¿¬» ·² ¬¸» ½´±«¼ ¿²¼ ½¿² ¿½½±³°´·­¸ ¬¸»

°®±ª·¼»®­ ±® «­·²¹ ³±®» ­±°¸·­¬·½¿¬»¼ ¿­­«®»¼ ¼»´»¬·±² ³»½¸ó¿²·­³­ ­«½¸ ¿­ »²½®§°¬·±²ó¾¿­»¼ ­±´«¬·±²­ò

ײ ¬¸·­ °¿°»®ô ©» º±½«­ ±² ¬¸» «­»®ù­ °»®­°»½¬·ª» ¿²¼ ·²óª»­¬·¹¿¬» «­¿¾·´·¬§ ±º ¼¿¬¿ ¼»´»¬·±² º®±³ ½´±«¼ ­¬±®¿¹» ¿²¼­»®ª·½»­ò É» »¨°´±®» ­»ª»®¿´ µ»§ ¯«»­¬·±²­ º«²¼¿³»²¬¿´ ¬±«­¿¾´» °®·ª¿½§ ¿²¼ ­»½«®·¬§æ ©¸¿¬ ¿®» ¬¸» ³±¬·ª¿¬·²¹ º¿½ó

ݱ°§®·¹¸¬ ·­ ¸»´¼ ¾§ ¬¸» ¿«¬¸±®ñ±©²»®ò л®³·­­·±² ¬± ³¿µ» ¼·¹·¬¿´ ±® ¸¿®¼

½±°·»­ ±º ¿´´ ±® °¿®¬ ±º ¬¸·­ ©±®µ º±® °»®­±²¿´ ±® ½´¿­­®±±³ «­» ·­ ¹®¿²¬»¼©·¬¸±«¬ º»»ò

ͧ³°±­·«³ ±² Ë­¿¾´» Ю·ª¿½§ ¿²¼ Í»½«®·¬§ øÍÑËÐÍ÷ îðïéô Ö«´§ ïîŠïìô

îðïéô Í¿²¬¿ Ý´¿®¿ô Ý¿´·º±®²·¿ò

½«®®»²¬ ½´±«¼ ¼»´»¬·±² ³»½¸¿²·­³­ «­¿¾´» ¿²¼ô ·º ²±¬ô ©¸¿¬¿®» ¬¸» º¿½¬±®­ «²¼»®°·²²·²¹ «­»®­ù º¿·´«®» ¬± ¼»´»¬»á ɸ¿¬¿®» ¬¸» ½±°·²¹ ­¬®¿¬»¹·»­ ¬¸¿¬ «­»®­ ¼»°´±§ ¬± ©±®µ ¿®±«²¼¬¸»­» °®±¾´»³­ ¿²¼ ©¸¿¬ ¼± «­»®­ ©¿²¬ ·² ¬»®³­ ±º «­¿¾´»¼»´»¬·±² ·² ¬¸» ½´±«¼á

¿²¼ °®·ª¿½§ ½±²½»®²­ ±º «­»®­ ©·¬¸ ®»¹¿®¼­ ¬± ¼¿¬¿ ³¿²ó¿¹»³»²¬ ¿²¼ ®»¬»²¬·±² ·² ¬¸» ½´±«¼ò Ú±® ·²­¬¿²½»ô Ü®±°ó

¿­ º¿® ¿­ ë §»¿®­ ¿¹± ³§­¬»®·±«­´§ ®»ó¿°°»¿®»¼ ·² ¬¸»·® ¿½ó½±«²¬­ ÅïïÃò Í·³·´¿® ½±²½»®²­ ¸¿ª» ¾»»² ®¿·­»¼ ¾§ ·Ý´±«¼«­»®­ «°±² ´»¿®²·²¹ ¬¸¿¬ ß°°´» ¸¿¼ ¾»»² ®»¬¿·²·²¹ ¬¸»·®¾®±©­·²¹ ¸·­¬±®§ º±® ³±®» ¬¸¿² ¿ §»¿® ¥ ­»ª»®¿´ ³±²¬¸­ ¿º¬»®·¬ ©¿­ ­«°°±­»¼ ¬± ¸¿ª» ¾»»² ¼»´»¬»¼ ÅïíÃò

̸»®» ¸¿­ ¾»»² ¿ ­«¾­¬¿²¬·¿´ ¾±¼§ ±º µ²±©´»¼¹» ¿²¼ »¨°»®ó·³»²¬¿´ »ª·¼»²½» ±² «­»®­ù ­»½«®·¬§ ¿²¼ °®·ª¿½§ ¾»¸¿ª·±®­ôº±® ·²­¬¿²½» Åïô íðÃò ̸» «­¿¾·´·¬§ ·­­«»­ ±º »²½®§°¬·±² ³»½¸ó¿²·­³­ ¸¿ª» ¿´­± ¾»»² ©»´´ó¼±½«³»²¬»¼ô »ò¹òô Åïðô ííÃò λ󽻲¬ ®»­»¿®½¸ ±² ¼»´»¬·±² ·² ¬¸» ½´±«¼ ¸¿­ º±½«­»¼ ±² ®·­µ­¿­­±½·¿¬»¼ ©·¬¸ ·²½±³°´»¬» ¼»´»¬·±² ±® ®»¬¿·²»¼ ¼¿¬¿ ·² ¬¸»½´±«¼ Åîêà ¿­ ©»´´ ¿­ »²½®§°¬·±²ó¾¿­»¼ ¼»´»¬·±² ­±´«¬·±²­ ÅîëôîçÃò ر©»ª»®ô ¬¸» «­¿¾·´·¬§ ±º ¼¿¬¿ ¼»´»¬·±² ·² ¬¸» ½´±«¼¸¿­ ²±¬ ¾»»² »¨°´±®»¼ ¿²¼ «­»®­ù «²¼»®­¬¿²¼·²¹ ¿²¼ ½¸¿´ó´»²¹»­ ±º ¼»´»¬·²¹ º®±³ ¬¸» ½´±«¼ ¿®» ­¬·´´ ¬± ¾» ­¬«¼·»¼ò Ú±®·²­¬¿²½»ô ¿¬ °®»­»²¬ô ½´±«¼ «­»®­ ¿®» ¿´´±©»¼ ¬± ¿½½»­­ ¿²¼¼»´»¬» º®±³ ¬¸» ½´±«¼ ¬¸®±«¹¸ ³±¾·´» ¿°°­ô ©»¾ ·²¬»®º¿½»­¿²¼ º®±³ ¬¸»·® ½±³°«¬»®­ò Ò±²»¬¸»´»­­ô ¼»´»¬·²¹ º®±³ ¬¸»­»

½¸¿´´»²¹» º±® «­»®­ ¿­ ³±­¬ ±º ¬¸»³ ¿­­«³» ¬¸»­» °´¿¬º±®³­©±®µ ¬¸» ­¿³» ©¿§ ¿²¼ »¨°»½¬ ¬¸» ­¿³» ®»­«´¬­ò ײ ¬¸·­°¿°»®ô ©» ­»»µ ¬± ¾®·¼¹» ¬¸·­ µ²±©´»¼¹» ¹¿°ò

É» ½±²¼«½¬»¼ ¿² »¨°´±®¿¬±®§ ­¬«¼§ «­·²¹ ­»³·ó­¬®«½¬«®»¼·²¬»®ª·»©­ Åìà ¬± »¨°´±®» «­»®­ù ³±¬·ª¿¬·±²­ º±® ¼»´»¬·±²ô ¬¸»·®­«½½»­­»­ñº¿·´«®»­ ©·¬¸ ®»¹¿®¼­ ¬± ¼»´»¬·±²ô ¬¸»·® ½±°·²¹ ­¬®¿¬»ó¹·»­ «°±² º¿·´«®»­ ¿²¼ ¬¸»·® ©¿²¬­ ©·¬¸ ®»¹¿®¼­ ¬± ¼»´»¬·±²·² ¬¸» ½´±«¼ò É» ·²¬»®ª·»©»¼ îê ¿½¬·ª» ½´±«¼ «­»®­ º®±³¿ ©·¼» ®¿²¹» ±º ¾¿½µ¹®±«²¼­ ¿²¼ «­»¼ ¿ ¹®±«²¼»¼ ¬¸»±®§¿°°®±¿½¸ Åèà ¬± ¿²¿´§¦» ¬¸» ·²­·¹¸¬­ º®±³ ¬¸» ·²¬»®ª·»©­ ·²±®¼»® ¬± »¨°´¿·² ©¸§ «­»®­ ¾»¸¿ª» ¬¸» ©¿§ ¬¸»§ ¼±ô ±® ©¸§¬¸»§ ³¿µ» ¬¸» ¼»½·­·±²­ ¬¸»§ ³¿µ»ò

ݱ²¬®·¾«¬·±²­ò Ñ«® ¿²¿´§­·­ ®»ª»¿´­ ¬¸¿¬ ½´±«¼ «­»®­ º¿·´¬± ¼»´»¬» ·² ¬¸» ½´±«¼ ¾»½¿«­» ¬¸»§æ ø·÷ ´¿½µ ·²º±®³¿¬·±² ±²¼»´»¬·±²å ø··÷ ¸¿ª» ·²½±®®»½¬ ³»²¬¿´ ³±¼»´­ ±º ¼»´»¬·±²å ±®ø···÷ ¾»½¿«­» ¬¸»§ ¸¿ª» ¬± ¼»¿´ ©·¬¸ °±±®´§ ¼»­·¹²»¼ ½´±«¼·²¬»®º¿½»­ò Ë­»®­ ­¬¿¬»¼ ¬¸¿¬ ¬¸»®» ·­ ²±¬ »²±«¹¸ ·²º±®³¿ó

USENIX Association Thirteenth Symposium on Usable Privacy and Security 241

­·¦» ·­ ¬®¿²­°¿®»²¬ ±² ¿¼ª»®¬·­»³»²¬­ò É» ¼·­½±ª»®»¼ ¬¸¿¬

­¬®«½¬·±² ±º ·²¿½½«®¿¬» ³»²¬¿´ ³±¼»´­ ©¸·½¸ ®»­«´¬ ·² °±±®¼»½·­·±² ³¿µ·²¹ ¿²¼ ·²½±®®»½¬ ¿½¬·±²­ ©·¬¸ ®»¹¿®¼­ ¬± ¼»´»ó¬·±²ò

¬± ½·®½«³ª»²¬ ¬¸»·® ¼»´»¬·±² ½¸¿´´»²¹»­å ¬¸»­» ­¬®¿¬»¹·»­ ¿®»¾¿­»¼ ±² ¬¸»·® ²»»¼­ ¿²¼ ®»¿­±²­ ¬± ¼»´»¬»ò Ú±® »¨¿³°´»ô

²±¬ ¸¿ª» ¬± ¼»¿´ ©·¬¸ ¼»´»¬·²¹ ¬¸»³ò Í«®°®·­·²¹´§ô ©» º±«²¼¬¸¿¬ ²±²» ±º ±«® °¿®¬·½·°¿²¬­ô ·²½´«¼·²¹ ¬¸±­» ©·¬¸ °®·ª¿½§½±²½»®²­ô «­»¼ »²½®§°¬·±² ¬±±´­ô ¿´¬¸±«¹¸ ´·¬»®¿¬«®» ±² ½´±«¼¼»´»¬·±² °®±°±­»­ ¬¸» «­» ±º »²½®§°¬·±² Åîëô îçÃò

ײ ­«³³¿®§ô ¬¸» ²±ª»´ ½±²¬®·¾«¬·±²­ ±º ±«® ©±®µ ¿®» ¿­ º±´ó´±©­æ

É» ·¼»²¬·º§ º±«® µ»§ ¼®·ª»®­ ¬¸¿¬ ³±¬·ª¿¬» «­»®­ ¬±¼»´»¬» º®±³ ¬¸» ½´±«¼ò

É» ®»ª»¿´ ©¸§ «­»®­ º¿·´ ¬± ¼»´»¬» º®±³ ¬¸» ½´±«¼ô ¸·¹¸ó´·¹¸¬·²¹ ©¸¿¬ ½¿«­»­ ¿²¼ ½±²¬®·¾«¬»­ ¬± ­«½¸ º¿·´«®»­ò

«­»®­ ¬± ¿¼¼®»­­ ¬¸»·® ¼»´»¬·±² ½¸¿´´»²¹»­ô ¼·­½«­­·²¹¬¸» ½±²­»¯«»²½»­ ±º ­«½¸ ­¬®¿¬»¹·»­ ©·¬¸ ®»¹¿®¼­ ¬±«­»®­ù ³±¬·ª¿¬·±²­ ¬± ¼»´»¬»ò

É» ®»ª»¿´ ©¸¿¬ ½´±«¼ «­»®­ ©¿²¬ ®»¹¿®¼·²¹ ¼»´»¬·±²º®±³ ¬¸» ½´±«¼ô ¿²¼ ¼·­½«­­ ±°»² ½¸¿´´»²¹»­ ¿²¼ °®»­»²¬°¿¬¸­ º±® º«¬«®» ®»­»¿®½¸ ·² ¬¸·­ ¿®»¿ò

̸·­ °¿°»® ·­ ­¬®«½¬«®»¼ ¿­ º±´´±©­æ Í»½¬·±² î ¹·ª»­ ¿² ±ª»®ª·»©±º ®»´¿¬»¼ ©±®µò Í»½¬·±² í ¼»­½®·¾»­ ±«® ³»¬¸±¼±´±¹·½¿´

·²¹­ ®»¹¿®¼·²¹ ½«®®»²¬ ¼»´»¬·±² °®¿½¬·½»­ô ½¸¿´´»²¹»­ô ½±°·²¹­¬®¿¬»¹·»­ ¿²¼ ©¸¿¬ ¼»´»¬·±² »¨°»®·»²½»­ ¼± «­»®­ ©¿²¬ò ײͻ½¬·±² ëô ©» ¼·­½«­­ ¸±© ½±°·²¹ ­¬®¿¬»¹·»­ ®»´¿¬» ¬± «­»®­ù³±¬·ª¿¬·±²­ ¬± ¼»´»¬» ¿²¼ ¬¸»·® ³»²¬¿´ ³±¼»´­ ®»­°»½¬·ª»´§òÍ»½¬·±² ê ½±²½´«¼»­ ¬¸» °¿°»®ò

îò ÎÛÔßÌÛÜÉÑÎÕ

¿¬ «­»®­ù °»®½»°¬·±² ±º ¼»´»¬·±² ·² ¬¸» ½´±«¼ò ײ ²±²ó½´±«¼½±²¬»¨¬­ ­«½¸ ¿­ ­±½·¿´ ³»¼·¿ô ­±³» ¿­°»½¬­ ±º ¼»´»¬·±² ¸¿ª»¾»»² »¨°´±®»¼ô º±® ·²­¬¿²½»ô ¬¸»®» ¸¿­ ¾»»² ©±®µ º±½«­·²¹±² «²¼»®­¬¿²¼·²¹ «­»®­ù °®·ª¿½§ ½±²½»®²­ ±ª»® ­±½·¿´ ³»¼·¿¿²¼ ¬¸»·® ½¸¿´´»²¹»­ ±º ¼»´»¬·²¹ º®±³ ­«½¸ °´¿¬º±®³­ Åîô ïçôïêô îéÃò ͱ³» °®·±® ­¬«¼·»­ Åïçô íïô îïà ¸¿ª» º±«²¼ ¬¸¿¬°»±°´» «­» ¼»´»¬·±² ¿­ ¿ ½±°·²¹ ­¬®¿¬»¹§ ¬± ¸¿²¼´» ®»¹®»¬­±ª»® °±­¬­ ¿²¼ ·² ­±³» ½¿­»­ ¬± °®±¬»½¬ ¬¸»·® °®·ª¿½§ »·¬¸»®¾§ ®»³±ª·²¹ ¿ ½±²¬¿½¬ ø»ò¹òô «²º®·»²¼·²¹÷ ±® ¬¸» °±­¬ ·¬­»´ºò

®»´»ª¿²¬ °®·±® ©±®µò

îòï Ë­»®­ù °»®½»°¬·±² ±º ­»½«®·¬§ ¿²¼ °®·ª¿½§·² ¬¸» ½´±«¼Í±³» °®·±® ©±®µ ¸¿­ ·²ª»­¬·¹¿¬»¼ «­»®­ù °»®½»°¬·±² ±º ­»½«ó®·¬§ ¿²¼ °®·ª¿½§ ·² ½´±«¼ ½±³°«¬·²¹ò ×±² »¬ ¿´ò »¨¿³·²»¼«­»®­ù ¿¬¬·¬«¼»­ ¿²¼ ¾»´·»º­ ®»¹¿®¼·²¹ ¬¸» «­¿¹» ±º ½´±«¼ ½±³ó°«¬·²¹ ½±³°¿®·²¹ ¬¸»³ ¬± ¬¸±­» ±º »²¬»®°®·­»­ ÅïèÃò ̸»§

¿´ò ®»­»¿®½¸»¼ ¬¸» ²»»¼­ ¿²¼ °®·ª¿½§ ½±²½»®²­ ±º ·²¼·ª·¼«ó¿´­ ¿¼±°¬·²¹ ͱº¬©¿®»ó¿­ó¿óÍ»®ª·½» øÍ¿¿Í÷ ÅïìÃò ̸»§ º±«²¼

¬»²¬·±² ¬± ¿¼±°¬ Í¿¿Í ©¸·´» °®·ª¿½§ ½±²½»®²­ ¸¿¼ ²± ¼·®»½¬·³°¿½¬ò Ü¿²·»´ »¬ ¿´ò ·²ª»­¬·¹¿¬»¼ «­»®­ù ¿½½»°¬¿²½» ±º ¬¸»½´±«¼ ©·¬¸ ®»¹¿®¼­ ¬± ¬®«­¬ ¿²¼ ®·­µ ÅëÃò ̸»·® ©±®µ º±½«­»¼

«­»®­ù ½´±«¼ ¿¼±°¬·±² ¼»½·­·±²­ò Í«­¿² »¬ ¿´ò º±«²¼ ¬¸¿¬ô©¸·´» ¶±«®²¿´·­¬­ «­»¼ ­±³» ½´±«¼ ¬±±´­ô ¿ ²«³¾»® ±º ¬¸»³¼·¼ ²±¬ °»®½»·ª» ¿²§ ­»½«®·¬§ ®·­µ­ ·² ¼±·²¹ ­± ÅîíÃò ̸»­»©±®µ­ ¸¿ª» »¨°´±®»¼ ­»½«®·¬§ ¿­ ¿ ¹»²»®¿´ ½±²½»®² º±® «­»®­

½´±«¼ «­»®­ò

îòî Ó»²¬¿´ ³±¼»´­ß ²«³¾»® ±º ®»­»¿®½¸»®­ ¸¿ª» ¿¼±°¬»¼ ¬¸» ³»²¬¿´ ³±¼»´­ ¿°ó°®±¿½¸ ¬± «²¼»®­¬¿²¼ ¸±© ²±²ó»¨°»®¬ «­»®­ °»®½»·ª» °®·ª¿½§¿²¼ ­»½«®·¬§ò É¿­¸ ¸¿­ »¨¿³·²»¼ ¸±© ¸±³» ½±³°«¬»® «­»®­

»´­ô ĺ±´µ ³±¼»´­þô ±º ­»½«®·¬§ ¬¸®»¿¬­ ¬¸¿¬ «­»®­ ½±²­¬®«½¬»¼¿²¼ ¸±© ¬¸»­» ³±¼»´­ ½¿² ¾» «­»¼ ¬± ¶«­¬·º§ ©¸§ ¸±³» ½±³ó

°±­­·¾´» ³±¼»´­ ¬¸¿¬ ½±«´¼ ¾» «­»¼ ¬± ½±³³«²·½¿¬» ½±³°´»¨­»½«®·¬§ ¬± ²±®³¿´ «­»®­ ÅéÃò Þ±¬¸ É¿­¸ ¿²¼ Ý¿³° º±«²¼

­·®» ¬± ¸¿ª» ­»½«®·¬§ ¿´­± ¼»°»²¼­ ±² ¸±© ¬¸»§ «²¼»®­¬¿²¼¿²¼ °»®½»·ª» ®·­µò Ë­·²¹ ¿ ³»²¬¿´ ³±¼»´ ¿°°®±¿½¸ô Þ®¿ª±óÔ·´´± »¬ ¿´ò Åíà ½±²¼«½¬»¼ ­¬«¼·»­ ¬± ¹¿·² ¿² «²¼»®­¬¿²¼·²¹ ±º¸±© «­»®­ °»®½»·ª» ¿²¼ ®»­°±²¼ ¬± ½±³°«¬»® ¿´»®¬­ ©¸·´» Ë®»¬ ¿´ò »¨¿³·²»¼ ©¸»¬¸»® «­»®­ù ³»²¬¿´ ³±¼»´­ ±º °¿­­©±®¼­»½«®·¬§ ³¿¬½¸»¼ ®»¿´·¬§ ÅíðÃò ͱ³» ­¬«¼·»­ ¸¿ª» ¿´­± ½±³ó°¿®»¼ ¸±© ¬¸» ³»²¬¿´ ³±¼»´­ ±º »¨°»®¬­ ¿²¼ ²±²ó»¨°»®¬­

«²¼»®­¬¿²¼·²¹ «­»®­ù ³»²¬¿´ ³±¼»´­ ½¿² ¸»´° ¬± ½±³³«²·ó½¿¬» ©·¬¸ ±® »¼«½¿¬» «­»®­ ±² ­»½«®·¬§ ®·­µ­ò Ñ«® ©±®µ ½±²ó¬®·¾«¬»­ ¬± ¬¸·­ ¿®»¿ ¾§ ¬®§·²¹ ¬± «²¼»®­¬¿²¼ ©¸¿¬ ¼»´»¬·±²³»²¬¿´ ³±¼»´­ ½´±«¼ «­»®­ °±­­»­­ò

íò ÓÛÌØÑÜÑÔÑÙÇÉ» ½±²¼«½¬»¼ ¿ ¯«¿´·¬¿¬·ª» ·²¯«·®§ ·²¬± ¸±© ½´±«¼ «­»®­ «²ó¼»®­¬¿²¼ ¿²¼ ¬¸·²µ ¿¾±«¬ ¼»´»¬·±² ·² ¬¸» ½´±«¼ò É» ½¿®®·»¼±«¬ ­»³·ó­¬®«½¬«®»¼ ·²¬»®ª·»©­ ©·¬¸ îê °¿®¬·½·°¿²¬­ ¾»¬©»»²Ò±ª»³¾»® ¿²¼ Ü»½»³¾»® îðïêò

íòï Û¬¸·½¿´ ½±²­·¼»®¿¬·±²­Ñ«® ­¬«¼§ ©¿­ ¿°°®±ª»¼ ¾§ ¬¸» ®»´»ª¿²¬ ײ­¬·¬«¬·±²¿´ ®»ª·»©¾±¿®¼ ø×ÎÞ÷ ¾»º±®» ¿²§ ®»­»¿®½¸ ¿½¬·ª·¬·»­ ¾»¹¿²ò É» ±¾ó¬¿·²»¼ ·²º±®³»¼ ©®·¬¬»² ½±²­»²¬ º®±³ ¿´´ °¿®¬·½·°¿²¬­ ¬± ¬¿µ»°¿®¬ ·² ¬¸» ­¬«¼§ ¿²¼ ¬± ¸¿ª» ¬¸» ·²¬»®ª·»©­ ¿«¼·± ®»½±®¼»¼ò

íòî ﮬ·½·°¿²¬­ñÍ¿³°´·²¹ ³»¬¸±¼±´±¹§É» ®»½®«·¬»¼ ±«® °¿®¬·½·°¿²¬­ ¬¸®±«¹¸ ±«® »¨·­¬·²¹ °®±º»­ó­·±²¿´ ²»¬©±®µ­ô ©±®¼ ±º ³±«¬¸ ¿²¼ ¿´­± ¿¼ª»®¬·­»¼ ¬¸» ­¬«¼§¬¸®±«¹¸ °±­¬»®­ ·² ¬¸» ½·¬§ ¿²¼ ¿®±«²¼ ±«® ·²­¬·¬«¬·±²ò ײ󬻮»­¬»¼ °¿®¬·½·°¿²¬­ ©»®» ·²ª·¬»¼ ¬± ½±³°´»¬» ¿² ±²´·²» º±®³©¸·½¸ ½±²¬¿·²»¼ ¿ ­»¬ ±º ¯«»­¬·±²­ ¼»­·¹²»¼ ¬± ­½®»»² °¿®ó¬·½·°¿²¬­ ¬¸¿¬ ½±«´¼ ¾» ·²ª·¬»¼ º±® ±²»ó¬±ó±²» ·²¬»®ª·»©­ò

Ѭ¸»® ¬¸¿² º±® ¾¿´¿²½·²¹ ¼»³±¹®¿°¸·½­ô ¬¸» ­½®»»²»® ¿´­±º±½«­»¼ ±² ¿­µ·²¹ °¿®¬·½·°¿²¬­ ¿¾±«¬ ¬¸» ½´±«¼ ­»®ª·½»­ ¬¸»§©»®» ½«®®»²¬´§ «­·²¹ ¿²¼ ¬¸» ¼»ª·½»­ ¬¸»§ «­»¼ ¬± ½±²²»½¬ ¬±

242 Thirteenth Symposium on Usable Privacy and Security USENIX Association

­«½¸ ­»®ª·½»­ò λ­°±²¼»²¬­ ©»®» ¿´­± ¿­µ»¼ ¿¾±«¬ ¬¸»·® ¿½ó¬·ª·¬·»­ ·² ¬¸» ½´±«¼ô ¬¸¿¬ ·­ô ©¸»¬¸»® ¬¸»§ ¸¿ª» »ª»® ¼»´»¬»¼ô­¸¿®»¼ ±® «°´±¿¼»¼ ¿²¼ ¼±©²´±¿¼»¼ ¼¿¬¿ º®±³ ¬¸» ½´±«¼ò

Ѫ»® ¿ °»®·±¼ ±º í ©»»µ­ô ©» ®»½»·ª»¼ ¿ ¬±¬¿´ ±º ìè ®»­°±²­»­òÚ®±³ ¬¸»­»ô ïê ©»®» ³¿´»­ô îè ©»®» ­¬«¼»²¬­ øí ¼±·²¹ ³¿­ó¬»®­ ¼»¹®»»­ ©¸·´» ïî ©»®» °«®­«·²¹ ¿ иòÜò÷ô ïè ¸¿¼ ­±³»º±®³ ±º »³°´±§³»²¬ ¿²¼ î ©»®» «²»³°´±§»¼ ±® ®»¬·®»¼ò ̸»³¿¶±®·¬§ øíð÷ ©»®» ¾»¬©»»² ¬¸» ¿¹»­ ±º îï ¿²¼ í𠧻¿®­ ±´¼ò

ß´´ ìè ±º ±«® ®»­°±²¼»²¬­ ­¬¿¬»¼ ¬¸¿¬ ¬¸»§ «­»¼ ­³¿®¬ °¸±²»­¬± ½±²²»½¬ ¬± ¬¸» ½´±«¼ ©¸·´» ìí «­»¼ ¬¸»·® ´¿°¬±°­ ¬± ½±²ó²»½¬ ¬± ½´±«¼ ­»®ª·½»­ò çéû ±º ±«® ®»­°±²¼»²¬­ ­¬¿¬»¼ ¸¿ª·²¹­¸¿®»¼ô «°´±¿¼»¼ ¿²¼ ¼»´»¬»¼ ¼¿¬¿ º®±³ ¬¸»·® ½´±«¼ ­»®ª·½»­òß°°»²¼·¨ ßòï ­«³³¿®·¦»­ ¬¸» ¼»³±¹®¿°¸·½­ ±º ¿´´ ±«® ®»ó­°±²¼»²¬­ò

ß´´ ­½®»»²»® ®»­°±²­»­ ©»®» ¿²¿´§¦»¼ ¿­ ©» ¬®·»¼ ¬± ·¼»²¬·º§¿ ¹®±«° ±º ¿¾±«¬ î𠬱 îë °¿®¬·½·°¿²¬­ º±® ±²»ó¬±ó±²» ·²ó¬»®ª·»©­ô ¿ ²«³¾»® ¬¸¿¬ ©¿­ »²±«¹¸ ¬± ®»¿½¸ ¿ ­¿¬«®¿¬·±²°±·²¬ ·² ¬»®³­ ±º ¬¸» »³»®¹·²¹ ½±¼»­ ¿­ ¼·­½«­­»¼ ·² Í»½ó¬·±² íòì ò Ú±® ³¿¨·³«³ ª¿®·¿¬·±²ô ©» °«®°±­»º«´´§ ­»´»½¬»¼®»­°±²¼»²¬­ º®±³ ¿ ©·¼» ª¿®·»¬§ ±º ¾¿½µ¹®±«²¼­ô ¿¹»­ô »¼ó«½¿¬·±² ¿²¼ ­±½·±ó»½±²±³·½ ½´¿­­»­ò Ó±®» ·³°±®¬¿²¬´§ô ©»©»®» ¬¿®¹»¬·²¹ ®»­°±²¼»²¬­ ©¸± «­» ³±®» ¬¸¿² ±²» ½´±«¼ ­»®óª·½»ô °®»º»®¿¾´§ ¿ ­¬±®¿¹» ­»®ª·½» ø»ò¹òô Ü®±°¾±¨÷ ¿²¼ ¼¿¬¿°®±½»­­·²¹ ­»®ª·½» ø»ò¹òô Ù±±¹´» ܱ½­÷ò Ю»º»®»²½» ©¿­ ¿´­±¹·ª»² ¬± ¬¸±­» °¿®¬·½·°¿²¬­ ©¸± ¸¿¼ ³»²¬·±²»¼ ¬¸¿¬ ¬¸»§¸¿¼ «°´±¿¼»¼ô ­¸¿®»¼ ¿²¼ ¼»´»¬»¼ ¼¿¬¿ º®±³ ¬¸»­» ­»®ª·½»­òײ¬»®ª·»©·²¹ ®»­°±²¼»²¬­ º®±³ ¿ ©·¼» ®¿²¹» ±º ¾¿½µ¹®±«²¼­

½´±«¼ ¿²¼ ·¼»²¬·º§ ½±³³±² °¿¬¬»®²­ò ײ ¬¸» »²¼ô îê ±«¬ ±º¬¸» ìè ®»­°±²¼»²¬­ ¬± ¬¸» °®»´·³·²¿®§ ­½®»»²»® ©»®» ·²ª·¬»¼¾§ »³¿·´ ¬± °¿®¬·½·°¿¬» ·² ¬¸» ·²¬»®ª·»©ò ̸» ­¿³°´» ·²ó½´«¼»¼ ïì ©±³»² ¿²¼ ïî ³»²ô ¾»¬©»»² ïè ¿²¼ ë𠧻¿®­ ±´¼òß°°»²¼·¨ ßòî ­«³³¿®·¦»­ ¬¸» ¼»³±¹®¿°¸·½­ ±º °¿®¬·½·°¿²¬­·²ª·¬»¼ º±® ·²¬»®ª·»©­ò Ú±® ¿ í𠬱 ìë ³·²«¬»­ ·²¬»®ª·»©ô

íòí ײ¬»®ª·»©­×²¬»®ª·»©­ ©»®» ´»¼ ¿²¼ ½±²¼«½¬»¼ ¾§ ±²» ®»­»¿®½¸»® ·² ¼·ºóº»®»²¬ °´¿½»­ ¬± ³»»¬ °¿®¬·½·°¿²¬­ù ²»»¼­ ¿²¼ ®»¯«·®»³»²¬­ø»ò¹òô ¿¬ ¿ °¿®¬·½·°¿²¬ ©±®µ°´¿½» ¾»½¿«­» ±º ¬¸»·® ©±®µ ­½¸»¼ó«´»÷ò ̸» ª¿­¬ ³¿¶±®·¬§ ±º ·²¬»®ª·»©­ øîë÷ ©»®» ½±²¼«½¬»¼·²ó°»®­±²ô ¬¸±«¹¸ ¿ ­·²¹´» ±²» ©¿­ ½±²¼«½¬»¼ ª·¿ ͵§°»ò

°´¿·²·²¹ ¬¸» °«®°±­» ±º ¬¸» ­¬«¼§ò É» «­»¼ ¿ ­»³·ó­¬®«½¬«®»¼·²¬»®ª·»© °®±¬±½±´ ­± ¬¸¿¬ ±«® ´·­¬ ±º ¯«»­¬·±²­ ½±«´¼ ¿½¬ ¿­¿ ¹«·¼» ¬¸®±«¹¸±«¬ ¬¸» ·²¬»®ª·»©­ ¾«¬ ²±¬ ®»­¬®·½¬ «­ ¬± ¶«­¬¬¸±­» ­»¬ ±º ¯«»­¬·±²­ ÅîìÃò Ë­·²¹ ­»³·ó­¬®«½¬«®»¼ ·²¬»®ª·»©­¿´´±©»¼ «­ ¬± °®±¾» °¿®¬·½·°¿²¬­ º±® ³±®» ·²º±®³¿¬·±²ò

¬·±²­ ¿²¼ ¼»½·­·±²­ ¿´±«¼ ¸»²½» ²±¬ ¼·®»½¬·²¹ ¬¸»³ ¬± ¿ ½±²ó

»¨°´±®» ¿ °¿®¬·½·°¿²¬ù­ µ²±©´»¼¹»ô ­µ·´´­ô »¨°»®·»²½»­ô ¿¬¬·ó¬«¼»­ô ¾»´·»º­ô ¿²¼ ª¿´«»­ò Ñ«® ¯«»­¬·±²­ º±½«­»¼ ±² ¬¸» ¹»²ó»®¿´ «­» ±º ¬¸» ½´±«¼ ¿²¼ ¼»´»¬·±² ±º ¼¿¬¿ º®±³ ¬¸» ½´±«¼ò É»¿­µ»¼ °¿®¬·½·°¿²¬­ ¸±© ¬¸»§ «­» ½´±«¼ ­»®ª·½»­ ±² ¿ ¼¿§ó¬±ó¼¿§ ¾¿­·­ ¿²¼ ¬¸»·® ®»¿­±²­ ¾»¸·²¼ «­·²¹ ¿²¼ ½¸±±­·²¹ ­«½¸­»®ª·½»­ò λ¹¿®¼·²¹ ¼»´»¬·±²ô ©» ¿­µ»¼ °¿®¬·½·°¿²¬­ ¿¾±«¬¸±© ¿²¼ ©¸§ ¬¸»§ ¼»´»¬» ¼¿¬¿ ·² ¬¸» ½´±«¼ ¿²¼ ¬¸» ­·¬«ó¿¬·±²­ ©¸»² ¬¸»§ »²½±«²¬»®»¼ °®±¾´»³­ ©¸»² ¿¬¬»³°¬·²¹

¬± ¼»´»¬» º®±³ ¬¸» ½´±«¼ò ͱ³» ±º ±«® ¯«»­¬·±²­ ·²½´«¼»¼­½»²¿®·±­ ø­»» ¾»´±©÷ ¬¸¿¬ ®»¯«·®»¼ °¿®¬·½·°¿²¬­ ¬± «­» ¬¸»·®³»²¬¿´ ³±¼»´­ ¬± ³¿µ» ¼»½·­·±²­ ±² ¸±© ¬± ¼»´»¬» ¼¿¬¿ò

ß´´ ·²¬»®ª·»©­ ©»®» ¿«¼·± ®»½±®¼»¼ «­·²¹ ¿ ­»½«®» ¿«¼·±®»½±®¼»® ¿²¼ ­¬±®»¼ ­»½«®»´§ò ̸» ¿«¼·± ®»½±®¼·²¹­ ¿²¼ ¬¸»¬®¿²­½®·°¬·±²­ ©»®» ²±¬ ¿½½»­­·¾´» ¬± ¿²§±²» ±¬¸»® ¬¸¿² ¬¸»®»­»¿®½¸»®­ ¿²¼ ¬¸» ¬®¿²­½®·¾»®­ò

íòíòï ͽ»²¿®·±­ß­ °¿®¬ ±º «²¼»®­¬¿²¼·²¹ «­»®­ù °»®½»°¬·±² ±º ¼»´»¬·±²ô ©»«­»¼ ¬©± ­½»²¿®·±­ ¿²¼ ¿­µ»¼ °¿®¬·½·°¿²¬­ ¬± ¼»­½®·¾» ©¸¿¬©±«´¼ ¸¿°°»² ©¸»² ¼»´»¬·²¹ «²¼»® »¿½¸ ­½»²¿®·±ò Þ§ ¼±·²¹¬¸·­ô ©» ¹¿ª» ±«® ·²¬»®ª·»©»»­ ¬¸» ±°°±®¬«²·¬§ ¬± ¿°°´§ ¬¸»·®³»²¬¿´ ³±¼»´­ ±º ¬¸» ½´±«¼ ¿²¼ ¼»´»¬·±²ò É» ½¸±­» ¬¸»­»­½»²¿®·±­ ¿­ ¬¸»§ ®»°®»­»²¬ ¬§°·½¿´ ¼»´»¬·±² ¬¿­µ­ ¿­­±½·¿¬»¼©·¬¸ ½´±«¼ ­¬±®¿¹» ­»®ª·½»­ò Û¿½¸ ­½»²¿®·± ©¿­ ½±²¬»¨¬«¿´ó·¦»¼ ¾¿­»¼ ±² ¬¸» ·²º±®³¿¬·±² ¬¸» ·²¬»®ª·»©»» °®±ª·¼»¼ ¿²¼¬¸»² ²¿®®¿¬»¼ ¬± ¬¸» °¿®¬·½·°¿²¬ò Ú±® »¨¿³°´»ô ·º ¬¸» ·²¬»®óª·»©»» ³»²¬·±²»¼ ¬¸¿¬ ¬¸»§ ®»¹«´¿®´§ «­»¼ Ü®±°¾±¨ ¬± ­¸¿®»°¸±¬±­ô ¬¸»² ¬¸» ­½»²¿®·± ©±«´¼ ·²ª±´ª» Ü®±°¾±¨ ¿²¼ ­¸¿®ó·²¹ ±º °¸±¬±­ò É» ©¿²¬»¼ ¬± ½®»¿¬» ¿ ­½»²¿®·± ¬¸¿¬ ¿°°»¿®»¼®»¿´ ¬± ¬¸» ·²¬»®ª·»©»»ò ̸» ¬©± ­½»²¿®·±­ ¿®» ¿­ º±´´±©­æ

Ü»´»¬·²¹ º®±³ ¿ ­¸¿®»¼ º±´¼»®ò ̸·­ ­½»²¿®·± ø­¸±©² ·² Ú·¹ò ï¿÷

º®±³ ¿ ­¸¿®»¼ º±´¼»® ½®»¿¬»¼ ¾§ ¬¸»·® ½±´´»¿¹«» ±® º®·»²¼ò ײ¬¸·­ ­½»²¿®·±ô ß´·½» ¸¿­ ½®»¿¬»¼ ¿²¼ ­¸¿®»¼ ¿ º±´¼»® ©·¬¸ ¾±¬¸Ö¿²» ¿²¼ Ö±¸²²§ò Ö±¸²²§ ·­ ®«²²·²¹ ±«¬ ±º ­°¿½» ¾«¬ ¼»½·¼»­

¬¿½¬·²¹ Ö¿²» ¿²¼ ß´·½»ô Ö±¸²²§ ¸¿­ ¬± ³¿µ» ¬¸» ¼»½·­·±²

Ü»´»¬·²¹ ¿ ­¸¿®»¼ º±´¼»®ò ̸» ­»½±²¼ ­½»²¿®·± ø­¸±©² ·² Ú·¹òï¾÷ ¿­µ»¼ «­»®­ ©¸¿¬ ©±«´¼ ¸¿°°»² ·º ¬¸»§ ¬®·»¼ ¬± ¼»´»¬»¿ ­¸¿®»¼ º±´¼»® ½®»¿¬»¼ ¾§ ¬¸»·® ½±´´»¿¹«» ±® º®·»²¼ò ײ ¬¸·­­½»²¿®·±ô ß´·½» ¸¿­ ½®»¿¬»¼ ¿ °®±¶»½¬ º±´¼»® ¿²¼ ­¸¿®»¼ ·¬©·¬¸ ¾±¬¸ Ö¿²» ¿²¼ Ö±¸²²§ò ߺ¬»® ¬¸» °®±¶»½¬ ¸¿­ ¾»»²

¬¸» ­¸¿®»¼ º±´¼»®ò Ö±¸²²§ ¹±»­ ¬± ¸·­ ´¿°¬±° ¿²¼ ¼»´»¬»­¬¸» ­¸¿®»¼ º±´¼»® º®±³ ¸·­ ­§²½ º±´¼»®ò ɱ«´¼ Ö±¸²²§ ¾»¿¾´» ¬± ¼»´»¬» ¬¸» º±´¼»®á ׺ ¸» ¼»´»¬»­ ·¬ô ©¸¿¬ ©±«´¼ ¸¿°ó

¬¸» ­¸¿®»¼ º±´¼»® ±® ¬¸» º±´¼»® ©·´´ ¼·­¿°°»¿® º®±³ ¾±¬¸ ±º¬¸»·® ¿½½±«²¬­á Ñ® ©·´´ ·¬ ±²´§ ¼·­¿°°»¿® º®±³ Ö±¸²²§ù­ ­§²½º±´¼»®á

íòì Ù®±«²¼»¼ ̸»±®§

¿²¼ ¾»¹¿² ½±¼·²¹ò Þ»¹·²²·²¹ ½±¼·²¹ ¿­ ­±±² ¿­ ©» ®»½»·ª»¼¼¿¬¿ ©¿­ ·³°±®¬¿²¬ ¾»½¿«­» ·¬ ¿´´±©»¼ «­ ¬± ·¼»²¬·º§ ·²¬»®»­¬ó·²¹ ½¿¬»¹±®·»­ ¿²¼ ¬¸»³»­ ©¸·½¸ ²»»¼»¼ º«®¬¸»® »¨°´±®¿¬·±²Åèô ïëà ¼«®·²¹ ­«¾­»¯«»²¬ ·²¬»®ª·»©­ò Ü¿¬¿ ©¿­ ¿²¿´§¦»¼¬¸®±«¹¸ ­»ª»®¿´ ·¬»®¿¬·ª» ­¬¿¹»­ ±º ±°»²ô ¿¨·¿´ ¿²¼ ­»´»½¬·ª»½±¼·²¹ ¿²¼ ½±²­¬¿²¬ ½±³°¿®·­±²­ ±º ½±¼»­ Åèô ïëÃò Ë­·²¹ÒÊ×ÊÑïô ©» ©»²¬ ¬¸®±«¹¸ »¿½¸ ¬®¿²­½®·°¬ ´·²»ó¾§ó´·²» ¿²¼

¿¾±«¬ ¸±© ½´±«¼ «­»®­ «­» ¬¸» ½´±«¼ ¿²¼ ¸±© ¬¸»§ ¼»´»¬»¾»¹¿² ¬± »³»®¹»ò ̸·­ °®±½»­­ ®»­«´¬»¼ ·² ïîð «²·¯«» ½±¼»­ò

¬©± ­½®·°¬­ô ¬¸» ­»½±²¼ ®»­»¿®½¸»® ·²¼»°»²¼»²¬´§ ½±¼»¼ ¬©±

︬¬°æññ©©©ò¯­®·²¬»®²¿¬·±²¿´ò½±³ñ©¸¿¬ó·­ó²ª·ª±

USENIX Association Thirteenth Symposium on Usable Privacy and Security 243

Shared folder

Sync folder in the Cloud

Other folder

Creator & Owner - AliceJane

Johnny

Access Access Creator

Creator and Owner:

Johnny

Sync folder in the Cloud

Creator & Owner - AliceJane

Johnny

Access Creator

Creator and Owner:

Johnny

Shared folder

Access

Other folder

ø¾÷ Ü»´»¬·²¹ ¿ ­¸¿®»¼ º±´¼»®

¸·­ º®·»²¼­ ÄÖ¿²» ¿²¼ ß´·½»þ ½®»¿¬»¼ ¾§ Äß´·½»þô ¿²¼ ø¾÷ ©» ¿­µ»¼ ©¸¿¬ ©±«´¼ ¸¿°°»² ·º Ö±¸²²§ ¿¬¬»³°¬»¼ ¬± ¼»´»¬» ¿ ­¸¿®»¼

±¬¸»® ­½®·°¬­ ®»­«´¬·²¹ ·² ¿ ­«¾­»¬ ±º ½±¼»­ º®±³ ¬¸» ³¿·²

Ñ«® ­»½±²¼ °¸¿­» ±º ½±¼·²¹ ·²ª±´ª»¼ ·¼»²¬·º§·²¹ °¿¬¬»®²­ô½±²²»½¬·±²­ô ¿²¼ ®»´¿¬·±²­¸·°­ ¾»¬©»»² ¬¸» ½±¼»­ ©» ·²·¬·¿´´§¼»ª»´±°»¼ò Þ§ ¼±·²¹ ¬¸·­ô ©» ¹®±«°»¼ ­·³·´¿® ±® ®»´¿¬»¼½±¼»­ ¬± º±®³ ½¿¬»¹±®·»­ ø½±²½»°¬­÷ ¿²¼ ·² ­±³» ½¿­»­ »¨ó

¹®±«°­ ½±²¬·²«»¼ ¬± »³»®¹»ô ©» ¾»¹¿² ¬± ½±³°¿®» ¬¸» ¹®±«°­¿¹¿·²­¬ »¿½¸ ±¬¸»® ´±±µ·²¹ º±® ½±²²»½¬·±²­ ¾»¬©»»² ¬¸»³òɸ·´» ¿¼¼·¬·±²¿´ ·²¬»®ª·»©­ ©»®» °»®º±®³»¼ô ©» ½±²¬·²«»¼©·¬¸ ½±¼·²¹ ¿²¼ ³»³± ©®·¬·²¹ «²¬·´ ²± ³±®» ²»© ½±¼»­ ©»®»»³»®¹·²¹ò Ò»© ½±¼»­ ­¬±°°»¼ »³»®¹·²¹ ¿º¬»® ¿²¿´§¦·²¹ ïí·²¬»®ª·»©­ô¬¸¿¬ ·­ô ©» ®»¿½¸»¼ ­¿¬«®¿¬·±² ·² ¹®±«²¼»¼ ¬¸»±®§¬»®³­ò ײ ¬¸·­ °¸¿­»ô ³»³±­ ©»®» «­»¼ ¬± ¼»­½®·¾» ½±¼»­ô»ª»²¬­ô ¾»¸¿ª·±®­ô ¿²¼ ®»½±®¼ »³»®¹·²¹ ¯«»­¬·±²­ ¼«®·²¹ ¬¸»­¬«¼§ò Ú±´´±©·²¹ ¬¸·­ô ©» ±®¼»®»¼ ¿²¼ º«®¬¸»® ¹®±«°»¼ ±«®½¿¬»¹±®·»­ ·²¬± ³±®» ¾®±¿¼ ¿²¼ ¿¾­¬®¿½¬ ¹®±«°·²¹­ò ײ ¬¸»´¿­¬ ®±«²¼ ±º ¼¿¬¿ ½±´´»½¬·±²ô ©» ¿¼¼»¼ ¿ º»© ³±®» ¯«»­¬·±²­¬± ¬¸» ·²¬»®ª·»© ¾¿­»¼ ±² ±«® ¹®±«°·²¹­ ¿²¼ ¬¸» ¯«»­¬·±²­¬¸¿¬ »³»®¹»¼ º®±³ ±«® ³»³±­ò Ú±® »¨¿³°´»ô ·² ±«® ­»½ó±²¼ °¸¿­» ±º ¼¿¬¿ ¿²¿´§­·­ô ¬©± °¿®¬·½·°¿²¬ ³»²¬·±²»¼ ¬¸»§©±«´¼ ©¿²¬ ¬¸»·® °¸±¬±­ ¬± ¾» ½±³°´»¬»´§ ¼»´»¬»¼ô ­± ©»¾»¹¿² ¬± ¿­µ ±«® ²»¨¬ ­»¬ ±º °¿®¬·½·°¿²¬­ ©¸¿¬ µ·²¼ ±º ·²º±®ó³¿¬·±² ©±«´¼ ¬¸»§ ©¿²¬ ¬± ­»» ½±³°´»¬»´§ ¼»´»¬»¼ò

̸» ´¿­¬ °¸¿­» ±º ½±¼·²¹ ·²ª±´ª»¼ ­»´»½¬·ª» ½±¼·²¹ô ©¸»®» º«®ó¬¸»® ¬®¿²­½®·°¬­ ©»®» ¿²¿´§¦»¼ ¿²¼ ©» ¿¬¬»³°¬»¼ ¬± ·¼»²¬·º§¿ ´·²µ·²¹ ½±®» ½¿¬»¹±®§ ¬¸¿¬ ¼»­½®·¾»­ ¬¸» «²¼»®´§·²¹ °¸»ó²±³»²±² ·² ¬¸» ±¾­»®ª»¼ ¿²¼ ·²¬»®°®»¬»¼ ¾»¸¿ª·±®ò ̸·­·¬»®¿¬·±² ¹¿ª» «­ ¬¸» ½¸¿²½» ¬± »²¹¿¹» ³±®» ©·¬¸ ¬¸» ­¬«¼§ô«²¼»®­¬¿²¼·²¹ ©¸¿¬ ¬¸» «­»®­ ©»®» ­¿§·²¹ ¿²¼ ¼±·²¹ ©·¬¸®»¹¿®¼­ ¬± ¼»´»¬·±²ò

ìò ÕÛÇ Ú×ÒÜ×ÒÙÍ

­«³³¿®·¦» ¾»´±©æ

øï÷ ɸ¿¬ ³¿µ»­ ¬¸»³ ¼»´»¬»á Ñ«® ¿²¿´§­·­ ­«¹¹»­¬­ ¬¸¿¬«­»®­ù ³±¬·ª¿¬·±² ¬± ¼»´»¬» º¿´´­ ·²¬± º±«® ³¿¶±® ½¿¬»¹±®·»­æ°®·ª¿½§ó¼®·ª»²ô °±´·½§ó¼®·ª»²ô »¨°»®¬·­»ó¼®·ª»² ¿²¼ ­¬±®¿¹»ó¼®·ª»²ò

øî÷ ɸ¿¬ ½¿«­»­ ¼»´»¬·±² º¿·´«®»­á Ò±¬ »ª»®§±²» ½¿² ¼»´»¬»©¸»² ¬¸»§ ©¿²¬ ¬±ò Ú¿·´«®» ¬± ¼»´»¬» ·² ¬¸» ½´±«¼ ·­ ²±¬³»®»´§ ½¿«­»¼ ¾§ °±±®´§ ¼»­·¹²»¼ «­»® ·²¬»®º¿½»­ ¾«¬ ®¿¬¸»®¬¸·­ ½¿² ¾» ¿¬¬®·¾«¬»¼ ¬± ¿ ´±¬ ±º ±¬¸»® º¿½¬±®­ ©¸·½¸ ³¿§

º±®³¿¬·±² ±² ¼»´»¬·±²ò

øí÷ ر© ¼± «­»®­ ½±°» ©·¬¸ ¼»´»¬·±² º¿·´«®»­á Ë­»®­ ¼»ª»´±°¿²¼ ½¸±±­» ¿ ½±°·²¹ ­¬®¿¬»¹§ ¾¿­»¼ ±² ¬¸»·® ³±¬·ª¿¬·±² ¬±¼»´»¬» ±® ¬¸» ½¿«­» ±º ¬¸»·® º¿·´«®» ¬± ¼»´»¬»ò Ú±® »¨¿³°´»ô«­»®­ ©¸±­» ·²¬»²¬·±² ¬± ¼»´»¬» ·­ °®·ª¿½§ó¼®·ª»² ©·´´ ¿´©¿§­

¬± ¹¿·² ³±®» ­¬±®¿¹» ­°¿½»ô ©·´´ ²±¬ ³·²¼ ½´±«¼ ¸±°°·²¹ ¬±¹¿·² ¿¼¼·¬·±²¿´ ­¬±®¿¹»ò

øì÷ ɸ¿¬ ¼± «­»®­ ©¿²¬á Ë­»®­ ¼»­·®» º±«® µ»§ ½¸¿®¿½¬»®ó·­¬·½­ ©·¬¸ ®»­°»½¬ ¬± ¼»´»¬·±² ·² ¬¸» ½´±«¼æ ¬®¿²­°¿®»²½§ ·²¼»´»¬·±²ô ¼»´»¬·±² ¬± ¾» ½±³°´»¬»ô ½±²¬®±´ ±ª»® ¼»´»¬·±²ô ¿²¼¸»´° ­»®ª·½» ¬± ­«°°±®¬ ¼»´»¬·±² ¬¿­µ­ò

ìòï ɸ¿¬ ³±¬·ª¿¬»­ «­»®­ ¬± ¼»´»¬»áÞ»º±®» ©» ½±«´¼ ¬®§ ¬± «²¼»®­¬¿²¼ ©¸§ «­»®­ ½±«´¼ ²±¬

«­»®­ ¬± ¼»´»¬» ±® ¬¸» ­·¬«¿¬·±²­ ·² ©¸·½¸ °»±°´» ©¿²¬ ¬±¼»´»¬»ò Ë­»®­ù ³±¬·ª¿¬·±²­ ¬± ¼»´»¬» ©»®»æ °®·ª¿½§óô »¨°»®¬·­»óô °±´·½§ó ±® ­¬±®¿¹»ó¼®·ª»²ò

ìòïòï Ю·ª¿½§ó¼®·ª»² Ó±¬·ª¿¬·±²­òË­»®­ù ½±²½»®²­ ¿¾±«¬ ±²´·²» ·²º±®³¿¬·±²ô ¬¸» ´»ª»´ ±º ¬®«­¬¬¸» «­»® ¸¿­ ¬±©¿®¼­ ¬¸» °®±ª·¼»®ô ±® ¬¸» °»®½»·ª»¼ ²»¹¿¬·ª»

¼®·ª·²¹ º¿½¬±®­ º±® ¼»´»¬·±²ò

Ô¿½µ ±º ¬®«­¬ ·² °®±ª·¼»®ò Ë­»®­ ©·¬¸ ¸·¹¸ °®·ª¿½§ ½±²ó½»®²­ ¬±©¿®¼­ ½´±«¼ °®±ª·¼»®­ ¿®» ¿´©¿§­ ³±¬·ª¿¬»¼ ¬± ¼»´»¬»òﮬ·½·°¿²¬­ ®»ª»¿´»¼ ¬¸¿¬ ¬¸»§ ¼»´»¬» ¾»½¿«­» ¬¸»§ º»¿® ¬¸¿¬¬¸»·® ¼¿¬¿ ³¿§ º¿´´ ·²¬± ¬¸» ©®±²¹ ¸¿²¼­ò Ú±® ·²­¬¿²½»ô Ðì­¿·¼ô

Ä׬ù­ ¶«­¬ ³» ¾»·²¹ ½¿«¬·±«­ ¬¸¿¬ ¬¸·­ô º®±³ ³§ «²¼»®­¬¿²¼·²¹¿²¼ ·¬ù­ ²±¬ ¬¸¿¬ ¹±±¼ô Ü®±°¾±¨ ·­ ­±³»¬¸·²¹ ´·µ» ¿² ±²´·²»¼¿¬¿¾¿­» ´·µ» ±® ¿ ­¬±®¿¹» ­°¿½»ô ­± × °®»º»® ¶«­¬ ¬± ¾» ±² ¬¸»­¿º» ­·¼» ¬± ¼»´»¬» »ª»®§¬¸·²¹ ­± ¬¸¿¬ ²±¾±¼§ »´­» ½¿² ¿½½»­­

þ

Ðì ´¿¬»® ±² ½±²¬·²«»¼ô

Äò ò ò × ¼±²ù¬ ©¿²¬ ¿²§¬¸·²¹ ¾¿¼ ¬± ¸¿°°»² ±® Ü®±°¾±¨ ¾»·²¹¸¿½µ»¼ò ò ò × ¸¿ª» ·²¬»®ª·»©­ ©·¬¸ ½¸·´¼®»²ô ­± × ­»²¼ ®»½±®¼ó·²¹­ ±º ·²¬»®ª·»©­ ©·¬¸ ½¸·´¼®»² ­± ¶«­¬ ¬± ¾» ±² ¬¸» ­¿º» ­·¼»

244 Thirteenth Symposium on Usable Privacy and Security USENIX Association

Ó±¬·ª¿¬·±²­ º±® ¼»´»¬·±²

Ю·ª¿½§ Ü®·ª»²Ð±´·½§ Ü®·ª»²

Û¨°»®¬·­» Ü®·ª»²

ͬ±®¿¹» Ü®·ª»²

ÇÛÍ ÒÑ

ݱ°·²¹ ­¬®¿¬»¹·»­

ß¼ ¸±½ ͬ®¿¬»¹·»­

Í»»µ ¸»´°

Ü»´»¬» ¼·ºº»®»²¬ º·´»

Ü»´»¬·²¹ º®±³ ¿ ­·²¹´» ¼»ª·½»

Û¨½´«¼·²¹ º·´»­

Ø»¿¼ ·² ¬¸» ­¿²¼

Ý´±«¼ ¸±°°·²¹

Ý¿«­»­ ±º º¿·´«®»­

Ó»²¬¿´

Ó±¼»´­Ü»´»¬·±² ײº±®³¿¬·±²

ײ¬»®º¿½» ·­­«»­

Ý¿² «­»®

¼»́ »¬»á

Ú·¹«®» îæ Õ»§ Ú·²¼·²¹­

±²½» ­¸» ®»½»·ª»­ »ª»®§¬¸·²¹ô × ¼»´»¬» »ª»®§¬¸·²¹òþ

̱ ¿ª±·¼ º«¬«®» ½±² ò ﮬ·½·°¿²¬­ ¼»´»¬»¼ ¬± ¿ª±·¼

¸¿ª» ·² ¬¸» ½´±«¼ò

Äò ò ò × ²± ´±²¹»® ©¿²¬ ¬¸» °·½¬«®»­ ±º ³§ ´±ª»® ¬± ¾» ¿½½»­­·¾´»¬± ¿²§¾±¼§ »´­» ×ù¼ ©¿²¬ ¬¸»³ ¹±²» º®±³ ¬¸» ­»®ª»®­ º±®»ª»®ô¾»½¿«­» ³§ ²»¨¬ º«¬«®» Å°¿®¬²»®Ã ³·¹¸¬ ¼·­½±ª»® ¬¸»³ ò ò ò þÐïï

Ä× ¹»¬ ®·¼ ±º ¬¸·²¹­ ¬¸¿¬ ½±«´¼ ½±³» ¾¿½µ ¬± ¸¿«²¬ ³»ò ò ò þÐïð

̱ º±®¹»¬ò ͱ³» «­»®­ ¼»´»¬» ·² ±®¼»® ¬± º±®¹»¬ò Ó±­¬ °¿®ó¬·½·°¿²¬­ ©¸± ¿«¬±³¿¬·½¿´´§ ­¿ª» ¬¸»·® °¸±¬±­ ·² ¬¸» ½´±«¼®»ª»¿´»¼ ¬± «­ ¬¸¿¬ ¬¸»§ ½±³³±²´§ ¼»´»¬» °¸±¬±­ º®±³ ¬¸»½´±«¼ ·² ±®¼»® ¬± º±®¹»¬ ¿¾±«¬ ¬¸»³ô »ò¹òô °¸±¬±­ ©¸·½¸ ¿®»°»®½»·ª»¼ ¬± ¾» »³¾¿®®¿­­·²¹ ±® ½±²¬¿·² ¿² «²°´»¿­¿²¬ ³»³ó±®§ò

Ĭ± ®»³»³¾»®òþ Ðîð

Äͱ³» «²¸¿°°§ ³»³±®·»­ ³¿§¾»ô × ©±«´¼ ©¿²¬ ¬¸»³ Ŭ±Ã¼·­¿°°»¿® º±®»ª»® ¿²¼ × ¼±²ù¬ ©¿²¬ ¬± ­»» ¬¸»³ ¿¹¿·²òþ Ðïé

ìòïòî Û¨°»®¬·­»ó¼®·ª»² Ó±¬·ª¿¬·±²­ò̸»­» ¿®» º¿½¬±®­ ¬¸¿¬ ¿®» ³±¬·ª¿¬»¼ ¾§ ¬¸» ´»ª»´ ±º «²¼»®ó­¬¿²¼·²¹ ¿ «­»® ¸¿­ ±® ¬¸»·® ¿¾·´·¬§ ¬± ¼»´»¬» ­«½½»­­º«´´§ò

Í»´ºó»º ½¿½§

¬¿­µò ﮬ·½·°¿²¬­ ©¸± ¸¿¼ »²±«¹¸ µ²±©´»¼¹» ±® ­µ·´´ ¬±

¼»´»¬» ¬»²¼»¼ ¬± ³¿µ» ¬¸» ¼»½·­·±² ¬± ¼»´»¬» ©¸»²»ª»® ¬¸»§©¿²¬»¼ ¿²¼ »¨»½«¬» ·¬ ·³³»¼·¿¬»´§ò ر©»ª»®ô ¬¸±­» ©¸±­¬®«¹¹´»¼ ¬± ¼»´»¬» ­¸±©»¼ ´»­­ ·²¬»®»­¬ ·² ©¿²¬·²¹ ¬± ¼± ­±ò

Ü»´»¬·²¹ ¿º¬»® «²·²¬»²¬·±²¿´ «­»ò ß­ ¸·¹¸´·¹¸¬»¼ ·² ±¬¸»®½´±«¼ ­¬«¼·»­ ÅçÃô ±«® »¿®´§ ½±¼·²¹ ®»­«´¬»¼ ·² ¬¸» ½¿¬»¹±®§±º Ä«²·²¬»²¬·±²¿´ «­»þò Í»ª»®¿´ ±º ±«® °¿®¬·½·°¿²¬­ ¼»´»¬»¼

®»¿¼§ ·²­¬¿´´»¼ ·² ­³¿®¬ ¼»ª·½»­ ¿²¼ ½±³°«¬»®­ò ر©»ª»®ô

¿°°´·½¿¬·±²­ ©·´´ ¿«¬±³¿¬·½¿´´§ ´±¹ ¬¸»³ ·²¬± ¬¸»­» ­»®ª·½»­¿²¼ ­¬¿®¬ ­¿ª·²¹ ¼¿¬¿ ¬± ¬¸» ½´±«¼ò Ë°±² ®»¿´·¦¿¬·±²ô ³±­¬«­»®­ù ®»­°±²­» ©¿­ ¬± ¼»´»¬» ¬¸» ¼¿¬¿ ¿­ ­±±² ¿­ °±­­·¾´»òﮬ·½·°¿²¬­ ®«­¸»¼ ¬± ¼»´»¬» ¾»½¿«­» ¬¸»§ ©»®» ²±¬ ­«®» ¸±©

²±¬ ­«®» ©¸»¬¸»® ¬¸»·® ¼¿¬¿ ©¿­ °«¾´·½ ¿²¼ô ¸»²½»ô ª·­·¾´»¬± »ª»®§±²»ò Ѳ» °¿®¬·½·°¿²¬ ©¸± ¼·¼ ²±¬ ®»¿´·¦» ­¸» ©¿­«­·²¹ Ѳ»Ü®·ª» º±® î §»¿®­ ²±¬»¼æ

Ä

¬¸»®» ¾«¬ ±¾ª·±«­´§ô ×ù¼ ©¸¿½µ»¼ ¬¸»³ ·² ³§ °¸±²» ¿²¼ ¬¸¿¬ù­©¸»®» ·¬ù¼ ¿«¬±³¿¬·½¿´´§ ­¿ª»¼ ¬±ò ͱ × ¼»´»¬»¼ ¬¸»³òþ Ðïè

ìòïòí б´·½§ó¼®·ª»² Ó±¬·ª¿¬·±²­òË­»®­ ¿®» ¼®·ª»² ¬± ¼»´»¬» ¼«» ¬± »¨¬®·²­·½ °±´·½·»­ô »ò¹òô ±®ó¹¿²·¦¿¬·±²¿´ ­»½«®·¬§ °±´·½·»­ ¬± ©¸·½¸ ¬¸»§ ³«­¬ ¿¼¸»®»ô ¿­©»´´ ¿­ ·²¬®·²­·½ ±²»­ô »ò¹òô °»®½»·ª»¼ ª¿´«» ±º ·²º±®³¿¬·±²

USENIX Association Thirteenth Symposium on Usable Privacy and Security 245

Ñ®¹¿²·¦¿¬·±²¿´ °±´·½§ ½±³°´·¿²½»ò ݱ³°´·¿²½» ©·¬¸ ±®ó¹¿²·¦¿¬·±²¿´ ­»½«®·¬§ ¿²¼ ·²º±®³¿¬·±² ­¸¿®·²¹ °±´·½·»­ ·­ ±ºó¬»² ¿ ¼®·ª·²¹ º¿½¬±® º±® ¼»´»¬·±²ò ﮬ·½·°¿²¬­ ³»²¬·±²»¼¬¸¿¬ ¬¸»·® ©±®µ °±´·½·»­ ®»¯«·®»¼ ¬¸»³ ¬± ³¿²¿¹» ¼¿¬¿ ­»ó½«®»´§ ©¸·½¸ ·²½´«¼»¼ ¼»´»¬·±²ò ر©»ª»®ô ·²¬»®ª·»©»»­ ¿´­±®»ª»¿´»¼ ¬¸¿¬ ¬¸»§ ½±²¬·²«»¼ ¬± «­» °«¾´·½ ½´±«¼­ ¥ ¼»­°·¬»¬¸·­ ¾»·²¹ ·² ª·±´¿¬·±² ±º ±®¹¿²·¦¿¬·±²¿´ °±´·½·»­ ¥ ¾»½¿«­»¬¸»§ ©»®» ½±²ª»²·»²¬ ¿²¼ »¿­§ ¬± «­»ò

Äò ò ò × «­» ÅÞ±¨Ã ¾»½¿«­» ·¬ ©¿­ ®»½±³³»²¼»¼ ¿²¼ ©» ©»®» ¬±´¼¬¸¿¬ ©» ½±«´¼²ù¬ ­¬±®» ®»­»¿®½¸ ©±®µ ±² Ü®±°¾±¨ ò ò ò ͱ³»¬·³»­× «­» Ü®±°¾±¨ ò ò ò³±­¬ °»±°´» «­» ·¬ô ¾«¬ ·º × «­» Ü®±°¾±¨ ×¼»´»¬»òòòþ Ðç

л®½»·ª»¼ ª¿´«»

ª¿´«¿¾´»ô ¬¸»§ ©±«´¼ ©¿²¬ ¬± ¼»´»¬» ·¬ ·³³»¼·¿¬»´§ ¿º¬»® «­ó

±® ²»»¼»¼ô ¬¸»§ ©±«´¼ ½±²­·¼»® ·¬ ¿ ¹±±¼ ½¿²¼·¼¿¬» º±® ¼»´»ó¬·±²ò

Äò ò ò ׬ù­ ¶«­¬ ²±®³¿´ ¼»´»¬·²¹ò × ®»¿¼ ¬¸» °¿°»® ¿²¼ ·º ·¬ù­ ²±«­» º±® ³»ô ¬¸»² × ¼»´»¬» ·¬ô ¬¸¿¬ù­ ·¬ò ò ò̸»®» ©¿­ ¼±½«³»²¬©» ¸¿¼ô ·¬ ©¿­ ²±¬ ¹±±¼ º±® ±«® ¶±¾ô ©» ¶«­¬ ¼»´»¬»¼ Å·¬Ãòþ Ðè

ìòïòì ͬ±®¿¹»ó¼®·ª»² Ó±¬·ª¿¬·±²­òË­»®­ ¿®» ¿´­± ¼®·ª»² ¾§ ­¬±®¿¹» ­·¦» ¿²¼ ¬¸» ²»»¼ ¬± ±®¹¿²·¦»¬¸»·® ¼¿¬¿ ­§­¬»³¿¬·½¿´´§ò

ͬ±®¿¹» ­·¦»ò ̸» ³±­¬ °®±³·²»²¬ ®»°»®¬±·®» ©¿­ ¼»´»¬·²¹·² ±®¼»® ¬± º®»» ­±³» ­°¿½»ò ײ­¬»¿¼ ±º ¾«§·²¹ ³±®» ­¬±®¿¹»­±³» ½´±«¼ «­»®­ «­» ¼»´»¬·±² ¬± ®»½´¿·³ «­»¼ ­°¿½»ò ̸»´»­­ ­°¿½» ¿ «­»® ¸¿­ô ¬¸» ³±®» ³±¬·ª¿¬»¼ ¬¸»§ ©·´´ ¾» ¬±¼»´»¬»ò

Ä× ¼·¼²ù¬ ¸¿ª» ¿ ´±¬ ±º ­°¿½» ­± × ¸¿¼ ¬± ¬¿µ» ±«¬ ­±³» °·½¬«®»­¿²¼ ª·¼»±­ ­± × ¼»´»¬»¼ ¬¸»³ º®±³ ·Ý´±«¼òþ Ðïê

ÄÅɸ»² ³§Ã ­°¿½» ©¿­ ´·³·¬»¼ × ©±«´¼ ¿½¬«¿´´§ ¹± ¬¸®±«¹¸¿²¼ °®«²» ±«¬ ©¸¿¬ù­ ·³°±®¬¿²¬ ©¸¿¬ù­ ²±¬òþ Ðïï

Ì·¼§·²¹ «°ò ͱ³»¬·³»­ ½´±«¼ «­»®­ ¼»´»¬» ¬± µ»»° ¬¸·²¹­¬·¼§ò É» ¼·­½±ª»®»¼ ¬¸¿¬ ©¸»² «­»®­ ¸¿ª» ¬¸» ­µ·´´ ¿²¼ ¬¸»µ²±©´»¼¹» ¬± ¼»´»¬»ô ¬¸»§ ©·´´ ­±³»¬·³»­ ¬¿µ» ¬·³» ±«¬ ¶«­¬¬± ¬·¼§ ¬¸·²¹­ «° º®±³ ¬¸»·® ½´±«¼ ¿½½±«²¬­ò

ìòî ɸ§ ¼± «­»®­ º¿·´ ¬± ¼»´»¬»áß´¬¸±«¹¸ ¬¸» »¨¿½¬ ¼»¬¿·´­ ±º «­»®­ù º¿·´«®» ¬± ¼»´»¬» ª¿®·»¼ô±«® ¼¿¬¿ ­«¹¹»­¬­ ¿ ®¿²¹» ±º ½±³³±² º¿½¬±®­ ¬¸¿¬ ´»¿¼ ¬±

·²º±®³¿¬·±²ô ³»²¬¿´ ³±¼»´­ô ¿²¼ «­»® ·²¬»®º¿½» ¼»­·¹²­ò

«²¼»®­¬¿²¼·²¹ ±² ¼»´»¬·±²ò ß´¬¸±«¹¸ ©» ¼·¼ ²±¬ ¿­µ ±«®°¿®¬·½·°¿²¬­ ¿¾±«¬ ·²º±®³¿¬·±² ±² ¼»´»¬·±²ô °¿®¬·½·°¿²¬­ ²±ó

»³»®¹»¼ ¬¸¿¬ ­»®ª·½» °®±ª·¼»® ¿¼ª»®¬·­»³»²¬­ ¸¿¼ ·²º±®³¿ó

¾«¬ ²±²» ±² ¼»´»¬·±²ò

ÄÒ±¬¸·²¹ ´·µ» ¬¸¿¬ ·­ ³¿¼» ª»®§ ½´»¿® ©¸»² §±« ­·¹² «°òÓ¿§¾» ·º §±« ®»¿¼ ¬¸®±«¹¸ ¬¸» ¹¿¦·´´·±² ¬»®³­ ¿²¼ ½±²¼·ó

×ùª» ½±³» ¿½®±­­ ¿²§©¿§ ¬¸¿¬ ­¿§­ô ùߺ¬»® ¬¸·­ ¿³±«²¬ ±º°»®·±¼ ±º ¬·³» ¬¸·­ ©·´´ ¿½¬«¿´´§ ¾» ¼»´»¬»¼òù ͱô ­«®»´§ ¬¸¿¬

þ Ðïç

­¬¿²¼ ¿²¼ ²±¬ °®±ª·¼·²¹ ¬¸»³ ·²º±®³¿¬·±² ¬¸¿¬ ·­ °»®¬·²»²¬¬± ¬¸» ¼»´»¬·±² ¬¿­µò

Äͱ³»¬·³»­ ±² ·Ý´±«¼ ·¬ ¼±»­ ²±¬ ¿´´±© §±« ¬± ¼»´»¬»ô ´·µ» ·º§±« ¿®» ¬®§·²¹ ¬± ¼»´»¬» ­±³»¬¸·²¹ ·¬ ­¿§­ ¬¸¿¬ ·º §±« ¼»´»¬»·¬ ©·´´ ³»­­ «° »ª»®§¬¸·²¹ »´­»ô ¾«¬ ±² Ù±±¹´» Ü®·ª» ¿²¼ ±²Ü®±°¾±¨ô ×ùª» ²»ª»® º±«²¼ ¿²§¬¸·²¹ ´·µ» ¬¸¿¬ò Ѳ ×Ý´±«¼

þ Ðîì

ß´¬¸±«¹¸ ­«½¸ ·²º±®³¿¬·±² ·­ ­±³»¬·³»­ ³¿¼» ¿ª¿·´¿¾´» ·²¬¸» ¬»®³­ ¿²¼ ½±²¼·¬·±²­ ±º ­»®ª·½»­ô ±«® ·²¬»®ª·»©­ ­¸±©¬¸¿¬ «­»®­ ¼± ²±¬ ®»¿¼ ¬¸» ¬»®³­ ¿²¼ ½±²¼·¬·±²­ô ¬¸»®»º±®»ô¬¸»§ ¼± ²±¬ ¸¿ª» ¿ º«´´ «²¼»®­¬¿²¼·²¹ ±º ¸±© ¬¸»·® ¼¿¬¿ ©·´´¾» ¸¿²¼´»¼ ¾§ ¬¸» °®±ª·¼»®ò ݱ²½»°¬­ ­«½¸ ¿­ ®»¬»²¬·±² °»ó®·±¼ ¿®» «²µ²±©² ¿³±²¹ «­»®­ò Ю»ª·±«­ ®»­»¿®½¸ ±² °®·ª¿½§°±´·½·»­ ¿²¼ ¬»®³­ ¿²¼ ½±²¼·¬·±²­ ­¬¿¬»­ ¬¸¿¬ «­»®­ °»®½»·ª»¬»®³­ ¿²¼ ½±²¼·¬·±²­ ¿­ ¾»·²¹ ´±²¹ ¿²¼ «²®»¿¼¿¾´»Åïîô îîÃòͱ³» ±º ±«® °¿®¬·½·°¿²¬­ ²±¬»¼ ¬¸¿¬ô ©¸·´» ¬¸»§ ¼·¼ ²±¬ ¸¿ª»

©¸»¬¸»® ¬¸»·® ¼»´»¬·±² ·­ °»®³¿²»²¬ ±® ²±¬ò

ìòîòî Ó»²¬¿´ Ó±¼»´­Ë­»®­ ¸¿ª» ¾»»² µ²±©² ¬± ½±²­¬®«½¬ ¬¸»·® ±©² ³»²¬¿´ ³±¼ó

¬± ½±³°´»¬» ¿ ¬¿­µ ÅíîÃò ر©»ª»®ô ³±­¬ ±º ¬¸»­» ³±¼»´­ ¿®»·²¿½½«®¿¬» ¿²¼ ·² ³±­¬ ½¿­»­ ´»¿¼ ¬± ©®±²¹ ®»­«´¬­ò ˲­«®ó°®·­·²¹´§ô ³±­¬ ½´±«¼ «­»®­ ©·¬¸ ·²½±³°´»¬» ³»²¬¿´ ³±¼»´­±º ¼¿¬¿ ³¿²¿¹»³»²¬ ·² ¬¸» ½´±«¼ ®»°±®¬»¼ ²±¬ ¾»·²¹ ¿¾´» ¬±¼»´»¬»ò Ë­»®­ù ·²¿½½«®¿¬» ³»²¬¿´ ³±¼»´­ ¼·¼ ²±¬ ¶«­¬ ´»¿¼ ¬±¼»´»¬·±² º¿·´«®» ¾«¬ ¿´­± ¬± ©®±²¹ »¨°»½¬¿¬·±²­ò

Ñ«® ¼¿¬¿ ­¸±©­ ¬¸¿¬ ³±­¬ ½´±«¼ «­»®­ ¸¿ª» ´»­­ ±® ³·²·³¿´«²¼»®­¬¿²¼·²¹ ±º ¬¸» ½´±«¼ ¿²¼ ±º ¼»´»¬·±²ò Ú±® »¨¿³°´»ô­±³» «­»®­ °®»­»²¬»¼ ´·³·¬»¼ µ²±©´»¼¹» ±² ¸±© ¬¸» ­§²ó½¸®±²·¦¿¬·±² º±´¼»® ©±®µ­ ±® ¬¸¿¬ ¬¸»§ ½¿² ¿½½»­­ ¬¸» ½´±«¼·²¼»°»²¼»²¬ ±º ¿°°­ ¬¸¿¬ ½±²­«³»¼ ±® «­»¼ ¬¸» ½´±«¼ò ײ¬»®³­ ±º ¼»´»¬·±²ô ¬¸»§ ¼·¼ ²±¬ «²¼»®­¬¿²¼ ¬¸» ½±²½»°¬ ±ºÜ»´»¬»¼ º±´¼»® ø·ò»ô ©¸»®» ¼»´»¬»¼ ¼¿¬¿ ¹±»­÷ô ®»¬»²¬·±² °»ó

°¿®¬·½·°¿²¬­ ½±²½»®²·²¹ ¼»´»¬·±² ¿²¼ ¬¸» ½´±«¼ò ײ ¬¿¾´» ï©» ­¸±© ©¸·½¸ ³±¼»´­ ©»®» ½±³³±² ¿³±²¹ ±«® °¿®¬·½·°¿²¬­¿²¼ ©¸·½¸ ±²» ©»®» ²±¬ò ß´­±ô ­·²½» ­±³» ±º ±«® °¿®¬·½·°¿²¬­±©²»¼ ³±®» ¬¸¿² ±²» ³±¼»´ô ©» ¼± ²±¬ ®»°±®¬ ¸±© ³¿²§°¿®¬·½·°¿²¬­ ±©²»¼ »¿½¸ ³±¼»´ò

Ì¿¾´» ïæ ݱ³³±² ³»²¬¿´ ³±¼»´­

б°«´¿® Ó±¼»´­ ˲½±³³±² Ó±¼»´­

ó ͧ²½ º±´¼»®­ ¿®» ²±¬ ¬¸» ½´±«¼¿´´ ³»³¾»®­

ó Í¿ª·²¹ ¿²¼ ¼»´»¬·²¹ ©±®µ¬¸» ­¿³» ©¿§

ó Ю±ª·¼»®­ ¼±²ù¬ ¼»´»¬»

ó ̸» ½´±«¼ ©·¬¸·² ¿² ¿°°ó Þ±®®±©»¼ ¼»´»¬·±² ³±¼»´­ó ͸¿®»¼ º±´¼»®æ Ü»´»¬·±² ·­±²» ­·¼»¼

ͧ²½ º±´¼»®­ ¿®» ²±¬ ¬¸» ½´±«¼ò ̱ ¿«¬±³¿¬·½¿´´§ ­¿ª»¼¿¬¿ ·² ¬¸» ½´±«¼ô ½´±«¼ «­»®­ ¸¿ª» ¬± ·²­¬¿´´ ­§²½¸®±²·¦¿¬·±²­±º¬©¿®» ±® ¿°°´·½¿¬·±²­ ·² ¬¸»·® ¼»ª·½»­ò Ü«®·²¹ ·²­¬¿´´¿¬·±²ô¿ ­§²½¸®±²·¦¿¬·±² ¿°°´·½¿¬·±² ©·´´ ½®»¿¬» ¿ ´±½¿´ º±´¼»® ·² ¬¸»«­»®ù­ ½±³°«¬»® ©¸·½¸ ©·´´ ¾» ´·²µ»¼ ©·¬¸ ¬¸» ½´±«¼ ­»®ª·½»ò

246 Thirteenth Symposium on Usable Privacy and Security USENIX Association

̸» °«®°±­» ±º ¬¸» ­§²½¸®±²·¦¿¬·±² ¿°°´·½¿¬·±² ·­ ¬± ¼»¬»½¬

¿²¼ «°¼¿¬» «­»®ù­ ½±²¬»²¬­ ·² ¬¸» ½´±«¼ò ̸·­ »²­«®»­ ¬¸¿¬

Ú±® ¬¸·­ ¬± ©±®µô ¿ «­»® ·­ ®»¯«·®»¼ ¬± ¾» ´±¹¹»¼ ·² ¬± ¬¸»·®½´±«¼ ¿½½±«²¬ ¬¸®±«¹¸ ¬¸» ¿°°´·½¿¬·±²ò ß´¬¸±«¹¸ô ¬¸·­ ·­°±°«´¿® ¿³±²¹­¬ «­»®­ô ±«® ¼¿¬¿ ­«¹¹»­¬­ ¬¸¿¬ ³±­¬ ±º ¬¸»³¼± ²±¬ «²¼»®­¬¿²¼ ¸±© ¬¸·­ ©±®µ­ò ͱ³» «­»®­ ¼»´»¬»¼ º®±³

¿²±¬¸»® ¹®±«° ¼·¼ ²±¬ «²¼»®­¬¿²¼ ¬¸¿¬ ¼»´»¬·²¹ º®±³ ¬¸·­º±´¼»® ©±«´¼ ¿´­± ³»¿² ¼»´»¬·±² º®±³ ¬¸» ½´±«¼ò

Ä

º±´¼»® ©±«´¼ ¿´­± ¼»´»¬» º®±³ ¬¸» ½´±«¼ ¿­ ©»´´ò ò ò ¾«¬ ¬¸»² ×

¼»´»¬»¼ ¿­ ©»´´ò × ©¿­ ²±¬ ¸¿°°§ ¬± ­»» ¬¸¿¬òþ Ðîì

Í¿ª·²¹ ¿²¼ ¼»´»¬·²¹ ©±®µ ¬¸» ­¿³» ©¿§ò ͱ³» «­»®­©®±²¹´§ ½±²½´«¼»¼ ¬¸¿¬ ¼»´»¬·±² ·² ¬¸» ½´±«¼ ©±®µ»¼ ¬¸»

»¨¬»²¬ô ¬¸¿¬ ·­ ±²´§ ­± ©¸»² «­·²¹ ¿ ­§²½ º±´¼»® ·² ¿ ½±³ó

º±´¼»® ©·´´ ¿«¬±³¿¬·½¿´´§ ¾» «°´±¿¼»¼ ¿²¼ ­¿ª»¼ ·² ¬¸» ½´±«¼ò

º®±³ ¬¸» «­»® ­°¿½» ª·­·¾´» ¬± ¬¸» «­»® ¾«¬ °´¿½»¼ ·² ¿ Ü»´»¬»¼º±´¼»® ·² ¬¸» ½´±«¼ò ر©»ª»®ô ¬¸·­ ³¿§ ²±¬ ¿°°´§ ·² ¿ ­·¬«¿ó¬·±² ©¸»®» ¿ «­»® ½±²²»½¬­ ¬± ¬¸» ½´±«¼ ¬¸®±«¹¸ ¿²±¬¸»® ¿°°ø»ò¹òô ½¿³»®¿ ¿°° ¬± ¾¿½µ«° °¸±¬±­÷ò Ü»´»¬·²¹ ¿ °¸±¬± º®±³¬¸» ½¿³»®¿ ¿°° ³¿§ ²±¬ ²»½»­­¿®·´§ ¼»´»¬» ·¬ º®±³ ¬¸» ½´±«¼ò

¬¸» ½´±«¼ ©¸»² ¬¸»§ ¼»´»¬»¼ ¬¸»³ º®±³ ¬¸»·® ³±¾·´» ¼»ª·½»­¾»½¿«­» ¬¸»§ ¿«¬±³¿¬·½¿´´§ ­¿ª»¼ ¬± ¬¸» ½´±«¼ò Ѳ» º®«­ó¬®¿¬»¼ °¿®¬·½·°¿²¬ ­¿·¼ô

Ä× «­»¼ ¬± ¬¸·²µ ¬¸¿¬ ·¬Å¼»´»¬·±²Ã ©¿­ µ·²¼ ±º ¿«¬±³¿¬·½ ¬¸¿¬·º × ¼»´»¬»¼ º®±³ ¬¸» °¸±²» ¬¸¿¬ ·¬ ©±«´¼ ´·µ» ż»´»¬»Ã ¾»½¿«­»¬¸» º¿½¬ ¬¸¿¬ × ­¿ª» ¬¸» °¸±¬±­ô ¬¸¿¬ ·¬ù­ ­¿ª»¼ ·² ·Ý´±«¼ ׬¸·²µ ¬¸¿¬ ·º × ¼»´»¬» ·¬ ô·¬ ©±«´¼ ¼»´»¬» ·¬­»´º º®±³ ³§ ·Ý´±«¼¿­ ©»´´òþ Ðïì

̸» ½´±«¼ ©·¬¸·² ¿² ¿°°ò ̸» «­» ±º ¿°°´·½¿¬·±²­ ¬± ½±²ó­«³» ½´±«¼ ­»®ª·½»­ ¸¿­ ´»º¬ ³¿²§ «­»®­ ²±¬ µ²±©·²¹ ¬¸¿¬¬¸»§ ½¿² ¿½½»­­ ¬¸» ½´±«¼ ·²¼»°»²¼»²¬´§ º®±³ ¬¸±­» ¿°°´·ó½¿¬·±²­ò ̸·­ ¬§°» ±º «­»®­ ¼± ²±¬ ¼»´»¬» º®±³ ¬¸» ½´±«¼¾»½¿«­» ¬¸»§ ¼± ²±¬ µ²±© ¬¸¿¬ ¬¸»·® ¼¿¬¿ ³¿§ ­¬·´´ ¾» ·²¬¸» ½´±«¼ ¿²¼ ¬¸»§ ½¿² ¿½½»­­ ¬¸» ½´±«¼ ¬± ¼»´»¬»ò Ë­»®­¿´­± ¼± ²±¬ µ²±© ¬¸¿¬ ­±³» ¿°°´·½¿¬·±²­ ³¿§ ¾¿½µ«° ¼¿¬¿¿«¬±³¿¬·½¿´´§ ¬± ¬¸» ½´±«¼ò Ѳ» °¿®¬·½·°¿²¬ ©¿­ ­«®°®·­»¼©¸»² ¿­µ»¼ ·º ­¸» ¸¿¼ »ª»® ¼·®»½¬´§ ´±¹¹»¼ ·² ¿²¼ ¼»´»¬»¼º®±³ ¸»® ·Ý´±«¼ ¿½½±«²¬æ

Ä× Å¸¿ª»Ã ²»ª»® ½±³» ¬± ¬¸» ½±²½´«­·±² ¬¸¿¬ × ½±«´¼ ¿½¬«¿´´§¹± ¬¸»®» ¿²¼ ¼»´»¬»þ Ðïì

Þ±®®±©»¼ ¼»´»¬·±² ³±¼»´­ò ͱ³» «­»®­ ¸¿ª» ¬®¿²­º»®®»¼¬¸»·® ³»²¬¿´ ³±¼»´­ ±º ¼»´»¬·±² º®±³ ±¬¸»® ±²´·²» ­»®ª·½»­­«½¸ ¿­ ±²´·²» ­±½·¿´ ²»¬©±®µ­ ¬± ¬¸» ½´±«¼ò ɸ»² ¿­µ»¼

¬¸» ½´±«¼ô ±²» Ü®±°¾±¨ «­»® ®»­°±²¼»¼ ­¿§·²¹æ

Äò ò ò × ¬¸·²µ × ©·´´ ¿­µ ³§ º®·»²¼ ¬± ¼»´»¬» ·¬ò ß²¼ ·º ¬¸»§ ¼±²ù¬¬¸»² × ½¿²ù¬ ¼± ¿²§¬¸·²¹ ¿°¿®¬ º®±³ «²¬¿¹ ³§­»´ºò × ¬¸·²µ ·¬ù­¯«·¬» ¿ ­·³·´¿® °±´·½§ ´·µ» ·² ײ­¬¿¹®¿³ ±® ·² Ú¿½»¾±±µ ©¸»²

§±« ©¿²¬ ¬± ¼»´»¬» ·¬ô ·¬ ¿´©¿§­ ¹·ª»­ §±« ¬¸» ±°¬·±²­ »·¬¸»®½±²¬¿½¬ §±«® º®·»²¼ ¬± ¸¿ª» ¬¸»³ ¼»´»¬» ¬¸» °¸±¬± ±® §±« ¶«­¬«²º®·»²¼ ¬¸»³òþ Ðïì

͸¿®»¼ º±´¼»®æ Ü»´»¬·±² ·­ ±²» ­·¼»¼ò ̸» ½±²½»°¬ ±º¼»´»¬·²¹ º®±³ ¿ ­¸¿®»¼ º±´¼»® ·­ ¿ ½¸¿´´»²¹·²¹ ¿²¼ ½±²º«­ó·²¹ ±²» º±® ³±­¬ «­»®­ò ͱ³» «­»®­ ¾»´·»ª»¼ ¬¸¿¬ ©¸»² ±²»¼»´»¬»­ º®±³ ¿ ­¸¿®»¼ º±´¼»®ô ¬¸» ¼»´»¬·±² ©·´´ ±²´§ ®»³±ª» ¿

¿ª¿·´¿¾´» º±® ±¬¸»® ³»³¾»®­ ±º ¬¸» ­¸¿®»¼ º±´¼»®ò ̱ ¬¸»­»«­»®­ô ¼»´»¬·±² º®±³ ¿ ­¸¿®»¼ º±´¼»® ·­ ±²»ó­·¼»¼ò É» ¿´­±

´±¿¼»¼ ¬± ¿ ­¸¿®»¼ º±´¼»® ·² ¬¸» ½´±«¼ô ¬¸» ½´±«¼ ©±«´¼ ½®»¿¬»

º±´¼»®ò ̸«­ô ¿­­«³·²¹ ¬¸¿¬ ©¸»² ¬¸»§ ¼»´»¬» º®±³ ¿ ­¸¿®»¼º±´¼»®ô ¬¸»§ ¿®» ±²´§ ¼»´»¬·²¹ ¬¸»·® ±©² ½±°§ ¿²¼ ²±¬ ¼»´»¬ó·²¹ º®±³ »ª»®§±²»ò Ѳ» °¿®¬·½·°¿²¬ ´·µ»²»¼ ¼»´»¬·²¹ º®±³ ¿­¸¿®»¼ º±´¼»® ¬± ¼»´»¬·²¹ º®±³ ɸ¿¬­¿°° ³»­­»²¹»®æ

Äò ò ò Å׺ ­¸» ¼»´»¬»­ ·¬Ã ·¬ ©±«´¼²ù¬ ¹»¬ ¼»´»¬»¼ º®±³ ³§ ­·¼» ¾«¬·¬ ©·´´ ±¾ª·±«­´§ ¶«­¬ ¹»¬ ¼»´»¬»¼ º®±³ ¸»® ­·¼» ž»½¿«­»Ã ­¸»¼±»­²ù¬ ©¿²¬ ·¬ò Ô·µ» ·º §±« ­»²¼ ¿ ɸ¿¬­¿°° ³»­­¿¹»ò ͱ²±®³¿´´§ ·¬ ©±«´¼²ù¬ ¹»¬ ¼»´»¬»¼ º®±³ ³§ »²¼ô ·¬ ©±«´¼ ¶«­¬¹»¬ ¼»´»¬»¼ º®±³ ¸»® »²¼òþ Ðïî

͸¿®»¼ º±´¼»®æ Ü»´»¬·±² ¿ºº»½¬­ ¿´´ ³»³¾»®­ò ͱ³»«­»®­ ®»°±®¬»¼ ¬¸¿¬ ¬¸»§ µ²»© ¬¸¿¬ ¼»´»¬·²¹ º®±³ ¿ ­¸¿®»¼

­·±² ©¸»¬¸»® ¬± ¼»´»¬» ±® ²±¬ò ̸»§ ¾»´·»ª» ¬¸¿¬ ¬¸»®» ·­ ²±

º±«²¼ ¬¸¿¬ «­»®­ ©¸± °±­­»­­ ¬¸·­ ³±¼»´ °®»º»® ¬± ´»¿ª» ¬¸»

Äò ò ò ©¸»² × ¼± ¬¸·­ ·¬ù­ ¿´©¿§­ ¿º¬»® ³§ ¬®¿²­½®·¾»® ¸¿­ «­»¼¬¸» ³¿¬»®·¿´ ¿²¼ ­»²¬ ³» ¬¸» ¬®¿²­½®·°¬·±²­ ¾¿½µ ­± × ¿´©¿§­¬¸·²µ ·¬ ·­ ­¿º» ¬± ¼»´»¬» ¬¸»³ ²±© ¾»½¿«­» ·² ³§ ¸»¿¼ ×ù³¬¸·²µ·²¹ò ò ò ·º × ¼»´»¬» ¬¸»³ ­¸» ©±²ù¬ ¾» ¿¾´» ¬± ­»» ¬¸»³ô ­±

þ Ðì

Ü»´»¬·±² ·­ °»®³¿²»²¬ ¿²¼ ·²­¬¿²¬ò ͱ³» ±º ±«® ­«¾ó¶»½¬­ ¸¿¼ ¿ ª»®§ «²¼»®ó¼»ª»´±°»¼ ³±¼»´ ±º ¼»´»¬·±² ·² ¬¸»½´±«¼ò ̸»­» ­«¾¶»½¬­ ¼·¼ ²±¬ ¬¸·²µ ¿¾±«¬ ¼»´»¬·±² ·² ¿²§¼»°¬¸ ¾«¬ ½±²½´«¼»¼ ¬¸¿¬ ·¬ ©¿­ ·²­¬¿²¬ ¿²¼ °»®³¿²»²¬ò

º±® ¬¸»³ ¬± ½±²½´«¼» ­±ò ̸»­» ­«¾¶»½¬­ ©»®» «²½±²½»®²»¼¿¾±«¬ ¬¸»·® ¼»´»¬»¼ ¼¿¬¿ ¿²¼ ¾»´·»ª»¼ ¬¸»§ ©»®» ­¿º» ¿º¬»®

¬¸»·® ª·»©­ ±² ®»½±ª»®§ º®±³ ¬¸» ½´±«¼å ¿½½±®¼·²¹ ¬± ¬¸»­»­«¾¶»½¬­ ¼¿¬¿ ®»½±ª»®§ º®±³ ¬¸» ½´±«¼ ·­ ²±¬ °±­­·¾´»ò

·²¼·ª·¼«¿´­ ©¸± ¸¿¼ ¬¸·­ ³±¼»´ò Ѳ ±²» ¸¿²¼ô ¬¸»§ ¾»ó´·»ª»¼ ¼»´»¬·±² ©¿­ °»®³¿²»²¬ ¾»½¿«­» ¬¸»§ ½±«´¼ ²±¬ ®»ó½±ª»® ¼»´»¬»¼ ¼¿¬¿ ·² ¬¸» ½´±«¼ò Ѳ ¬¸» ±¬¸»® ¸¿²¼ô ¬¸»§¿´­± ¾»´·»ª»¼ ¬¸¿¬ ¼»´»¬·±² ·² ¬¸» ½´±«¼ ½±«´¼ ²±¬ ¾» °»®ó

½¿«­»¼ ¾§ ¬¸» ¾»´·»º ¬¸¿¬ ±²´·²» ­»®ª·½»­ ¼± ²±¬ ¼»´»¬» ¼¿¬¿¬¸»®»º±®» ½´±«¼ ¾»·²¹ ¿² ±²´·²» ­»®ª·½» ©±«´¼ ¿´­± ²±¬ ¼»´»¬»¼¿¬¿ò ß ¸¿²¼º«´ ±º °¿®¬·½·°¿²¬­ô ¸±©»ª»®ô ¼·¼ ²±¬ º¿´´ ·²¬±

½´±«¼ ©¿­ ²±¬ °»®³¿²»²¬ ¿²¼ »ª»² ½±²­¬®«½¬»¼ ¿¬¬¿½µ ³±¼ó»´­ º±® ¼»´»¬·±²æ

USENIX Association Thirteenth Symposium on Usable Privacy and Security 247

Äò ò ò §±« ¼»´»¬» ­±³»¬¸·²¹ ¾«¬ ¬¸»§ ­¬·´´ µ»»° ¿ ½±°§ ±º ·¬ ¿²¼¬¸»² ­±³» ½¿² ¸¿½µ ·² ¿²¼ ¹»¬ §±«® ·²º±®³¿¬·±²ò × ¬¸·²µ ¾»ó½¿«­» ¬¸»§ µ»»° ¿ ½±°§ ±º »ª»®§¬¸·²¹ô ­± × ¬¸·²µ ¿º¬»® ¼»´»¬·²¹¬¸»§ ­¬·´´ µ»»° ¿ ½±°§ôò ò ò ·¬ ³»¿²­ ¬¸¿¬ ­±³»©¸»®» ¬¸»§ µ»»°·²º±®³¿¬·±² ¬¸¿¬ ½±«´¼ ¾» ®»¬®·»ª»¼ ´¿¬»®ô ¾«¬ ©¸»¬¸»® ¬¸¿¬

°»±°´» ¸¿½µ·²¹ ·² ¿²¼ ¹»¬¬·²¹ ±¬¸»® °»±°´»ù­ °·½¬«®»­ ¿²¼ ¬¸»²þ Ðîì

Ю±ª·¼»®­ ¼±²ù¬ ¼»´»¬»ò ß ¹®±«° ±º °¿®¬·½·°¿²¬­ ¾»´·»ª»¼

ª»®¬·­»³»²¬­ ¿²¼ ®»­»¿®½¸ò ̸»§ ¸»´¼ ¬¸» ª·»© ¬¸¿¬ ¬¸»®» ·­¿ Ä­»½±²¼¿®§þ ­¬±®¿¹» ©¸»®» ¼»´»¬»¼ ¼¿¬¿ ·­ ­¬±®»¼ ¾«¬ «­»®­¿®» ²±¬ ¿¾´» ¬± ¿½½»­­ ·¬ò ß´¬¸±«¹¸ô ¬¸»§ ®»°±®¬»¼ ¸·¹¸ °®·óª¿½§ ½±²½»®²­ô ¬¸»§ ¿´­± »¨¸·¾·¬»¼ ­±³» ¼»º»¿¬·­³æ

Ä× ²»ª»® ®»¿¼ ¬¸» ÌúÝ­ × ¼±²ù¬ ®»¿´´§ µ²±© ·º ·¬ù­ ¼»´»¬»¼º±®»ª»®ò ׬ù­ °®±¾¿¾´§ ­¬·´´ ­¬±®»¼ ­±³»©¸»®»ô ¾«¬ × ¼±²ù¬ ¸¿ª»·³³»¼·¿¬» ¿½½»­­ ¬± ·¬òþ Ðïï

Ä× ¬¸·²µ ¬¸» °®±ª·¼»® ³·¹¸¬ ²±¬ ©¿²¬ ¬¸¿¬Å¼»´»¬·±²Ã ¬± ¸¿°°»²¾»½¿«­» ¬¸»§ µ»»° ¬¸» ¼¿¬¿ ¿²¼ ¬¸»² ¬¸»§ ©¿²¬ ¬± «­» ·¬ º±®

þ Ðîì

ر©»ª»®ô ­±³» °¿®¬·½·°¿²¬­ ©»®» ²±¬ ½±²½»®²»¼ ¿¾±«¬ ¬¸»·®¼¿¬¿ ¾»·²¹ «­»¼ º±® ¿¼ª»®¬­ ¾»½¿«­» ¬¸»§ ¾»´·»ª»¼ ¬¸¿¬ ¿­´±²¹ ¿­ ¬¸»§ ½±«´¼ ¿½¸·»ª» ©¸¿¬ ¬¸»§ ©¿²¬»¼ ¬± ¼±ô ¬¸·­ ©¿­¿½½»°¬¿¾´»ò

Ä×ù³ ²±¬ ­± ³«½¸ ½±²½»®²»¼ ©·¬¸ ¬¸¿¬ ż»´»¬·±²Ã ¿­ ¬± ¬¸»«²¼»®´§·²¹ ®»¿­±²­ô ¿²¼ ¬¸» ¼®·ª»®­ º±® ¬¸» ¾«­·²»­­ ¿®» ³±®»·³°±®¬¿²¬ ¬± ³» ¬¸¿² ¬¸»·® ¬»®³­ ¿²¼ ½±²¼·¬·±²­òþ Ðîê

ìòí Ë­»® ·²¬»®º¿½» ·­­«»­ß­ »¨°»½¬»¼ô ©» «²½±ª»®»¼ ­»ª»®¿´ ½´±«¼ ·²¬»®º¿½» ·­­«»­ ¬¸¿¬

«­»® ·²¬»®º¿½»­ ½¿«­»¼ ¿ ´±¬ ±º ¼·­¬®»­­ ¬± ­±³» «­»®­ ©¸·½¸®»­«´¬»¼ ·² ¬¸»³ ´±­·²¹ ·²¬»®»­¬ ·² ¼»´»¬·²¹ ±® ´»º¬ ¬¸»³ º®«­ó

ø·ò»òô ©¸»¬¸»® ·¬ ·­ ¿ ©»¾ ±® ³±¾·´» ¿°°´·½¿¬·±²÷ô ¿²¼ ¸±© ¬¸»¼»´»¬·±² °®±½»­­ ·­ ½±³°´»¬»¼ ·² ¬¸¿¬ ¿°°´·½¿¬·±²ò Ñ«® ¼¿¬¿

º¿½» ¬± ¼»´»¬»ô ¬¸»§ ¿®» «²´·µ»´§ ¬± ¿¬¬»³°¬ ¬± ¼»´»¬» «­·²¹¬¸» ­¿³» ·²¬»®º¿½» ·² ¬¸» º«¬«®»ò ß ²«³¾»® ±º ±«® °¿®¬·½·ó°¿²¬­ ©¸± ¿½½»­­ ¬¸» ½´±«¼ ¬¸®±«¹¸ ³±¾·´» °¸±²»­ ®»°±®¬»¼¬¸¿¬ ­±³»¬·³»­ ¬¸»§ ¼± ²±¬ µ²±© ©¸»®» ¬± ¹± ·² ¬¸»·® ³±¾·´»°¸±²» ·²¬»®º¿½»­ ·² ±®¼»® ¬± ¼»´»¬» º®±³ ¬¸» ½´±«¼ò

Ûºº±®¬

«­»®­ù ¼»´»¬·±² °®±½»­­ò Ë­»®­ ©¸± ¸¿ª» ¿«¬± ­§²½¸®±²·¦¿ó¬·±² ¬«®²»¼ ±² »²¼»¼ «° ²±¬ ¼»´»¬·²¹ º®±³ ¬¸» ½´±«¼ ¾»ó

Ѳ» °¿®¬·½·°¿²¬ ©¸± ¸¿¼ ¬¸·­ º»¿¬«®» ¬«®²»¼ ±² ·²º±®³»¼ «­¬¸¿¬ ­±³»¬·³»­ ¬¸»·® ­³¿®¬ °¸±²» ¿½½·¼»²¬¿´´§ ¬¿µ»­ °¸±¬±­©¸·´» ·² ¬¸»·® °±½µ»¬ ´»¿ª·²¹ ¬¸»³ ©·¬¸ ¿ ´±¬ ±º «²©¿²¬»¼

°¸±¬±­ º®±³ ¬¸»·® °¸±²» ¿²¼ ¬¸»² º®±³ ½´±«¼ô ¿­ ¿ ®»­«´¬­±³»¬·³»­ ¬¸»§ ½¸±­» ²±¬ ¬± ¼»´»¬» º®±³ ¬¸» ½´±«¼ò

ħ±«® °±½µ»¬ô ©¸·½¸ ·¬ ±º¬»² ¼±»­ô §±« ½¿² »²¼ «° ©·¬¸ ¿´´¬¸»­» ¾´¿²µ °¸±¬±¹®¿°¸­ò Ѻ ½±«®­» ¬¸»§ ¹± ·²¬± Ѳ»Ü®·ª»ô­± §±« ´±±µ ¿¬ §±«® Ѳ»Ü®·ª» ¿²¼ §±« ©¿²¬ ¬± ½´»¿® ¿´´ ¬¸¿¬òÞ«¬ ­±³»¬·³»­ ·¬ ½¿² ¬¿µ» ¿¹»­òþ Ðîí

Þ«¹¹§ ­±º¬©¿®»ò Þ«¹¹§ ¿°°´·½¿¬·±²­ ¿²¼ «²®»­°±²­·ª» ·²ó

¬»®º¿½»­ ´»º¬ ­±³» «­»®­ ²±¬ ¾»·²¹ ¿¾´» ¬± ¼»´»¬»ò ͱ³» «­»®­®»°±®¬»¼ ¬¸¿¬ ­±³»¬·³»­ ©¸»² ¬¸»§ ¬®§ ¬± ¼»´»¬»ô ¬¸» ¿°°±® ©»¾ ·²¬»®º¿½» ©±«´¼ ²±¬ ®»­°±²¼ ®»­«´¬·²¹ ·² ¬¸»³ ¿¾¿²ó¼±²·²¹ ¬¸» °®±½»­­ò Ô»­­ ­¿¬·­º§·²¹ ³±¾·´» ¿°°­ ¿²¼ «²®»ó­°±²­·ª» ©»¾ ·²¬»®º¿½»­ ®»­«´¬»¼ ·² «­»®­ ¸¿ª·²¹ ´»­­ ¼»­·®»¬± ¼»´»¬»ò Ú±® »¨¿³°´»ô ­±³» «­»®­ ®»°±®¬»¼ ¬¸¿¬ º±® ¬¸»³¬± ¼»´»¬» ¬¸»§ ¸¿ª» ¬± ¬®§ ·¬ ¿ ½±«°´» ±º ¬·³»­ ¾»º±®» ¬¸»±°»®¿¬·±² ­«½½»­­º«´´§ ½±³°´»¬»­ò Ë­»®­ º±«²¼ ¬¸·­ ¿²²±§·²¹¿²¼ °®»º»®®»¼ ²±¬ ¬± ¬®§ ¼»´»¬·²¹ ©¸»² ¬¸»§ ©¿²¬»¼ò

ìòì ݱ°·²¹ ³»½¸¿²·­³­

·²¹ ³»½¸¿²·­³­ ¬± ¿¼¼®»­­ ±® ³·¬·¹¿¬» ¬¸»·® º¿·´«®» ¬± ¼»´»¬»º®±³ ¬¸» ½´±«¼ò ̸»­» ³»½¸¿²·­³­ ®¿²¹·²¹ º®±³ ·¹²±®·²¹¼»´»¬·±² ¿´¬±¹»¬¸»® ¬± ½¸¿²¹·²¹ ½´±«¼ °®±ª·¼»®­ ¬¸®±«¹¸ ¬±­»»µ·²¹ ¸»´° º®±³ ±¬¸»®­ ¿²¼ ¿¼ó¸±½ ­¬®¿¬»¹·»­ò É» ¼·­ó½«­­ ª¿®·±«­ ½±°·²¹ ³»½¸¿²·­³­ »³°´±§»¼ ¾§ ±«® °¿®¬·½·ó°¿²¬­ ²»¨¬ò

ìòìòï Ø»¿¼ ·² ¬¸» ­¿²¼Ó±­¬ °¿®¬·½·°¿²¬­ ©¸± ½±«´¼ ²±¬ ¼»´»¬» °®»º»®®»¼ ¬± ´»¿ª»

©¸§ «­»®­ ­»¬¬´»¼ ±² ¬¸·­ ­¬®¿¬»¹§æ ø·÷ ̸»§ °»®½»·ª» ¬¸·­³»¬¸±¼ ¬± ¾» »¿­§ ¿²¼ ¯«·½µ¤·¬ ¼±»­ ²±¬ ®»¯«·®» ¬¸»³ ¬±

­¬±®¿¹» ­°¿½» ´»º¬ ±² ¬¸»·® ¿½½±«²¬ô ¬¸»§ ¿®» ¸·¹¸´§ ´·µ»´§ ¬±

½´±«¼ °®±ª·¼»®æ ©¸»² «­»®­ ¬®«­¬ ¬¸» ­»®ª·½» °®±ª·¼»® ¬¸»§¿®» ³±®» ·²½´·²»¼ ¬± ´»¿ª» ¼¿¬¿ ·² ¬¸» ½´±«¼ò

ìòìòî Ý´±«¼ ¸±°°·²¹Ì¸±­» ©·¬¸ ¸·¹¸ °®·ª¿½§ ½±²½»®²­ ±® ´±©ó´»ª»´­ ±º ¬®«­¬ ·²°®±ª·¼»®­ ±º¬»² ±°¬»¼ ¬± ­¬±° «­·²¹ ½»®¬¿·² ½´±«¼ ­»®ª·½»­±® ½¸¿²¹»¼ ¬¸»·® ­»®ª·½» °®±ª·¼»®­ò ß´¬¸±«¹¸ô ¬¸·­ ³¿§ ¾»½±²­·¼»®»¼ ¿² »¨¬®»³» ³»¿­«®»ô ©» ¼·­½±ª»®»¼ ¬¸¿¬ °»±°´»

±º ¬¸»·® «²¼»´»¬»¼ ¼¿¬¿ ¾»·²¹ »¨°±­»¼ò Ѭ¸»®­ ²±¬»¼ ¬¸¿¬¬¸»§ ½¸¿²¹»¼ °®±ª·¼»®­ ¾»½¿«­» ±º ®«²²·²¹ ±«¬ ±º ­¬±®¿¹»­°¿½» ©·¬¸ ¬¸»·® ½«®®»²¬ °®±ª·¼»®ò ײ¬»®»­¬·²¹´§ô ©» º±«²¼¬¸¿¬ ²±²» ±º ¬¸» °¿®¬·½·°¿²¬­ ©¸± ½¸¿²¹»¼ °®±ª·¼»®­ ¼»´»¬»¼±® ¼»¿½¬·ª¿¬»¼ ¬¸»·® ¿½½±«²¬­ ©·¬¸ ¬¸» °®»ª·±«­ °®±ª·¼»®ò

ͱ³» °¿®¬·½·°¿²¬­ ®»°±®¬»¼ ¬¸¿¬ ¬¸»§ »¨°´·½·¬´§ ¼»½·¼» ±²©¸¿¬ ¹±»­ ·² ¬± ¬¸» ½´±«¼ ¾»º±®» ¬¸»§ «°´±¿¼ ¬± ¬¸» ½´±«¼ò

©»®» ­¿º» ¿²¼ ¬¸»§ ¼·¼ ²±¬ ¸¿ª» ¬± ©±®®§ ¿¾±«¬ «²¼»´»¬»¼·²º±®³¿¬·±²ò ̸·­ ¿°°®±¿½¸ ·­ ½±³³±² ¿³±²¹ °»±°´» ©¸±¸¿ª» ¸·¹¸ °®·ª¿½§ ½±²½»®²­ ¿²¼ ´±© ¬®«­¬ ¬±©¿®¼­ °®±ª·¼»®­òر©»ª»®ô ¬¸·­ ­¬®¿¬»¹§ ³¿§ ±°»² «° ±¬¸»® ¬¸®»¿¬­ ·² ¬»®³­±º ¼¿¬¿ »¨°±­«®»ô »ò¹ô ¬¸®±«¹¸ ´±­¬ ®»³±ª¿¾´» ø°±¬»²¬·¿´´§«²»²½®§°¬»¼÷ ³»¼·¿¤­±³» °¿®¬·½·°¿²¬­ ®»°±®¬»¼ «­·²¹ ËÍÞ

ìòìòì Ü»´»¬·²¹ º®±³ ±²» ¼»ª·½»Í±³» «­»®­ ®»°±®¬»¼ ¬¸¿¬ ¬¸»§ ±²´§ ¼»´»¬»¼ º®±³ ¼»ª·½»­

§·»´¼ »¨°»½¬»¼ ®»­«´¬­ò Ú±® »¨¿³°´»ô ­±³» «­»®­ ±°¬ ¬± ¼»´»¬»º®±³ ¬¸»·® ½±³°«¬»®­ ø­§²½ º±´¼»®÷ ¬¸¿² ¬± ¼»´»¬» º®±³ ¬¸»©»¾ ·²¬»®º¿½» ±® ³±¾·´» ¿°°´·½¿¬·±²­ò

248 Thirteenth Symposium on Usable Privacy and Security USENIX Association

ÄÇ»­ô × ¸¿ª» ¬¸» ¿°° ±² ³§ °¸±²» ¾«¬ × ®¿®»´§ «­» ·¬ô ³§ ¿°°ò× ¸¿ª» ¼±©²´±¿¼»¼ ¬¸» ¿°° ±² ³§ ¼»­µ¬±°ò ͱô × ¼»´»¬» º®±³¬¸»®» ·²­¬»¿¼ò ò ò × ³±­¬´§ ¼»´»¬» ·¬ º®±³ ¬¸» ¼»­µ¬±° ¾»½¿«­» ×

þ Ðîì

³¿§ ²±¬ ¿´©¿§­ ¸¿ª» ¬¸» ¼»ª·½» ¬¸»§ ¿®» ½±³º±®¬¿¾´» ©·¬¸¿´´ ¬¸» ¬·³»ò

ìòìòë Í»»µ·²¹ ¸»´°Í»ª»®¿´ «­»®­ ®»°±®¬»¼ ¬¸¿¬ ¬¸»§ ¿­µ º±® ¸»´° º®±³ ¬¸»·®º®·»²¼­ô º¿³·´§ ¿²¼ ½±´´»¿¹«»­ ·º ¬¸»§ ¬¸·²µ ·¬ ·­ «®¹»²¬ ¿²¼

¬¸»§ ©·´´ ­»¿®½¸ ±²´·²» º±® ­±´«¬·±²­ô º±® »¨¿³°´»ô º®±³ ¬«¬±ó®·¿´­ô º±®«³­ ¿²¼ ¾´±¹­ò ̸» ¬§°» ±º ¸»´° ­±«¹¸¬ ¼»°»²¼­ ±²«­»®­ù ³±¬·ª¿¬·±² ¬± ¼»´»¬»ò Ú±® »¨¿³°´»ô ©¸»² ¬¸» ³±¬·ª¿ó¬·±² ¬± ¼»´»¬» ·­ ¼«» ¬± ¸·¹¸ °®·ª¿½§ ½±²½»®²­ ±® ¬®«­¬ ·­­«»­ô¬¸»² ¬¸» «­»® ©·´´ ²±¬ ¸»­·¬¿¬» ¬± ¿­µ ¬¸»·® ­±½·¿´ ²»¬©±®µ º±®

­»»µ·²¹ ¸»´° º®±³ ±¬¸»® ·²¼·ª·¼«¿´­ ©·¬¸ ¬¸» º»¿® ±º ¾»·²¹ »¨ó°±­»¼ ±® ­¸¿³»¼ò ̸»§ ©±«´¼ ±°¬ º±® ´±±µ·²¹ º±® ­±´«¬·±²­±²´·²»ò ̸·­ ­¬®¿¬»¹§ ´»¿¼­ ¬± ¸·¹¸ ½¸¿²½»­ ±º ¼»´»¬·²¹ º®±³¬¸» ½´±«¼ ¿²¼ °¿®¬·½·°¿²¬­ ©¸± ®»°±®¬»¼ ¬¸»§ µ²»© ¸±© ¬±¼»´»¬» ®»ª»¿´»¼ ¬¸·­ ·­ ¸±© ¬¸»§ ´»¿®²¬ ¿¾±«¬ ¼»´»¬·±²ò

ͱ³» ±º ±«® °¿®¬·½·°¿²¬­ ®»°±®¬»¼ ¬¸¿¬ ©¸»² ¬¸»§ ¿®» ¼»´»¬ó

±²»ò Ѳ» °¿®¬·½·°¿²¬ »¨°´¿·²»¼ ¬¸¿¬ ­±³»¬·³»­ ¬¸»§ ¹»¬ ¿

Ä»´­» ¬± ¼»´»¬» ·²­¬»¿¼ ±º ·¬ô ¬± ¹»¬ ³±®» ­°¿½» ±¬¸»®©·­» ×

¸¿ª» ²±¬ ŧ»¬Ã º±«²¼ ¿ ½±®®»½¬ ­±´«¬·±² ±² ¸±© ¬± ¹»¬ ±ª»®·¬òþ Ðîì

ìòìòé ß¼ ¸±½ ­¬®¿¬»¹·»­É» ¿´­± ¼·­½±ª»®»¼ ­±³» ¿¼ ¸±½ ­¬®¿¬»¹·»­ ¿³±²¹ ±«® °¿®ó¬·½·°¿²¬­ò ͱ³» ±º ¬¸»³ ®»ª»¿´»¼ ¬¸¿¬ ¬¸»§ ¼·¼ ²±¬ ¸¿ª»

¬¸»§ ©±«´¼ ¬®§ ¼»´»¬·²¹ ·¬ º®±³ ¿´´ ¬¸»·® ¼»ª·½»­ ·²½´«¼·²¹¬¸» ©»¾ ·²¬»®º¿½»ò Ѳ» °¿®¬·½·°¿²¬ ®»ª»¿´»¼ ¬¸¿¬ ©¸»² ¬¸»§¿®» ·² ²»»¼ ±º ³±®» ­¬±®¿¹» ¿²¼ ¬¸»§ ½¿²²±¬ ¼»´»¬» ¬¸»§ ©·´´­·³°´§ ¾«§ ³±®» ­¬±®¿¹»ò

ìòë ɸ¿¬ ¼»´»¬·±² »¨°»®·»²½» ¼± «­»®­ ©¿²¬á

²·­³­ »³°´±§»¼ ¾§ «­»®­ ©¸»² ¬¸»§ ­¬®«¹¹´» ¬± ¼»´»¬»ò Ø»®»©» º±½«­ ±² ¬¸»³»­ ¿²¼ ½¿¬»¹±®·»­ ¬¸¿¬ »³»®¹»¼ ¿­ ¬± ©¸¿¬

°¿®¬·½·°¿²¬­ò

ìòëòï Ì®¿²­°¿®»²½§ ·² ¼»´»¬·±²Ð¿®¬·½·°¿²¬­ ©¿²¬ °®±ª·¼»®­ ¬± ¾» ³±®» ¬®¿²­°¿®»²¬ ¿¾±«¬¼»´»¬·±² ±º ¼¿¬¿å ¬¸»§ ©¿²¬»¼ ·²º±®³¿¬·±² ±² ¸±© ¬¸»·® ¼¿¬¿

·­ ¼»´»¬»¼ ¬± ¾» ³¿¼» º®»»´§ ¿ª¿·´¿¾´»ò ﮬ·½·°¿²¬­ ©¸±­¬®«¹¹´»¼ ¬± ¼»´»¬» ­«¹¹»­¬»¼ ¬¸¿¬ °®±ª·¼»®­ ­¸±«´¼ °®±ª·¼»¬«¬±®·¿´­ ±² ¸±© ¬± ¼»´»¬»ô ¿²¼ ¬¸¿¬ ¼»´»¬·±² ·²º±®³¿¬·±²

ر©»ª»®ô ¬¸±­» ©¸± ½±«´¼ ¼»´»¬» ©»®» ²±¬ ­± ³«½¸ ·²¬»®»­¬»¼·² ­«½¸ ·²º±®³¿¬·±² ¾«¬ ®¿¬¸»® ·² µ²±©·²¹ ³±®» ¿¾±«¬ ¸±©¼»´»¬·±² ·­ ¼±²» ·² ¬¸» ½´±«¼ò ͱ³» ­«¹¹»­¬»¼ ¬¸¿¬ ¬¸»§

º®±³ ¬¸» ½´±«¼ò ̸¿¬ ·­ ¬¸»§ ©¿²¬ ¹«¿®¿²¬»»­ ¬¸¿¬ ¬¸»·® ¼¿¬¿·­ ½±³°´»¬»´§ ¹±²» º®±³ ¬¸» °®±ª·¼»®ò É» º±«²¼ ¬¸¿¬ ¬¸·­­«¹¹»­¬·±² ©¿­ °±°«´¿® ¿³±²¹ °¿®¬·½·°¿²¬­ ©·¬¸ °®·ª¿½§ó¼®·ª»² ¼»´»¬·±² °®¿½¬·½»­ò

ìòëòî ݱ³°´»¬» ¼»´»¬·±²Û¿®´§ ·² ±«® ®»­»¿®½¸ °®±½»­­ô ¬¸» ¿­­«³°¬·±² ¬¸¿¬ ½´±«¼¼»´»¬·±² ©¿­ ½±³°´»¬» ¿²¼ ·²­¬¿²¬ »³»®¹»¼ ¿²¼ ©» º±®³«ó´¿¬»¼ ­±³» ·²¬»®ª·»© ¯«»­¬·±²­ ¿®±«²¼ ¬¸·­ ¾»´·»ºò ß­ ¿ ®»ó­«´¬ô ©» ¿­µ»¼ «­»®­ ©¸¿¬ ¼»´»¬·±² ³»¿²¬ ¬± ¬¸»³ ¿²¼ ³±­¬

Ñ«® ¿²¿´§­·­ ­«¹¹»­¬­ ¬¸¿¬ ¬¸»§ ¾»´·»ª» ¼»´»¬·±² ·² ¬¸» ½´±«¼·­ ½±³°´»¬» ¾»½¿«­» ¬¸»§ «­» ¬¸»­» ³»²¬¿´ ³±¼»´­ ©¸»² ¬¸»§¬¸·²µ ±º ¬¸» ½´±«¼ò ر©»ª»®ô ©» º±«²¼ ¬¸¿¬ °¿®¬·½·°¿²¬­ ©¸±¸¿¼ ¾»¬¬»® µ²±©´»¼¹» ±º ¬¸» ½´±«¼ ¿²¼ ¼»´»¬·±² ¼»­·®»¼ ½±³ó°´»¬» ¼»´»¬·±²ò ̸»§ ­«¹¹»­¬»¼ ¬¸¿¬ ¼»´»¬·±² ­¸±«´¼ ³»¿²°»®³¿²»²¬æ

Ä× ­«°°±­» ¿´´ ¼¿¬¿ ­¸±«´¼ ¾» ½±³°´»¬»´§ ¼»´»¬»¼ò Ѳ½» §±«°®»­­ À¼»´»¬»ùô ¼»´»¬» ­¸±«´¼ ³»¿² ¼»´»¬»ô ­± ¬¸»² §±« ¼±²ù¬¸¿ª» ¬¸¿¬ ­±®¬ ±º ¹®»§ ¿®»¿ ¿­ ¬± ©¸¿¬ù­ ­»²­·¬·ª»ô ©¸¿¬ù­ ²±¬­»²­·¬·ª»ò Ü»´»¬» ­¸±«´¼ ³»¿² ¼»´»¬»ô × ¬¸·²µòþ Ðê

Ä̸» ³±³»²¬ × ¼»´»¬» ­±³»¬¸·²¹ º®±³ ³§ ·Ý´±«¼ô ±® ³§ ´¿°ó¬±°ô × ©¿²¬ ·¬ ¬± ¾» ¼»´»¬»¼ ½±³°´»¬»´§ò × º»»´ ´·µ» ±²½» × Å¸¿ª»Ã­¿·¼ × ¼±²ù¬ ©¿²¬ ¬¸·­ ±² ³§ ´¿°¬±° ¿¹¿·²ô ±® × ¼±²ù¬ ©¿²¬·¬ ±² ³§ °¸±²»ô × ©±«´¼ ®¿¬¸»® ¸¿ª» ·¬ ¼»´»¬»¼ »ª»®§©¸»®»ô½±³°´»¬»òþ Ðí

Ú±® «­»®­ ©¸± ¿­­«³»¼ ¼»´»¬·±² ©¿­ ½±³°´»¬»ô ©» »¨°´¿·²»¼¬± ¬¸»³ ¬¸¿¬ ·¬ ·­ °±­­·¾´» ¬¸¿¬ ¬¸»·® ¼¿¬¿ ³¿§ ²±¬ ¾» ½±³ó°´»¬»´§ ®»³±ª»¼ º®±³ ¬¸» ½´±«¼ ÅîêÃò Ó±­¬ ±º ±«® °¿®¬·½·ó°¿²¬­ ®»­°±²¼»¼ ©·¬¸ ­¸±½µ ¬± ¬¸·­ ®»ª»´¿¬·±² ©¸·´» ±¬¸»®­®»°±®¬»¼ ¬¸»§ ¸¿¼ ¿´©¿§­ ¬¸±«¹¸¬ ·¬ ³·¹¸¬ ²±¬ ¾» ¼»´»¬»¼ò

Ä×ùª» ¿´©¿§­ ¸¿¼ ·¬ ·² ¬¸» ¾¿½µ ±º ³§ ³·²¼ ¬¸¿¬ ©¸¿¬ §±«¼»´»¬» ¼±»­ ²±¬ ½±³°´»¬»´§ ¹±ò × ¼·¼²ù¬ µ²±© ´·µ» ·¬ù­ ¿´³±­¬·³°±­­·¾´» ¬± ¼»´»¬»ò ò ò þ Ðí

ß´¬¸±«¹¸ ³±­¬ «­»®­ ®»°±®¬»¼ ¬¸»§ ©±«´¼ ©¿²¬ ½±³°´»¬»¼»´»¬·±²ô ¬¸·­ ©¿­²ù¬ ¬®«» «²·ª»®­¿´´§ò ß ²«³¾»® ±º «­»®­ô«²¼»®­¬¿²¼¿¾´§ô ©¿²¬»¼ ¬± ¸¿ª» ¬¸» ±°°±®¬«²·¬§ ¬± ®»½±ª»®¼»´»¬»¼ ¼¿¬¿ »­°»½·¿´´§ ¼¿¬¿ ¼»´»¬»¼ ¾§ ³·­¬¿µ»ò

É·¬¸ ®»¹¿®¼­ ¬± ½±³°´»¬» ¼»´»¬·±²ô ­»ª»®¿´ ±º ±«® °¿®¬·½ó·°¿²¬­ »¨¸·¾·¬»¼ ¬¸» º±´´±©·²¹ ¾»´·»º­æ øï÷ ¼¿¬¿ °»®½»·ª»¼

Ü¿¬¿ ¾»´±²¹·²¹ ¬± ±¬¸»® °»±°´» ±® ¼¿¬¿ ¬¸¿¬ ½±²¬¿·²­ ·¼»²ó

±²´§ ´¿© ¿¾·¼·²¹ ½·¬·¦»²­ ­¸±«´¼ ¾» ¿´´±©»¼ ¬± ½±³°´»¬»´§¼»´»¬» ¬¸·²¹­ º®±³ ¬¸» ½´±«¼ò

°»®½»·ª»¼ ¬¸»³­»´ª»­ ¿­ ¸¿®³´»­­ ¿²¼ ´¿© ¿¾·¼·²¹ ½·¬·¦»²­¼·¼ ²±¬ ³·²¼ ·º ¬¸»·® ¼¿¬¿ ©¿­ ²±¬ ½±³°´»¬»´§ ¼»´»¬»¼ò ر©ó»ª»®ô ¬¸»§ ®»°±®¬»¼ ¬¸¿¬ ·º ¬¸» ¼¿¬¿ ¼·¼ ²±¬ ¾»´±²¹ ¬± ¬¸»³ ±®

©±«´¼ ©¿²¬ ·¬ ¹±²»ò ͱ³» «­»®­ ¾»´·»ª»¼ ¬¸¿¬ ½±³°´»¬» ¼»´»ó

USENIX Association Thirteenth Symposium on Usable Privacy and Security 249

¬·±² ©±«´¼ »²¿¾´» ´¿© ¾®»¿µ·²¹ ½·¬·¦»²­ ¬± ½±³³·¬ ¿²¼ ¸·¼»¬¸»·® ½®·³»­ ±² ¬¸» ½´±«¼ò Ü»­°·¬» ¬¸·­ô ±¬¸»® «­»®­ ®»¿­±²»¼¬¸¿¬ ¬¸»§ ©±«´¼ ­¬·´´ ½¸±±­» °»®³¿²»²¬ ¼»´»¬·±² ¾»½¿«­» ·¬·­ ¬¸»·® ¼¿¬¿ ¿²¼ ²± ±²» ¸¿­ ¬¸» ®·¹¸¬ ¬± ¿½½»­­ ·¬ ¿º¬»® ¼»´»ó¬·±²ò É·¬¸ ®»¹¿®¼­ ¬± ®»½±ª»®§ô ­«½¸ «­»®­ ®»°±®¬»¼ ¬¸»§©±«´¼ ½¸¿²¹» ¬¸» ©¿§ ¬¸»§ ©±®µ ¿²¼ ¶«­¬ ¾» ½¿®»º«´ ©¸»²¼»´»¬·²¹ ¼¿¬¿ò É» º±«²¼ ¬¸¿¬ °¿®¬·½·°¿²¬­ ©¸± ¾»´±²¹ ¬± ¬¸·­¹®±«° ©»®» °»±°´» ©¸± ¸¿¼ ¸·¹¸ °®·ª¿½§ ½±²½»®²­ ¿¾±«¬ ¬¸»½´±«¼ ¿²¼ ©±«´¼ ®¿¬¸»® ´±­» ¼¿¬¿ ¾»½¿«­» ±º ³·­¬¿µ»­ ¬¸¿²¸¿ª» ·¬ «²¼»´»¬»¼ ·² ¬¸» ½´±«¼ò

ìòëòí ݱ²¬¿½¬ б·²¬Ü«®·²¹ ¬¸» ·²¬»®ª·»©­ô ­±³» «­»®­ ®»°±®¬»¼ ¬¸¿¬ ·¬ ©¿­ ¸¿®¼

̸»§ ­«¹¹»­¬»¼ ¬¸¿¬ ¿ ­»®ª·½» ¼»¼·½¿¬»¼ ¬± ®»­±´ª·²¹ ¬¸»·®½´±«¼ ¯«»®·»­ ©±«´¼ ¾» «­»º«´ »­°»½·¿´´§ ©¸»² ¬¸»§ ½¿²²±¬¿­µ ¿²§±²»ò Ѳ» °¿®¬·½·°¿²¬ °«¬ ·¬ ¬¸·­ ©¿§æ

ÄÅÚ·®­¬ ¬¸·²¹ ·­ôÃ × ¼±²ù¬ µ²±© ©¸±³ ¬± ½¿´´ò ׺ × ©¿²¬ ³§ ¼¿¬¿¾¿½µ × ¼±²ù¬ µ²±© ©¸±³ ¬± ½¿´´ô ©¸±³ ¬± ½±²¬¿½¬ ¾»½¿«­» ×¼±²ù¬ ¬¸·²µ ¬¸»§ ¸¿ª» ¿²§ ¸»´°´·²» ±® ­»®ª·½» ´·µ» ¬¸·­ ©¸»®» ¿½«­¬±³»® ½¿² ½¿´´ ¿²¼ ­¿§ô ù× ¼»´»¬»¼ ¾§ ³·­¬¿µ»ô ­»²¼ ·¬ ³»¾¿½µôù ±® × ¼±²ù¬ µ²±© ©¸»¬¸»® ¬¸» °®±ª·¼»® ¸¿­ ¬¸» ¿½½»­­ ¬±®»¬®·»ª» °¿®¬·½«´¿® ¼¿¬¿ ±º ¿ ½«­¬±³»®òþ Ðîì

ìòëòì ݱ²¬®±´ ±ª»® ¼»´»¬·±²Ñ«® ¿²¿´§­·­ ­«¹¹»­¬­ ¬¸¿¬ «­»®­ º»»´ ¬¸» ²»»¼ ½±²¬®±´ ±ª»®¼»´»¬·±² ·² ¬¸» ½´±«¼ò ̸»§ ©¿²¬»¼ ¬± ¾» ¬¸» ±²»­ ©¸±

º±® °±¬»²¬·¿´ ®»½±ª»®§ò Ñ«® ¼¿¬¿ ¿´­± ­¸±©­ ¬¸¿¬ «­»®­ ©¿²¬½±²¬®±´ ±ª»® ©¸¿¬ ·­ ­§²½»¼ ±ª»® ¬± ¬¸» ½´±«¼ ­± ¬¸¿¬ ¬¸»§©·´´ ²±¬ ¸¿ª» ¬± ¼»´»¬»ò

ÄÞ»½¿«­» ·º × ¸¿ª» ¼»´»¬»¼ ­±³»¬¸·²¹ô × ¿³ ­¿§·²¹ô ù× ¼±²ù¬²»»¼ ·¬ ¿²§³±®»ôù ±®ô ù× ¼±²ù¬ ©¿²¬ »ª·¼»²½» ±º ·¬ ¿²§³±®»ôù¬¸»² ­«®»´§ ·¬ ­¸±«´¼ ¾» ¼»´»¬»¼ ½±³°´»¬»´§ ¾»½¿«­» × ²± ´±²¹»®¸¿ª» «­» º±® ·¬ò ɸ±ù­ ³»¿²¬ ¬± ­¬·´´ ¸¿ª» «­» ±º ©¸¿¬ ×ùª»¼»´»¬»¼áþ Ðîî

ëò Ü×ÍÝËÍÍ×ÑÒ

Ì¿¾´» îæ ß ­«³³¿®§ ±º ³±¬·ª¿¬·±²­ ¬± ¼»´»¬» ¿²¼ ½±°·²¹­¬®¿¬»¹·»­

Ó±¬·ª¿¬·±² ¬± ¼»´»¬» ݱ°·²¹ ͬ®¿¬»¹§

Ю·ª¿½§ó¼®·ª»² Í»»µ·²¹ ¸»´°Ü»´»¬·²¹ º®±³ ­·²¹´» ¼»ª·½»

Ý´±«¼ ¸±°°·²¹ß¼ ¸±½ ­¬®¿¬»¹·»­

Û¨°»®¬·­»ó¼®·ª»² Ø»¿¼ ·² ¬¸» ­¿²¼

ß¼ ¸±½ ­¬®¿¬»¹·»­Í»»µ·²¹ ¸»´°

Ý´±«¼ ¸±°°·²¹

б´·½§ó¼®·ª»² ß¼ ¸±½ ­¬®¿¬»¹·»­Ü»´»¬·²¹ º®±³ ­·²¹´» ¼»ª·½»Í»»µ·²¹ ¸»´°

ͬ±®¿¹»ó¼®·ª»² Ý´±«¼ ¸±°°·²¹

Ü»´»¬·²¹ º®±³ ¿ ­·²¹´» ¼»ª·½»ß¼ ¸±½ ­¬®¿¬»¹·»­

ëòï Ü»´»¬·±²³±¬·ª¿¬·±²­ ¿²¼ ½±°·²¹ ­¬®¿¬»¹·»­

½±°·²¹ ­¬®¿¬»¹·»­ ¿®» ¼»°»²¼»²¬ ±² ¬¸»·® ³±¬·ª¿¬·±² ¬± ¼»´»¬»ò̸»­» ®»´¿¬·±²­¸·°­ ¿®» ­«³³¿®·¦»¼ ·² Ì¿¾´» î ¿²¼ ¼·­½«­­»¼²»¨¬ò

Ó±¬·ª¿¬·±²æ Ю·ª¿½§ó¼®·ª»²ò Ë­»®­ ©¸±­» ³±¬·ª¿¬·±² ¬±¼»´»¬» ·­ °®·ª¿½§ó¼®·ª»² ¿®» ¿´©¿§­ ¯«·½µ ¬± ­»»µ ¸»´° ·²¼»´»¬·²¹ ±® ¸¿ª» ¿ ¸·¹¸»® ½¸¿²½» ±º »³°´±§·²¹ ­±³» ¿¼ ¸±½³»¬¸±¼­ ¬± ¬®§ ¬± ¼»´»¬» º®±³ ¬¸» ½´±«¼ò Í»»µ·²¹ ¸»´° º®±³

½´±«¼ò ß¼ ¸±½ ­¬®¿¬»¹·»­ ¼± ²±¬ ¿´©¿§­ ¹«¿®¿²¬»» ¼¿¬¿ ©·´´¾» ¼»´»¬»¼ º®±³ ¬¸» ½´±«¼ò ɸ»² ­¬®«¹¹´·²¹ ¬± ¼»´»¬» ­±³»±º ¬¸»­» «­»®­ ³¿§ ±°¬ ¬± ¼»´»¬» º®±³ ¬¸» ¼»ª·½» ¬¸»§ ¿®»

¼»´»¬» ¼¿¬¿ «­·²¹ ·¬ò ̸·­ ½¸±·½» ·­ ²±®³¿´´§ ¾¿­»¼ ±² «­»®­ù°¿­¬ »¨°»®·»²½»å ¬¸» «­»® ½¸±±­»­ ·¬ ¾»½¿«­» ·¬ ¸¿­ ©±®µ»¼º±® ¬¸»³ ¾»º±®»ò Ë­»®­ ©¸± ¬®§ ¿´´ ¬¸» ¿¾±ª» ­¬®¿¬»¹·»­ ¿²¼­¬·´´ º¿·´ô ¿®» ·²½´·²»¼ ¬± ½¸¿²¹» ¬¸»·® °®±ª·¼»® ±® ¼»½·¼» ²±¬

­¬®¿¬»¹·»­ ¿®» °»®½»·ª»¼ ¬± °®±ª·¼» ³¿¨·³«³ °®·ª¿½§ ¾§ ¬¸»

¬¸»§ ­¬®«¹¹´» ¬± ¼»´»¬»ò

Ó±¬·ª¿¬·±²æ Û¨°»®¬·­»ó¼®·ª»²ò Û¨°»®¬·­»ó¼®·ª»² «­»®­±º¬»² ®»­±®¬ ¬± ¿¼ ¸±½ ­¬®¿¬»¹·»­ ©¸»² ¬¸»§ ½¿²²±¬ ¼»´»¬»ò ׺

¬± ¿²±¬¸»® °®±ª·¼»®ò Í«½¸ «­»®­ ¼± ²±¬ ²±®³¿´´§ ¿­µ º±®¸»´° ¾»½¿«­» ±º ¬¸»·® ­»´ºó¾»´·»ºò Ë­»®­ ©·¬¸ ´»­­ ­µ·´´ ¿²¼

º±®³­ñ·²¬»®º¿½»­ º®±³ ¬¸» ²»© °®±ª·¼»®ô ¾»½¿«­» ¬¸»§ ¼± ²±¬©¿²¬ ¬± ¹± ¬¸®±«¹¸ ¬¸» °®±½»­­ ±º ¸¿ª·²¹ ¬± ®»´»¿®² ¸±© ¬±«­» ¬¸» ²»© ½´±«¼ °®±ª·¼»®ò Û¨°»®¬·­»ó¼®·ª»² «­»®­ ³¿§ ¿´­±

¿ª±·¼ ¬¸» ¿²¨·»¬§ ¿­­±½·¿¬»¼ ©·¬¸ ²±¬ ¾»·²¹ ¿¾´» ¬± ¼»´»¬»

Ó±¬·ª¿¬·±²æ б´·½§ó¼®·ª»²ò Ë­»®­ ©¸±­» ³±¬·ª¿¬·±² ¬±¼»´»¬» ·­ °±´·½§ó¼®·ª»² «­«¿´´§ º»¿® ¬¸» ½±²­»¯«»²½»­ ±º ¸¿ªó·²¹ ¬¸¿¬ ¼¿¬¿ ²±¬ ¼»´»¬»¼ ·² ¬¸» °«¾´·½ ½´±«¼ò ̸»§ «­«¿´´§

·º ¬¸»§ ­¬·´´ ½¿²²±¬ ¼»´»¬» º®±³ ¬¸» ½´±«¼ô ¬¸»§ ©±«´¼ ¬¸»²

¸¿­ º¿·´»¼ò Ò±²»¬¸»´»­­ô °®·±® º¿·´«®» ¬± ¹»¬ ¼¿¬¿ ¼»´»¬»¼

¬¸» ½´±«¼ò

Ó±¬·ª¿¬·±²æ ͬ±®¿¹»ó¼®·ª»²ò Ë­»®­ ©¸± ¼»´»¬» º±® ­¬±®ó

¼»´»¬·²¹ º®±³ ¿ ­·²¹´» ¼»ª·½»ô ½´±«¼ ¸±°°·²¹ ¿²¼ ­±³» ¿¼ ¸±½

·²½®»¿­»­ô ¬¸» «­»® »ª»²¬«¿´´§ ®«²­ ±«¬ ±º ­°¿½»ò Ü»´»¬·²¹º®±³ ¿ ­·²¹´» ¼»ª·½» ¿²¼ ­±³» ¿¼ ¸±½ ­¬®¿¬»¹·»­ ³¿§ §·»´¼

·²¹ ¬¸» ·²·¬·¿´ ¹±¿´ ¥ ¬¸¿¬ ±º ¼»´»¬·²¹ º®±³ ¬¸» ½´±«¼ò ̸»®»­«´¬­ ±º ½´±«¼ ¸±°°·²¹ ¿®» ¬»³°±®¿®§å ·¬ ±²´§ ©±®µ­ «²¬·´

½´±«¼ ¸±°°·²¹ ­¬®¿¬»¹§ ¼±»­ ²±¬ ­½¿´» ¿­ «­»®­ ¿®» «²´·µ»´§

250 Thirteenth Symposium on Usable Privacy and Security USENIX Association

¬± µ»»° ½¸¿²¹·²¹ °®±ª·¼»®­ ®»¹«´¿®´§ò

ëòî Ó»²¬¿´ ³±¼»´­ ¿²¼ ½±°·²¹ ­¬®¿¬»¹·»­É» ¿´­± ±¾­»®ª»¼ ¿ °±¬»²¬·¿´ ½±²²»½¬·±² ¾»¬©»»² «­»®­ù ³»²ó¬¿´ ³±¼»´­ ¿²¼ ½±°·²¹ ­¬®¿¬»¹·»­ò ײ Ì¿¾´» í ©» ­«³³¿®·¦»¸±© «­»®­ù ³»²¬¿´ ³±¼»´­ ¿²¼ ½±°·²¹ ­¬®¿¬»¹·»­ ¿®» ´·²µ»¼ò

Ì¿¾´» íæ ß ­«³³¿®§ ±º «­»®­ù ³»²¬¿´ ³±¼»´­ ¿²¼ ¬¸»·® ½±°ó·²¹ ­¬®¿¬»¹·»­

Ó»²¬¿´ ³±¼»´­ ݱ°·²¹ ͬ®¿¬»¹§

̸» ½´±«¼ ©·¬¸·² ¿² ¿°° Í»»µ·²¹ ¸»´°Ü»´»¬·²¹ º®±³ ­·²¹´» ¼»ª·½»

½´±«¼Ý´±«¼ ¸±°°·²¹ß¼ ¸±½ ­¬®¿¬»¹·»­Ø»¿¼ ·² ¬¸» ­¿²¼

Þ±®®±©»¼ ³»²¬¿´ ³±¼»´­ Ø»¿¼ ·² ¬¸» ­¿²¼ß¼ ¸±½ ­¬®¿¬»¹·»­Í»»µ·²¹ ¸»´°Ý´±«¼ ¸±°°·²¹

ͧ²½ º±´¼»®­ ¿®» ²±¬ ¬¸»½´±«¼

ß¼ ¸±½ ­¬®¿¬»¹·»­

Ü»´»¬·²¹ º®±³ ­·²¹´» ¼»ª·½»Í»»µ·²¹ ¸»´°

Ю±ª·¼»®­ ¼±²ù¬ ¼»´»¬» Ý´±«¼ ¸±°°·²¹

½´±«¼Í¸¿®»¼ º±´¼»®æ Ü»´»¬·±²·­ ±²» ­·¼»¼

Ø»¿¼ ·² ¬¸» ­¿²¼

͸¿®»¼ º±´¼»®æ Ü»´»¬·±²Ø»¿¼ ·² ¬¸» ­¿²¼

Í»»µ·²¹ ¸»´°Ü»´»¬·²¹ ¿²¼ ­¿ª·²¹ ©±®µ¬¸» ­¿³» ©¿§

Í»»µ·²¹ ¸»´°

Ý´±«¼ ¸±°°·²¹Ü»´»¬·±² ·­ °»®³¿²»²¬¿²¼ ·²­¬¿²¬

Ø»¿¼ ·² ¬¸» ­¿²¼

̸» ½´±«¼ ©·¬¸·² ¿² ¿°°ò Ë­»®­ ©¸± ¾»´·»ª» ¬¸» ½´±«¼ ·­·²¿½½»­­·¾´» ¿®» ´·µ»´§ ¬± ­»»µ ¸»´° ·² ±®¼»® ¬± ¼»´»¬» ­·²½»¬¸»§ ¼± ²±¬ ¾»´·»ª» ¬¸»§ ½¿² ¿½¬«¿´´§ ´±¹ ±² ¿²¼ ¼»´»¬»ò Ѭ¸ó»®­ ³¿§ ¶«­¬ ¬®§ ¬± ¼»´»¬» «­·²¹ ¬¸» ­·²¹´» ¼»ª·½» ¬¸¿¬ ¬¸»§

¿­ ¼·­½«­­»¼ »¿®´·»®ò ͱ³» «­»®­ ³¿§ ½¸±±­» ¬± ½´±«¼ ¸±° ·²­»¿®½¸ º±® ¿ ½´±«¼ ¬¸¿¬ ¬¸»§ ¾»´·»ª» ¬¸»§ ½¿² ¿½½»­­ ¿²¼

°®·ª¿½§ó¼®·ª»² «­»®­ ©·¬¸ ¬¸·­ ³»²¬¿´ ³±¼»´ ³¿§ ±°¬ ¬± »¨ó

Þ±®®±©»¼ ³»²¬¿´ ³±¼»´­ò Ë°±² ®»¿´·¦·²¹ ¬¸¿¬ ¬¸»·® ¼»´»ó

³¿§ ½¸±±­» ¸»¿¼ ·² ¬¸» ­¿²¼ ¿°°®±¿½¸ô ½¸¿²¹» ¬± ¿ ²»©°®±ª·¼»®ô ­»»µ ¸»´°ô ±® ¬®§ ±¬¸»® ¿¼ ¸±½ ­¬®¿¬»¹·»­ò ̸»§³¿§ ½¸±±­» ¸»¿¼ ·² ¬¸» ­¿²¼ ¿°°®±¿½¸ ¾»½¿«­» ¬¸»§ ®»½ó±¹²·¦» ¬¸» ³·­³¿¬½¸ ¿²¼ «²»¨°»½¬»¼ ±«¬½±³»ò Í«½¸ «­»®­³¿§ ¸±° ¬± ¿²±¬¸»® ½´±«¼ ©¸»®» ­«½¸ ³»²¬¿´ ³±¼»´­ ³¿§

¬®§·²¹ ­±³» ¿¼ ¸±½ ­¬®¿¬»¹·»­ò

ͧ²½ º±´¼»®­ ¿®» ²±¬ ¬¸» ½´±«¼ò Ë­»®­ ©¸± ¾»´·»ª» ­§²½º±´¼»®­ ¿®» ²±¬ °¿®¬ ±º ¬¸» ½´±«¼ ³¿§ ¿¼±°¬ ¿¼ ¸±½ ­¬®¿¬»¹·»­¬± ¼»´»¬» º®±³ ¬¸» ½´±«¼ò ͱ³» ³¿§ ­»»µ ¸»´° ¬± ¼»´»¬» ©¸·´»±¬¸»®­ ³¿§ ¼»´»¬» º®±³ ©»¾ ·²¬»®º¿½» ·²­¬»¿¼ ±º ¬¸» ­§²½

º±´¼»®ò

Ю±ª·¼»®­ ¼±²ù¬ ¼»´»¬»ò ̸»­» «­»®­ ¿®» ´·µ»´§ ¬± ½¸¿²¹»

°±®¬¿²¬ º®±³ ¬¸» ½´±«¼ò ß´¬¸±«¹¸ ½¸¿²¹·²¹ ¿ °®±ª·¼»® ¼±»­²±¬ ­±´ª» ¬¸»·® ¼»´»¬·±² ·­­«»­ô ¬¸»§ ¾»´·»ª» ¬¸» ²»© °®±ª·¼»®©·´´ °®±ª·¼» ¿ ½»®¬¿·² ¿­­«®¿²½» ±º ¼»´»¬·±²ò

͸¿®»¼ º±´¼»®æ ¼»´»¬·±² ³±¼»´­ò ײ¬»®»­¬·²¹´§ô ¬¸±«¹¸

«­»®­ »³°´±§ ¬¸» ­¿³» ½±°·²¹ ­¬®¿¬»¹§ô ¸»¿¼ ·² ¬¸» ­¿²¼òË­»®­ ©¸± °»®½»·ª» ¼»´»¬·±² ¬± ¾» ±²» ­·¼»¼ ³¿§ ½¸±±­» ¬±

¬¸»§ ½±«´¼ ¼»´»¬» º®±³ ¬¸» ­¸¿®»¼ º±´¼»®ò

Ü»´»¬·²¹ ·­ °»®³¿²»²¬ ¿²¼ ·²­¬¿²¬ò ̸» ³¿·² ½¸¿´´»²¹»º¿½»¼ ¾§ «­»®­ ©·¬¸ ¬¸·­ ³±¼»´ ·­ ¼»½·­·±² ³¿µ·²¹ ©¸»² ·¬

̸»§ ©·´´ ¾»´·»ª» ¬¸¿¬ ·¬ ©·´´ ¹»¬ ¼»´»¬»¼ º±®»ª»® ¿²¼ ·²ó

«²¼»´»¬»¼ ·² ¬¸» ½´±«¼ ©·¬¸ ¿ ¾»´·»º ¬¸¿¬ ¬¸»§ ³·¹¸¬ ²»»¼¬¸»³ ¿¹¿·²ò

Ü»´»¬·²¹ ¿²¼ ­¿ª·²¹ ©±®µ ¬¸» ­¿³» ©¿§ò Ë­»®­ ©¸±°±­­»­­ ¬¸·­ ³±¼»´ ¬»²¼ ¬± ­»»µ ¸»´° ©¸»² »²½±«²¬»®·²¹°®±¾´»³­ ©·¬¸ ¼»´»¬·±²ò ͱ³» ³¿§ ¿´­± ½¸±±­» ¬± ¼»´»¬»º®±³ ¬¸» ¼»ª·½» ©¸»®» ¬¸·­ ³»²¬¿´ ³±¼»´ ¿½½«®¿¬»´§ ¿°°´·»­ô¸»²½» ´»¿¼·²¹ ¬± ­«½½»­­º«´ ±«¬½±³»­ò ײ ¬¸·­ ½¿­» «­»®­ ®»´§±² ®»½¿´´·²¹ °®»ª·±«­ ­«½½»­­º«´ ¼»´»¬·±² »¨°»®·»²½»­ò

ëòí Ü»­·¹² ·³°´·½¿¬·±²­Ñ«® ®»­«´¬­ ®»ª»¿´»¼ ¿ ³¿¶±® ¹¿° ·² «­»®­ù «²¼»®­¬¿²¼·²¹ ±º¸±© ¬¸» ½´±«¼ ¿²¼ ¼»´»¬·±² ©±®µò ß´¬¸±«¹¸ ¬¸» ®»­°±²­·¾·´ó·¬§ ¬± ¼»´»¬» ´·»­ ¾»¬©»»² ¬¸» °®±ª·¼»®­ ¿²¼ ¬¸» «­»®­ô ±«®­¬«¼§ °±·²¬»¼ ±«¬ ¬¸¿¬ ½´±«¼ «­»®­ ©¿²¬ ³±®» ¬®¿²­°¿®»²½§®»¹¿®¼·²¹ ½´±«¼ ¼»´»¬·±² °±´·½·»­ò ײº±®³¿¬·±² ±² ¼»´»¬·±²­¸±«´¼ ¾» ½´»¿® ¿²¼ »¿­·´§ ³¿¼» ¿ª¿·´¿¾´» º±® «­»®­ »­°»½·¿´´§¿¾±«¬ ¸±© ¼¿¬¿ ·­ ¼·­°±­»¼ ¿º¬»® «­»ò Ë­»®­ ©±«´¼ ¿´­± ¾»²ó

¬± «²¼»®­¬¿²¼ ¿²¼ ¿½½»­­·¾´»ò

λ¹¿®¼·²¹ ¸»´°ô ½´±«¼ «­»®­ ©±«´¼ ´·µ» ¬± ¸¿ª» ¬¸» ±°¬·±²¬± ½±²¬¿½¬ ­±³»±²» ¼·®»½¬´§ ½±²½»®²·²¹ ¬¸»·® ¼»´»¬·±² °®±¾ó´»³­ò ̸·­ ·³°´·»­ ¬¸¿¬ ­±³» ½´±«¼ ·²¬»®º¿½»­ °®±ª·¼» «­»®­©·¬¸ ²±¬ »²±«¹¸ º»»¼¾¿½µ ±® ½±³°´·½¿¬»¼ ·²º±®³¿¬·±² ©¸·½¸·­ ¸¿®¼ ¬± «²¼»®­¬¿²¼ò ͱ³»¬¸·²¹ ¿µ·² ¬± Ü»´»¬·±² Í»®ª·½»Ð±·²¬­ ©±«´¼ ¸»´° «­»®­ ®»­±´ª» ¬¸»·® °®±¾´»³­ ¯«·½µ´§ò É·¬¸®»¹¿®¼­ ¬± «­»® ·²¬»®º¿½»­ô ·³°®±ª·²¹ «­»® º»»¼¾¿½µ ø»ò¹òô ²±ó

¬¸»·® ©»¿µ ³»²¬¿´ ³±¼»´­ò

ß²±¬¸»® °±­­·¾´» ¿ª»²«» º±® ·³°®±ª·²¹ ¬¸» ½«®®»²¬ ­·¬«¿¬·±²·­ ·³°®±ª·²¹ «­»®­ù «²¼»®­¬¿²¼·²¹ ¿²¼ ¿©¿®»²»­­ó¾«·´¼·²¹ò

¿¬ ¬¸» ­¿³» ¬·³»ô ±º ©¸·½¸ ³±­¬ ¿®» ·²½±³°´»¬» ¿²¼ ´»¿¼ ¬±

»¼«½¿¬·±² ¿ ½¸¿´´»²¹·²¹ ¬¿­µ ¸»²½» ­«½¸ »¼«½¿¬·±² ­¸±«´¼¾» ½«­¬±³·¦»¼ò ß´­±ô ­·²½» ²±¬ ¿´´ ·²½±³°´»¬» ³»²¬¿´ ³±¼ó»´­ ´»¿¼ ¬± º¿·´«®» ¬± ¼»´»¬»ô ©» ­«¹¹»­¬ ¬¸¿¬ «­»® »¼«½¿¬·±²

USENIX Association Thirteenth Symposium on Usable Privacy and Security 251

­¸±«´¼ º±½«­ ±² ³¿¬«®·²¹ ³»²¬¿´ ³±¼»´­ ¬¸¿¬ ¿®» ©»¿µ ±®¬¸±­» ¬¸¿¬ ´»¿¼ ¬± º¿·´«®» ¬± ¼»´»¬»ò

ëòì Ô·³·¬¿¬·±²­Ñ«® ­¬«¼§ ·­ ¿ ¯«¿´·¬¿¬·ª» ·²¯«·®§ ¥ ¾¿­»¼ ±² ¿ ­¿³°´» ­·¦» ±º

¿²¼ ­¿¬«®¿¬·±² ·² ¹®±«²¼»¼ ¬¸»±®§ ©¿­ ®»¿½¸»¼ ¾§ ïí ¬®¿²ó

º¿·´«®»­ô ½±°·²¹ ­¬®¿¬»¹·»­ ¿²¼ ¼»­·®»­ ¼·­½«­­»¼ ·² Í»½¬·±² ì¿®» ¹®±«²¼»¼ ·² ¬¸» ¼¿¬¿ º®±³ ¬¸» ­¬«¼§ò É» ¿´­± ¿½½±«²¬»¼º±® ½±¼·²¹ ¾·¿­ ¾§ «­·²¹ ¿ ­»½±²¼ ®»­»¿®½¸»® ¬± ª»®·º§ ¬¸»½±¼»­ »³»®¹·²¹ º®±³ ¬¸» ¹®±«²¼»¼ ¬¸»±®§ ¿²¿´§­·­ò ر©ó»ª»®ô ­±³» ±º ±«® °¿®¬·½·°¿²¬­ ©¸± ®»°±®¬»¼ ¬¸¿¬ ¬¸»§ «­»¼¬¸» ½´±«¼ º±® »¼·¬·²¹ ¼±½«³»²¬­ ½±«´¼ ²±¬ ¼·­¬·²¹«·­¸ ¾»ó

¬¸» ·²¿½½«®¿½§ ±º «­»®­ù ³»²¬¿´ ³±¼»´­ ©·¬¸ ®»¹¿®¼­ ¬± ¬¸»½´±«¼ò Ú«¬«®» ­¬«¼·»­ ±«¹¸¬ ¬± »¨°´±®» ¬¸» «­»®­ù ³»²¬¿´³±¼»´­ ±º ¬¸» ½´±«¼ ·² ¹»²»®¿´ ¿²¼ ¬¸»·® ·³°¿½¬ ±² ª¿®·±«­«­»® ·²¬»®¿½¬·±²­ ©·¬¸ ¬¸» ½´±«¼ ©·¬¸ ®»¹¿®¼­ ¬± ­»½«®·¬§ ¿²¼°®·ª¿½§ò

ëòë Ú«®¬¸»® ®»­»¿®½¸Ñ«® ­¬«¼§ ½¿² º±®³ ¬¸» ¾¿­·­ ±º ¿ ²«³¾»® ±º ®»­»¿®½¸ ¼·®»½ó¬·±²­ ¬¸¿¬ ½¿² ½±²¬®·¾«¬» ¬± ¾»¬¬»® «²¼»®­¬¿²¼·²¹ ¿²¼ ­«°ó°±®¬·²¹ «­»®­ù ²»»¼­ ©·¬¸ ®»¹¿®¼­ ¬± ¼»´»¬·±² ·² ¬¸» ½´±«¼¿²¼ ¿­­±½·¿¬»¼ ­»½«®·¬§ ¿²¼ °®·ª¿½§ ¹±¿´­ò

Ü»»° «²¼»®­¬¿²¼·²¹ ±º ½´±«¼ «­»®­ù ³»²¬¿´ ³±¼»´­

­¬®«½¬»¼ ³¿·²´§ ¾§ ¬¸±­» °¿®¬·½·°¿²¬­ ©¸± ½±«´¼ ²±¬ ¼»´»¬»ô¿²¼ ©» ±¾­»®ª»¼ ¬¸¿¬ ¬¸»­» ³»²¬¿´ ³±¼»´­ ­»»³ ¬± ¸¿ª» ¿²

©» ®»¿´·¦» ¬¸» ·³°±®¬¿²½» ±º «²¼»®­¬¿²¼·²¹ ±¬¸»® ¼»´»¬·±²³±¼»´­ ½±²­¬®«½¬»¼ ¾§ «­»®­ô ¿²¼ ¿´­± ³»²¬¿´ ³±¼»´­ ¿¾±«¬¬¸» ½´±«¼ ·² ¹»²»®¿´ô °¿®¬·½«´¿®´§ º±½«­·²¹ ±² ©¸»¬¸»® «­»®­«­» ±® ¬®¿²­º»® ¬¸»­» ³±¼»´­ ¬± ¬¸» ½´±«¼ º®±³ ±¬¸»® ¼±ó³¿·²­ ø½±³°«¬»®­ô ­³¿®¬°¸±²»­ô »¬½ò÷ ±® ©¸»¬¸»® ¬¸»§ ¼»óª»´±° ²»© ±²»­ ¬± ½±°» ©·¬¸ ¿ ²»© ®»¿´·¬§ò ̸·­ ·­ ·³°±®¬¿²¬

¬¿´ ³±¼»´­ ®»¹¿®¼·²¹ ½´±«¼ «­»®­ù °®¿½¬·½»­ ¿²¼ ¾»¸¿ª·±®­ô ¿­©»´´ ¿­ ¬¸»·® ¿¼±°¬·±² ±º ¬¸» ½´±«¼ò ׬ ©±«´¼ ¿´­± ¾» ·²¬»®»­¬ó·²¹ ¬± ­¬«¼§ ­»½«®·¬§ »¨°»®¬­ ¿¾±«¬ ¬¸»·® ½´±«¼ «­¿¹» ©·¬¸®»­°»½¬ ¬± ¼»´»¬·±²ò ˲¼»®­¬¿²¼·²¹ ¸±© ¬¸»§ «­» ¿²¼ ¼»´»¬»

˲¼»®­¬¿²¼·²¹ ¬¸» ·³°¿½¬ ±º «­»®­ù °®¿½¬·½»­ ¿²¼ ¾»ó¸¿ª·±®­×² ±«® ­¬«¼§ô ©» º±«²¼ ¬¸¿¬ °»±°´» ©»®» «­·²¹ ¬¸» °«¾´·½½´±«¼ º±® ¬¸»·® ©±®µ °«®°±­»­ ©·¬¸±«¬ ¿²§ ­»½«®·¬§ ¬±±´­ ­«½¸¿­ »²½®§°¬·±²ò ر©»ª»®ô ©» ¿®» §»¬ ²±¬ ­«®» ©¸¿¬ ³±¬·ª¿¬»­¬¸·­ ¾»¸¿ª·±® ¿²¼ ©¸»¬¸»® «­»®­ ¿®» ¿©¿®» ±º ¬¸» ®·­µ­ ¿­ó­±½·¿¬»¼ ©·¬¸ ¬¸·­ ¾»¸¿ª·±®ô ¿²¼ ¸±© ¼± ¬¸»§ ¼»½·¼» ©¸¿¬¹±»­ ·²¬± ¿ °«¾´·½ ½´±«¼ ¿²¼ ©¸¿¬ ¼±»­ ²±¬ò Ú«¬«®» ®»­»¿®½¸­¸±«´¼ »¨°´±®» ¬¸·­ ·­­«» ·² ±®¼»® ¬± ¼»ª»´±° º«®¬¸»® ·²­·¹¸¬­

¿²¼ ¬¸» °®·ª¿½§ ¿²¼ ­»½«®·¬§ ±º ¬¸»·® ±®¹¿²·¦¿¬·±²­ò

Ý´±«¼ «­¿¹» ¿²¼ ¼»´»¬·±² ½±«´¼ ¿´­± ¾» »¨°´±®»¼ ½±²­·¼»®ó

¦¿¬·±²­ò ׬ ©±«´¼ ¾» ·²¬»®»­¬·²¹ ¬± »¨°´±®» ·º ¼»´»¬·±² ­¬®¿¬»ó¹·»­ô º¿·´«®»­ ¿²¼ ½±°·²¹ ³»½¸¿²·­³­ ¿®» ¼±³¿·²ó¼»°»²¼»²¬ò

Ûª¿´«¿¬·±² ±º »²½®§°¬·±² ¬±±´­ ¿²¼ ¼»´»¬·±²Í±³» ­¬«¼·»­ ø»ò¹òô Ì¿²¹ »¬ ¿´ò ÅîçÃô ο¸«³»¼ »¬ ¿´ò Åîëÿ²¼ ο³±µ¿°¿²» »¬ ¿´ò ÅîêÃ÷ ®»½±³³»²¼ ¬¸» «­» ±º »²½®§°ó¬·±² ¬±±´­ ·² ¬¸» ½´±«¼ ¬± °®±¬»½¬ «­»®­ù °®·ª¿½§ ¿º¬»® ¼»´»ó¬·±²ò ر©»ª»®ô ²±²» ±º ±«® °¿®¬·½·°¿²¬­ ³»²¬·±²»¼ ¬¸» «­»±º »²½®§°¬·±² ¿­ ¿ ³»¿²­ ¬± ¿­­«®»¼ ¼»´»¬·±²ò ׬ ·­ ²±¬ ½´»¿®©¸»¬¸»® «­»®­ ¿®» ²±¬ «­·²¹ ­«½¸ ³»½¸¿²·­³­ ¾»½¿«­» ±º ¿´¿½µ ±º ¿©¿®»²»­­ ±® ¼«» ¬± «­¿¾·´·¬§ ·­­«»­ò Ë­¿¾·´·¬§ ­¬«¼·»­·² ¬¸·­ ¿®»¿ ©±«´¼ ¸»´° «²¼»®­¬¿²¼ ¸±© ­«½¸ ¬±±´­ ½±«´¼ ¾»·³°®±ª»¼ô ±® ¸±© «­»®­ ½±«´¼ ¾» »²½±«®¿¹»¼ ¬± ¿¼±°¬ ¬¸»³ò

Ó«´¬·°¿®¬§ ¿½½»­­ ½±²¬®±´×² ±«® ­¬«¼§ô ©» ®»ª»¿´»¼ ¬¸¿¬ ½´±«¼ «­»®­ °±­­»­­ ·²½±³°´»¬»³»²¬¿´ ³±¼»´­ ¿¾±«¬ ¼»´»¬·²¹ º®±³ ­¸¿®»¼ º±´¼»®­ô ©¸·½¸ ¿®»³¿²¿¹»¼ ¾§ ±²» ±® ³±®» «­»®­ò Ûª»² ·º ¬¸»­» ³±¼»´­ ©»®»½±³°´»¬» ¿²¼ ¿½½«®¿¬»ô ¬¸» ·­­«» ±º ¼¿¬¿ ³¿²¿¹»³»²¬ô ¿²¼·² °¿®¬·½«´¿® ¼¿¬¿ ¼»´»¬·±²ô ©¸»² ³«´¬·°´» «­»®­ ¿®» ·²ª±´ª»¼·² ¬¸» ½´±«¼ ·­ ¿² «²¼»®ó»¨°´±®»¼ ¿®»¿ò Í«½¸ ³«´¬·ó°¿®¬§¿½½»­­ ½±²¬®±´ ¸¿­ ¾»»² ­¬«¼·»¼ ·² ±¬¸»® ¼±³¿·²­ ­«½¸ ¿­­±½·¿´ ²»¬©±®µ­ Åîèà ¿²¼ ·¬ ©±«´¼ ¾» ·²¬»®»­¬·²¹ ¬± ­¬«¼§¬¸» ¿°°´·½¿¾·´·¬§ ¿²¼ «­¿¾·´·¬§ ±º ­«½¸ ¬»½¸²·¯«»­ ·² ±®¼»® ¬±­«°°±®¬ ¼»´»¬·±² ·² ¬¸» ½´±«¼ò

º¿½¬±®­ ¬¸¿¬ °´¿§ ¿ ®±´» ·² ¼»´»¬·±² ·² ¬¸» ½´±«¼ ¿²¼ °±¬»²¬·¿´®»´¿¬·±²­¸·°­ ¾»¬©»»² ¬¸»³ ¹®±«²¼»¼ ·² ¬¸» ¼¿¬¿ ±¾¬¿·²»¼¬¸®±«¹¸ ­»³·ó­¬®«½¬«®»¼ ·²¬»®ª·»©­ò ̸» ²»¨¬ ­¬»° ©±«´¼

êò ÝÑÒÝÔËÍ×ÑÒÍß´¬¸±«¹¸ ·¬ ·­ ¹»²»®¿´´§ ¿­­«³»¼ ¬¸¿¬ ¼»´»¬·±² ·­ ¿² »¿­§¬¿­µô ±«® ­¬«¼§ ­¸±©­ ¬¸¿¬ ½´±«¼ «­»®­ ­¬®«¹¹´» ¬± ¼»´»¬»ò̸»·® º¿·´«®» ¬± ¼»´»¬» ´»¿¼­ ¬± ½±²­¬®«½¬·±² ±® ¼»ª»´±°³»²¬±º ½±°·²¹ ³»½¸¿²·­³­ ¬± ¿¼¼®»­­ ¬¸» °®±¾´»³ò Ë­»®­ ¼»óª»´±° ¬¸»­» ­¬®¿¬»¹·»­ ·º ¬¸»§ ¾»´·»ª» ¬¸¿¬ ·¬ ·­ ·³°±®¬¿²¬¬¸¿¬ ¼¿¬¿ ·­ ¼»´»¬»¼ º®±³ ¬¸» ½´±«¼ò ر©»ª»®ô ·²º±®³¿¬·±²

»´­ò ß ´¿½µ ±º ·²º±®³¿¬·±² ±² ¼»´»¬·±² ´»¿¼­ ¬± ½±²­¬®«½¬·±²±º ·²½±³°´»¬» ±® ·²¿½½«®¿¬» ³»²¬¿´ ³±¼»´­ ©¸·½¸ »ª»²¬«¿´´§´»¿¼­ ¬± ¿ º¿·´«®» ¬± ¼»´»¬»ò ̸»­» ³»²¬¿´ ³±¼»´­ ¸¿ª» ¿¼·®»½¬ ·³°¿½¬ ±² ¬¸» ½¸±·½»­ ¿²¼ ¬¸» ¼»ª»´±°³»²¬ ±º ½±°ó·²¹ ­¬®¿¬»¹·»­ò ײ½±³°´»¬» ±® ·²¿½½«®¿¬» ³»²¬¿´ ³±¼»´­ ³¿§´»¿¼ ¬± ¼»ª»´±°³»²¬ ±º ­¬®¿¬»¹·»­ ©¸·½¸ ¼± ²±¬ ¼»´»¬» ¼¿¬¿º®±³ ¬¸» ½´±«¼ô ±® ­¬®¿¬»¹·»­ ©¸·½¸ ±²´§ ­±´ª» ¬¸» °®±¾´»³¬»³°±®¿®·´§ ±® ¾®·²¹ «° ¿¼¼·¬·±²¿´ °®±¾´»³­ò ß´´ ·² ¿´´ô ±«®·²ª»­¬·¹¿¬·±²­ ¾»¿® ±«¬ ¬¸» ·²¬«·¬·±² ¬¸¿¬ «­¿¾·´·¬§ ±º ¼»´»ó¬·±² ±® ´¿½µ ¬¸»®»±º ·² ¬¸» ½´±«¼ ·­ ¿ µ»§ °®·ª¿½§ ¿²¼ ­»½«®·¬§

éò ßÝÕÒÑÉÔÛÜÙÓÛÒÌÍÉ» ¬¸¿²µ ¿´´ ¬¸» °»±°´» ©¸± ¬±±µ °¿®¬ ·² ±«® ­¬«¼§ò É»¿´­± ¬¸¿²µ Ü®ò ß­¿¼ Ò¿¯ª· º±® ¸·­ ¿­­·­¬¿²½» ·² ½±¼·²¹ ¿²¼¿²¿´§¦·²¹ ±«® ¼¿¬¿ô ¿²¼ ¿´´ ¬¸» ¿²±²§³±«­ ®»ª·»©»®­ º±®¬¸»·® ¸»´°º«´ ½±³³»²¬­ ¿²¼ ­«¹¹»­¬·±²­ò

252 Thirteenth Symposium on Usable Privacy and Security USENIX Association

èò ÎÛÚÛÎÛÒÝÛÍÅïà ßò ß¼¿³­ ¿²¼ Óò ßò Í¿­­»ò Ë­»®­ ¿®» ²±¬ ¬¸» »²»³§ò

ݱ³³«²·½¿¬·±²­ ±º ¬¸» ßÝÓô ìîøïî÷æìð¥ìêô ïçççò

Åîà Øò ß´³«¸·³»¼·ô Íò É·´­±²ô Þò Ô·«ô Òò Í¿¼»¸ô ¿²¼ßò ß½¯«·­¬·ò Ì©»»¬­ ¿®» º±®»ª»®æ ¿ ´¿®¹»ó­½¿´»¯«¿²¬·¬¿¬·ª» ¿²¿´§­·­ ±º ¼»´»¬»¼ ¬©»»¬­ò ײ Ю±½»»¼·²¹­±º ¬¸» îðïí ½±²º»®»²½» ±² ݱ³°«¬»® ­«°°±®¬»¼½±±°»®¿¬·ª» ©±®µô °¿¹»­ èçé¥çðèò ßÝÓô îðïíò

Åíà Ýò Þ®¿ª±óÔ·´´±ô Ôò Úò Ý®¿²±®ô Öò ܱ©²­ô ¿²¼Íò Õ±³¿²¼«®·ò Þ®·¼¹·²¹ ¬¸» ¹¿° ·² ½±³°«¬»® ­»½«®·¬§©¿®²·²¹­æ ß ³»²¬¿´ ³±¼»´ ¿°°®±¿½¸ò ×ÛÛÛ Í»½«®·¬§ úЮ·ª¿½§ô çøî÷æïè¥îêô îðïïò

Åìà ßò Þ®§³¿²ò ͱ½·¿´ ®»­»¿®½¸ ³»¬¸±¼­ò Ѩº±®¼ «²·ª»®­·¬§°®»­­ô îðïëò

Åëà Üò Þ«®¼¿ ¿²¼ Úò Ì»«¬»¾»®¹ò ̸» ®±´» ±º ¬®«­¬ ¿²¼ ®·­µ

°»®½»°¬·±²­ ·² ½´±«¼ ¿®½¸·ª·²¹Â¿ßÌ®»­«´¬­ º®±³ ¿²»³°·®·½¿´ ­¬«¼§ò ̸» Ö±«®²¿´ ±º Ø·¹¸ Ì»½¸²±´±¹§Ó¿²¿¹»³»²¬ λ­»¿®½¸ô îëøî÷æïéî¥ïèéô îðïìò

Åêà Ýò Ý¿½¸·²ô Õò Ø¿®¿´¿³¾·»ªô ØòóÝò Ø­·¿±ô ¿²¼ßò ͱ®²·±¬¬·ò б´·½§ó¾¿­»¼ ­»½«®» ¼»´»¬·±²ò ײЮ±½»»¼·²¹­ ±º ¬¸» îðïí ßÝÓ Í×ÙÍßÝ ½±²º»®»²½» ±²Ý±³°«¬»® ú¿³°å ½±³³«²·½¿¬·±²­ ­»½«®·¬§ô °¿¹»­îëç¥îéðò ßÝÓô îðïíò

Åéà Ôò Öò Ý¿³°ò Ó»²¬¿´ ³±¼»´­ ±º °®·ª¿½§ ¿²¼ ­»½«®·¬§ò×ÛÛÛ Ì»½¸²±´±¹§ ¿²¼ ­±½·»¬§ ³¿¹¿¦·²»ô îèøí÷ô îððçò

Åèà Õò ݸ¿®³¿¦ò ݱ²­¬®«½¬·²¹ ¹®±«²¼»¼ ¬¸»±®§ò Í¿¹»ôîðïìò

Åçà Öò Éò Ý´¿®µô Ðò Ͳ§¼»®ô Üò ӽݱ§ô ¿²¼ Ýò Õ¿²·½¸ò ×­¿© ·³¿¹»­ · ¼·¼²ù¬ »ª»² µ²±© · ¸¿¼æ ˲¼»®­¬¿²¼·²¹«­»® °»®½»°¬·±²­ ±º ½´±«¼ ­¬±®¿¹» °®·ª¿½§ò ײЮ±½»»¼·²¹­ ±º ¬¸» íí®¼ ß²²«¿´ ßÝÓ Ý±²º»®»²½» ±²Ø«³¿² Ú¿½¬±®­ ·² ݱ³°«¬·²¹ ͧ­¬»³­ô °¿¹»­ïêìï¥ïêììò ßÝÓô îðïëò

Åïðà Íò Ý´¿®µô Ìò Ù±±¼­°»»¼ô Ðò Ó»¬¦¹»®ô Æò É¿­­»®³¿²ôÕò È«ô ¿²¼ Óò Þ´¿¦»ò ɸ§ ø­°»½·¿´ ¿¹»²¬÷ ¶±¸²²§ø­¬·´´÷ ½¿²ù¬ »²½®§°¬æ ß ­»½«®·¬§ ¿²¿´§­·­ ±º ¬¸» ßÐÝÑ°®±¶»½¬ îë ¬©±ó©¿§ ®¿¼·± ­§­¬»³ò ײ î𬸠ËÍÛÒ×ÈÍ»½«®·¬§ ͧ³°±­·«³ô Í¿² Ú®¿²½·­½±ô Ýßô ËÍßô ß«¹«­¬èóïîô îðïïô Ю±½»»¼·²¹­ô îðïïò

Åïïà Þò ݱ³°«¬»®ò ô îðïé ø¿½½»­­»¼Ú»¾®«¿®§ô îé îðïé÷ò ¸¬¬°­æññ©©©ò¾´»»°·²¹½±³°«¬»®ò½±³ñ²»©­ñ­±º¬©¿®»ñ

¼®±°¾±¨óµ»°¬óº·´»­ó¿®±«²¼óº±®ó§»¿®­ó¼«»ó¬±ó¼»´»¬»ó¾«¹ñò

ÅïîÃͬ¿²¼¿®¼·¦»¼ ³»½¸¿²·­³­ º±® °®·ª¿½§ ²±¬·½» ¿²¼½¸±·½»ò Öò ±² Ì»´»½±³³ò ú¿³°å Ø·¹¸ Ì»½¸ò Ôòô ïðæîéíôîðïîò

Åïíà ڱ®¾»­ò½±³ò ß°°´» ­¿º¿®· ©»¾ ¸·­¬±®§ô îðïé ø¿½½»­­»¼Ú»¾®«¿®§ îèô îðïé÷ò ¸¬¬°­æññ©©©òº±®¾»­ò½±³ñ­·¬»­ñ¬¸±³¿­¾®»©­¬»®ñîðïéñðîñðçñ

¿°°´»ó­¿º¿®·ó©»¾ó¸·­¬±®§ó¼»´»¬»¼ó­¬±®»¼ó·½´±«¼ñ

ýé»ë轿¼éêíîèò

Åïìà Öò Ðò Ùò Ù¿­¸¿³·ô Çò ݸ¿²¹ô Öò Öò θ±ô ¿²¼ ÓòóÝò

ײº±®³¿¬·±²Ü»ª»´±°³»²¬ô íîøì÷æèíé¥èëîô îðïêò

Åïëà Þò Ùò Ù´¿­»® ¿²¼ ßò Ôò ͬ®¿«­­ò ̸» ¼·­½±ª»®§ ±º¹®±«²¼»¼ ¬¸»±®§æ ͬ®¿¬»¹·»­ º±® ¯«¿´·¬¿¬·ª» ®»­»¿®½¸òÌ®¿²­¿½¬·±² °«¾´·­¸»®­ô îððçò

Åïêà Ðò ×´·¿ô ×ò б´¿µ·­ô Ûò ߬¸¿²¿­±°±«´±­ô Úò Ó¿¹¹·ô ¿²¼

º®±³ °¸±¬±­ ·² ­±½·¿´ ²»¬©±®µ­ò ײ Ю±½»»¼·²¹­ ±º ¬¸»îî²¼ ßÝÓ Í×ÙÍßÝ Ý±²º»®»²½» ±² ݱ³°«¬»® ¿²¼Ý±³³«²·½¿¬·±²­ Í»½«®·¬§ô °¿¹»­ éèï¥éçîò ßÝÓô îðïëò

Åïéà ×ò ×±²ô Îò λ»¼»®ô ¿²¼ Íò ݱ²­±´ª±ò òòò ²± ±²» ½¿² ¸¿½µ³§ ³·²¼þæ ݱ³°¿®·²¹ »¨°»®¬ ¿²¼ ²±²ó»¨°»®¬ ­»½«®·¬§°®¿½¬·½»­ò ײ Ю±½ò ÍÑËÐÍô îðïëò

Åïèà ×ò ×±²ô Òò Í¿½¸¼»ª¿ô Ðò Õ«³¿®¿¹«®«ô ¿²¼ Íò Ý¿°µ«²òر³» ·­ ­¿º»® ¬¸¿² ¬¸» ½´±«¼ÿæ °®·ª¿½§ ½±²½»®²­ º±®½±²­«³»® ½´±«¼ ­¬±®¿¹»ò ײ Ю±½»»¼·²¹­ ±º ¬¸» Í»ª»²¬¸Í§³°±­·«³ ±² Ë­¿¾´» Ю·ª¿½§ ¿²¼ Í»½«®·¬§ô °¿¹» ïíòßÝÓô îðïïò

Åïçà Óò Ö±¸²­±²ô Íò Û¹»´³¿²ô ¿²¼ Íò Óò Þ»´´±ª·²òÚ¿½»¾±±µ ¿²¼ °®·ª¿½§æ ·¬ù­ ½±³°´·½¿¬»¼ò ײ Ю±½»»¼·²¹­±º ¬¸» »·¹¸¬¸ ­§³°±­·«³ ±² «­¿¾´» °®·ª¿½§ ¿²¼­»½«®·¬§ô °¿¹» çò ßÝÓô îðïîò

Åîðà Õò Óò Ó¿½Ï«»»²ô Ûò Ó½Ô»´´¿²ô Õò Õ¿§ô ¿²¼Þò Ó·´­¬»·²ò ݱ¼»¾±±µ ¼»ª»´±°³»²¬ º±® ¬»¿³ó¾¿­»¼¯«¿´·¬¿¬·ª» ¿²¿´§­·­ò ÝßÓ Ö±«®²¿´ô ïðøî÷æíï¥íêô ïççèò

Åîïà ßò Ûò Ó¿®©·½µ »¬ ¿´ò ͱ½·¿´ °®·ª¿½§ ·² ²»¬©±®µ»¼

°«¾´·½­æ Ì»»²­Â¿ßÆ ¿¬¬·¬«¼»­ô °®¿½¬·½»­ô ¿²¼ ­¬®¿¬»¹·»­òîðïïò

Åîîà ßò Óò ӽܱ²¿´¼ ¿²¼ Ôò Úò Ý®¿²±®ò ̸» ½±­¬ ±º®»¿¼·²¹ °®·ª¿½§ °±´·½·»­ò ×ÍÖÔÐô ìæëìíô îððèò

Åîíà Íò Ûò Ó½Ù®»¹±®ô Ðò ݸ¿®¬»®­ô Ìò ر´´·¼¿§ô ¿²¼Úò α»­²»®ò ײª»­¬·¹¿¬·²¹ ¬¸» ½±³°«¬»® ­»½«®·¬§°®¿½¬·½»­ ¿²¼ ²»»¼­ ±º ¶±«®²¿´·­¬­ò ײ ËÍÛÒ×ÈÍ»½«®·¬§ô °¿¹»­ íçç¥ìïìô îðïëò

Åîìà Íò ᮬ·¹¿´ò ײ¬»®ª·»©·²¹ «­»®­ò α­»²º»´¼ Ó»¼·¿ô îðïíò

Åîëà ßò ο¸«³»¼ô Øò Ýò ݸ»²ô Çò Ì¿²¹ô Ðò Ðò Ô»»ô ¿²¼Öò Ýò Ô«·ò ß ­»½«®» ½´±«¼ ¾¿½µ«° ­§­¬»³ ©·¬¸ ¿­­«®»¼¼»´»¬·±² ¿²¼ ª»®­·±² ½±²¬®±´ò ײ п®¿´´»´ Ю±½»­­·²¹É±®µ­¸±°­ ø×ÝÐÐÉ÷ô îðïï ì𬸠ײ¬»®²¿¬·±²¿´Ý±²º»®»²½» ±²ô °¿¹»­ ïêð¥ïêéò ×ÛÛÛô îðïïò

Åîêà Õò Óò ο³±µ¿°¿²»ô ßò ο­¸·¼ô ¿²¼ Öò Óò Í«½¸òß­­«®»¼ ¼»´»¬·±² ·² ¬¸» ½´±«¼æ ®»¯«·®»³»²¬­ô½¸¿´´»²¹»­ ¿²¼ º«¬«®» ¼·®»½¬·±²­ò ײ Ю±½»»¼·²¹­ ±º ¬¸»îðïê ßÝÓ ±² Ý´±«¼ ݱ³°«¬·²¹ Í»½«®·¬§ ɱ®µ­¸±°ô°¿¹»­ çé¥ïðèò ßÝÓô îðïêò

Åîéà Óò Í´»»°»®ô Öò Ý®¿²­¸¿©ô Ðò Ùò Õ»´´»§ô Þò Ë®ôßò ß½¯«·­¬·ô Ôò Úò Ý®¿²±®ô ¿²¼ Òò Í¿¼»¸ò × ®»¿¼ ³§¬©·¬¬»® ¬¸» ²»¨¬ ³±®²·²¹ ¿²¼ ©¿­ ¿­¬±²·­¸»¼æ ß½±²ª»®­¿¬·±²¿´ °»®­°»½¬·ª» ±² ¬©·¬¬»® ®»¹®»¬­ò ײЮ±½»»¼·²¹­ ±º ¬¸» Í×ÙÝØ× Ý±²º»®»²½» ±² Ø«³¿²Ú¿½¬±®­ ·² ݱ³°«¬·²¹ ͧ­¬»³­ô °¿¹»­ íîéé¥íîèêòßÝÓô îðïíò

Åîèà Öò Óò Í«½¸ ¿²¼ Òò Ý®·¿¼±ò λ­±´ª·²¹ Ó«´¬·óﮬ§×ÛÛÛ Ì®¿²­¿½¬·±²­

±² Õ²±©´»¼¹» ¿²¼ Ü¿¬¿ Û²¹·²»»®·²¹ô îèøé÷æïèëï¥ïèêíôîðïêò

Åîçà Çò Ì¿²¹ô Ðò Ðò Ô»»ô Öò Ýò Ô«·ô ¿²¼ Îò л®´³¿²ò Ú¿¼»æ

ײ ײ¬»®²¿¬·±²¿´ ݱ²º»®»²½» ±² Í»½«®·¬§ ¿²¼ Ю·ª¿½§·² ݱ³³«²·½¿¬·±² ͧ­¬»³­ô °¿¹»­ íèð¥íçéò Í°®·²¹»®ôîðïðò

Åíðà Þò Ë®ô Öò Þ»»­ô Íò Óò Í»¹®»¬·ô Ôò Þ¿«»®ô Òò ݸ®·­¬·²ô¿²¼ Ôò Úò Ý®¿²±®ò ܱ «­»®­ù °»®½»°¬·±²­ ±º °¿­­©±®¼­»½«®·¬§ ³¿¬½¸ ®»¿´·¬§á ײ Ю±½»»¼·²¹­ ±º ¬¸» îðïêÝØ× Ý±²º»®»²½» ±² Ø«³¿² Ú¿½¬±®­ ·² ݱ³°«¬·²¹Í§­¬»³­ô °¿¹»­ íéìè¥íéêðò ßÝÓô îðïêò

Åíïà Çò É¿²¹ô Ùò Ò±®½·»ô Íò Õ±³¿²¼«®·ô ßò ß½¯«·­¬·ô Ðò ÙòÔ»±²ô ¿²¼ Ôò Úò Ý®¿²±®ò × ®»¹®»¬¬»¼ ¬¸» ³·²«¬» ·

USENIX Association Thirteenth Symposium on Usable Privacy and Security 253

°®»­­»¼ ­¸¿®»æ ß ¯«¿´·¬¿¬·ª» ­¬«¼§ ±º ®»¹®»¬­ ±²º¿½»¾±±µò ײ Ю±½»»¼·²¹­ ±º ¬¸» Í»ª»²¬¸ ͧ³°±­·«³ ±²Ë­¿¾´» Ю·ª¿½§ ¿²¼ Í»½«®·¬§ô °¿¹» ïðò ßÝÓô îðïïò

Åíîà Îò É¿­¸ò Ú±´µ ³±¼»´­ ±º ¸±³» ½±³°«¬»® ­»½«®·¬§ò ײЮ±½»»¼·²¹­ ±º ¬¸» Í·¨¬¸ ͧ³°±­·«³ ±² Ë­¿¾´» Ю·ª¿½§¿²¼ Í»½«®·¬§ô °¿¹» ïïò ßÝÓô îðïðò

Åííà ßò ɸ·¬¬»² ¿²¼ Öò Üò ̧¹¿®ò ɸ§ ¶±¸²²§ ½¿²ù¬»²½®§°¬æ ß «­¿¾·´·¬§ »ª¿´«¿¬·±² ±º °¹° ëòðò ײ Ë­»²·¨Í»½«®·¬§ô ª±´«³» ïçççô ïçççò

ßÐÐÛÒÜ×È

ßò ÜÛÓÑÙÎßÐØ×ÝÍßòï λ­°±²¼»²¬­ Ü»³±¹®¿°¸·½­

Ì¿¾´» ìæ Í«³³¿®§æ λ­°±²¼»²¬­ Ü»³±¹®¿°¸·½­òß ¬±¬¿´ ±º ìè °»±°´» ®»­°±²¼»¼ ¬± ±«® ¿¼ª»®¬ô ¬¸» ¬¿¾´» ¾»´±©­«³³¿®·¦»­ ¬¸»·® ¼»³±¹®¿°¸·½­ò

Ò±ò ±º °¿®¬·½·°¿²¬­

Ù»²¼»®

Ó¿´» ïêÚ»³¿´» íî

ß¹»

ïè ó îð ïðîï ó îë ïèîê ó íð ïïíï ó íë ë

íê ó ìð îìï ó ìë ðìê ó ëð ïëï ó ëë ï

Û¼«½¿¬·±²¿´ Þ¿½µ¹®±«²¼

Ø·¹¸ ­½¸±±´ñݱ´´»¹» ½±«®­» ïìÞ¿½¸»´±®­ ïíÓ¿­¬»®­ ïïÐ¸Ü ç

Ю»º»®®»¼ ²±¬ ¬± ­¿§ ï

Û³°´±§³»²¬ ­¬¿¬«­

˲»³°´±§»¼ñλ¬·®»¼ îÚ«´´ ¬·³» ïëп®¬ó¬·³» í

ͬ«¼»²¬ îè

Ý´±«¼ ­»®ª·½»­

Ü®±°¾±¨ îî·Ý´±«¼ îð

Ѳ»Ü®·ª» îîÙ±±¹´» Ü®·ª» îïÞ±¨ ïí

Ù±±¹´» ܱ½­ îç

Ѳ»Ò±¬» ê

Ý´±«¼ ß½½»­­

ͳ¿®¬°¸±²» ìèÌ¿¾´»¬ îìÜ»­µ¬±° íð

Ô¿°¬±° ìí

Ý´±«¼ ¿½¬·ª·¬·»­

Ü»´»¬»¼ ¼¿¬¿ ìé

Ü»´»¬»¼ ¿² ¿½½±«²¬ íð

λ¿¼ ¿ ­»®ª·½» ¿¹®»»³»²¬ ïîÒ±²» ±º ¬¸» ¿¾±ª» ï

ßòî ײ¬»®ª·»© Ü»³±¹®¿°¸·½­

Ì¿¾´» ëæ Í«³³¿®§æ ײ¬»®ª·»© Ü»³±¹®¿°¸·½­òîê °»±°´» ©»®» ·²ª·¬»¼ ¬± ¬¿µ» °¿®¬ ·² ±«® ·²¬»®ª·»©­ò

Ò±ò ±º °¿®¬·½·°¿²¬­

Ù»²¼»®

Ó¿´» ïî

Ú»³¿´» ïì

ß¹»

ïè ó îð í

îï ó îë è

îê ó íð ê

íï ó ìð é

ìë õ î

Û¼«½¿¬·±²¿´ Þ¿½µ¹®±«²¼

Ø·¹¸ ­½¸±±´ñݱ´´»¹» ½±«®­» ë

Þ¿½¸»´±®­ ç

Ó¿­¬»®­ ë

Ð¸Ü ê

Ю»º»®®»¼ ²±¬ ¬± ­¿§ ï

Û³°´±§³»²¬ ­¬¿¬«­

˲»³°´±§»¼ñλ¬·®»¼ ï

Ú«´´ ¬·³» ïî

п®¬ó¬·³» í

ͬ«¼»²¬ ïð

Ý´±«¼ ­»®ª·½»­

Ü®±°¾±¨ ïë

·Ý´±«¼ ç

Ѳ»Ü®·ª» ê

Ù±±¹´» Ü®·ª» ïé

Þ±¨ ïé

Ù±±¹´» ܱ½­ ïì

Ѳ»Ò±¬» î

Ý´±«¼ ß½½»­­

ͳ¿®¬°¸±²» îê

Ì¿¾´»¬ ïí

Ü»­µ¬±° îí

Ô¿°¬±° îë

Þò ×ÒÌÛÎÊ×ÛÉ ÙË×ÜÛ

̸¿²µ §±« º±® °¿®¬·½·°¿¬·²¹ ·² ±«® ­¬«¼§ò ß­ §±« ®»¿¼ ·²¬¸» ½±²­»²¬ º±®³ô ©» ©·´´ ¾» ®»½±®¼·²¹ ¬¸» ­»­­·±² ­± ©» ½¿²®»ª·»© ·¬ ¬± ³¿µ» ­«®» ¬¸¿¬ ©» ¼±²ù¬ ³·­­ ¿²§ °¿®¬ ±º ±«®

©·´´ ±²´§ ¾» ¿½½»­­»¼ ¾§ «­ò DZ«® ²¿³» ©·´´ ²±¬ ¾» ¿­­±½·¿¬»¼©·¬¸ ¿²§ ¼¿¬¿ × ½±´´»½¬ò ܱ §±« ¸¿ª» ¿²§ ¯«»­¬·±²­ ®»¹¿®¼·²¹¬¸» ½±²­»²¬ º±®³á ܱ × ¸¿ª» §±«® °»®³·­­·±² ¬± ­¬¿®¬ ¬¸»®»½±®¼·²¹á

ïò ܱ §±« «­» ¿²§ ±º ¬¸» º±´´±©·²¹ ­»®ª·½»­ ±® ­·³·´¿®­»®ª·½»­á Û¨¿³°´»­æ Ü®±°¾±¨ô Þ±¨ô ·Ý´±«¼ô ÙóÜ®·ª»ôѲ»ó¼®·ª»ò

Ú±´´±©ó«°óïæ ر© ±º¬»² ¼± §±« «­» ¬¸»³á

ø¿÷ Ю±³°¬æ ɱ«´¼ §±« ­¿§ §±« «­» ¬¸»³ »ª»®§¼¿§á

254 Thirteenth Symposium on Usable Privacy and Security USENIX Association

Ú±´´±©ó«°óîæɸ¿¬ ¼± §±« «­» ¬¸»­» ­»®ª·½»­ º±®á

ø¿÷ Ю±³°¬æ ×­ ·¬ º±® ©±®µ ±® ·¬­ °»®­±²¿´á

Ú±´´±©ó«°óíæ DZ« ³»²¬·±²»¼ ¬¸¿¬ §±« «­» Å­»®ª·½»ñ­»®ª·½»­Ãô¸±© ¼± §±« «­» Å·¬ñ¬¸»³Ãò

îò ܱ §±« «­» ¿²§ ±º ¬¸» º±´´±©·²¹ ­»®ª·½»­ ±® ®»´¿¬»¼ ­»®ó

Ú±´´±©ó«°óïæ ر© ±º¬»² ¼± §±« «­» ¬¸»³á

Ú±´´±©ó«°óîæ ɸ¿¬ ¼± §±« «­» ¬¸»­» ­»®ª·½»­ º±®á

ø¿÷ Ю±³°¬æ ×­ ·¬ º±® ©±®µ ±® ·¬­ °»®­±²¿´á

Ú±´´±©ó«°óíæ Ý¿² §±« ¼»­½®·¾» ¬± ³» ¸±© §±« «­»Å²¿³» ±º ¬¸» ­»®ª·½»Ãá

íò ܱ §±« ¸¿ª» ¿²§ °¿®¬·½«´¿® ®»¿­±² ©¸§ §±« «­» ¬¸»­»­»®ª·½»­á

ìò±® ½®»¿¬» ¿ ¼±½«³»²¬ ·² Å­»®ª·½» ³»²¬·±²»¼ ·² Ïîà ©¸¿¬¸¿°°»²­á

Ю±³°¬æ ܱ §±« µ²±© ©¸»®» ¬¸»§ ¿®» ­¬±®»¼á

ëò Ø¿ª» §±« »ª»® ¼»´»¬»¼ ­±³»¬¸·²¹ §±« «°´±¿¼»¼ ±² Å­»®óª·½» ³»²¬·±²»¼ ·² ¯«»­¬·±² ïÃá

Ю±³°¬æ Ø¿ª» §±« »ª»® ¬¸±«¹¸¬ ±º ¼»´»¬·²¹ ­±³»ó¬¸·²¹ §±« ¸¿ª» «°´±¿¼»¼ ±²´·²»á

Ú±´´±©ó«°óïæ ɸ§á

Ú±´´±©ó«°óîæ Ý¿² §±« ­¸¿®» ©·¬¸ ³» ¸±© §±« ¹±

·² ÏïÃá

ø¿÷ Ю±³°¬æ DZ« ³»²¬·±²»¼ ¬¸¿¬ §±« «­» Ų¿³» ±º¬¸» ­»®ª·½»Ãô ¸±© ¼± §±« ¼»´»¬» ¼¿¬¿ º®±³ Ų¿³»±º ¬¸» ­»®ª·½»Ãá

êò Ø¿ª» §±« »ª»® ¼»´»¬»¼ ­±³»¬¸·²¹ §±« «°´±¿¼»¼ ±² Å­»®óª·½» ³»²¬·±²»¼ ·² ¯«»­¬·±² îÃá

Ú±´´±©ó«°óïæ ɸ§á

Ú±´´±©ó«°óîæ Ý¿² §±« ­¸¿®» ©·¬¸ ³» ¸±© §±« ¹±

·² ÏîÃá

ø¿÷ Ю±³°¬æ DZ« ³»²¬·±²»¼ ¬¸¿¬ §±« «­» Ų¿³» ±º¬¸» ­»®ª·½»Ãô ¸±© ¼± §±« ¼»´»¬» ¼¿¬¿ º®±³ Ų¿³»±º ¬¸» ­»®ª·½»Ãá

ÅÒÑÌÛæ ׺ ¬¸» °¿®¬·½·°¿²¬ ½´¿·³­ ¬± ¸¿ª» ²»ª»® ¼»´»¬»¼¿²§¬¸·²¹ º®±³ ¬¸» ½´±«¼ ¾»º±®»ô ¿­µ ¬¸» º±´´±©·²¹ ¯«»­ó¬·±² ±¬¸»®©·­» ­µ·° ·¬Ã

éò DZ« ¸¿ª» ³»²¬·±²»¼ ¬¸¿¬ §±« ¸¿ª» ²»ª»® ¼»´»¬»¼ ±®¾»»² ¿­µ»¼ ¬± ¼»´»¬» ¿²§¬¸·²¹ ¾»º±®»ô ¸±© ½±³»á

Ú±´´±©ó«°óïæ ر© ¼± §±« ¼»¿´ ©·¬¸ ·²º±®³¿¬·±²¬¸¿¬ §±« ²± ´±²¹»® ²»»¼á

èò Ø¿ª» §±« »ª»® º¿½»¼ °®±¾´»³­ ±® ½¸¿´´»²¹»­ ©¸»² ¬®§·²¹¬± ¼»´»¬» §±«® ¼¿¬¿ º®±³ ¿²§ ±º §±«® ­»®ª·½»­á

Ю±³°¬æ Ý¿² §±« ®»½¿´´ ¿ ¬·³» ©¸»² §±« ©¿²¬»¼

¬± ¼»´»¬» ·¬ ±® §±« ½±«´¼ ­·³°´§ ²±¬ ¶«­¬ ¼»´»¬»ò

Å׺ °¿®¬·½·°¿²¬ ­¿§­ Ç»­Ã

Ú±´´±©ó«°óïæ ɸ·½¸ ­»®ª·½» ©¿­ ¬¸¿¬ ¿²¼ ¸±© ¼·¼§±« ®»­±´ª» ±® ¹»¬ ¿®±«²¼ ¬¸±­» ½¸¿´´»²¹»­á Ñ® ¸±©

çò Ø¿ª» §±« »ª»® ¾»»² ®»¯«·®»¼ ¬± ®»½±ª»® ·²º±®³¿¬·±² §±«¸¿ª» °®»ª·±«­´§ ¼»´»¬»¼á

¬¸¿¬ §±« ¸¿¼ °®»ª·±«­´§ ¼»´»¬»¼ º®±³ Å­»®ª·½» ³»²ó¬·±²»¼ ·² Ïï ±® ÏîÃò

Ú±´´±©ó«°óïæ É»®» §±« ­«½½»­­º«´á

Ú±´´±©ó«°óîæ ر© ¼·¼ §±« ¼± ·¬á

ïðò³»²¬­Ã §±« ¸¿ª» °®»ª·±«­´§ ¼»´»¬»¼ ­¬·´´ »¨·­¬ ­±³»ó©¸»®» ±²´·²» ±® ½¿² ¾» ­¸¿®»¼ ¾§ §±«® ­»®ª·½» °®±ª·¼»®á

Å׺ °¿®¬·½·°¿²¬ ­¿§­ Ç»­Ã

Ú±´´±©ó«°óïæ ɸ§á

Ú±´´±©ó«°óîæ ɸ¿¬ ¼± §±« ¼± ¬± »²­«®» ¬¸¿¬ §±«®¼»´»¬»¼ ·²º±®³¿¬·±² ½¿² ²»ª»® ¾» ­¸¿®»¼ ¿º¬»® §±«¸¿ª» ¼»´»¬»¼ ·¬á

Å׺ °¿®¬·½·°¿²¬ ­¿§­ Ò±Ã

Ú±´´±©ó«°óïæ DZ« ³»²¬·±²»¼ ¬¸¿¬ §±« ¼±²ù¬ ¬¸·²µ§±«® ·²º±®³¿¬·±² ½±«´¼ ¾» ­¸¿®»¼ ¿º¬»® ·¬ ¸¿­ ¾»»²¼»´»¬»¼ô ©¸§á

ïïò¬¿µ»­ º±® Å­»®ª·½» ³»²¬·±²»¼ ¿¬ Ïï ±® Ïîà ¬± ¼»´»¬» ¬¸»³º®±³ ¬¸»·® ­·¼»á

Ю±³°¬æ ر© ´±²¹ ¼±»­ ¼»´»¬·±² °®±½»­­ ¬¿µ»á

ÅÛ¨°´¿·² ¬± ¬¸» °¿®¬·½·°¿²¬ ¬¸¿¬ §±« ©·´´ ­¸¿®» ¿ ­½»ó²¿®·± ©·¬¸ ¬¸»³ ¿²¼ ¬¸»² ¿­µ ¯«»­¬·±²­ «­·²¹ ¬¸» ­½»ó²¿®·±ò ݸ±±­» ±²» ­½»²¿®·± °»® ·²¬»®ª·»© ¼»°»²¼·²¹ ±²¬¸» ·²¬»®ª·»©»» ±½½«°¿¬·±²ô º±® »¨¿³°´»ô ·º ¬¸» ·²¬»®ª·»ó©»» ·­ ¿ ­¬«¼»²¬ ¿­µ ¬¸»³ ­½»²¿®·± ±²»òÃ

ͽ»²¿®·± ï

ߺ¬»® ¿ Å´¿¬» ²·¹¸¬ ±«¬ñ°¿®¬§ñ°·½²·½Ãô §±«® ź®·»²¼ñ½±´´»¿¹«»Ã½®»¿¬»­ ¿ º±´¼»® ·² Å­»®ª·½» ³»²¬·±²»¼Ã ¿²¼ ­¸¿®»­ ·¬ ©·¬¸§±« ¿²¼ §±«® ±¬¸»® º®·»²¼ò Ø» ¬¸»² ¬®·»­ ¬± ¾» º«²²§¿²¼ ¼»½·¼»­ ¬± «°´±¿¼ í »³¾¿®®¿­­·²¹ °¸±¬±­ ±º §±«¬¸®»» ¬¸¿¬ §±« ¬±±µ ±² ¬¸» ²·¹¸¬ ±«¬ò DZ« ¿®» »³ó¾¿®®¿­­»¼ ¿²¼ ¼»½·¼» ¬± ¼»´»¬» ¿´´ ¬¸» °¸±¬±­ º®±³ ¬¸»­¸¿®»¼ º±´¼»®ò

ͽ»²¿®·± î

DZ« ¸¿ª» ¶«­¬ ¶±·²»¼ ¿ ²»© ¬»¿³ ¿¬ ©±®µò DZ«® ²»© ­«ó°»®ª·­±® ½®»¿¬»­ ¿ º±´¼»® ·² Å­»®ª·½» ³»²¬·±²»¼ ¾§ °¿®¬·½ó·°¿²¬Ã ¿²¼ ­¸¿®»­ ·¬ ©·¬¸ §±« ¿²¼ §±«® ±¬¸»® ½±´´»¿¹«»­òDZ«® ­«°»®ª·­±® «°´±¿¼­ ­±³» ¼±½«³»²¬­ º±® §±« ¿²¼§±«® ¬»¿³ ¬± ©±®µ ±²ò Ë°±² ¿ ¼·­½«­­·±² ¾»¬©»»² §±«¿²¼ §±«® ­«°»®ª·­±®ô ­ñ¸» ®»¿´·¦»­ §±« ¼±²ù¬ ²»»¼ ±²» ±º¬¸» ¼±½«³»²¬­ ­± ­ñ¸» ¿­µ­ §±« ¬± ¼»´»¬» ¬¸» ¼±½«³»²¬ò

Åͽ»²¿®·± Ï«»­¬·±²­Ã

ïîò ɸ¿¬ ¼± §±« ¬¸·²µ ©·´´ ¸¿°°»² ©¸»² §±« ¼»´»¬» ¬¸»Å°¸±¬±­ñ¼±½«³»²¬Ãá

Ю±³°¬æ É·´´ Ŭ¸»§ñ·¬Ã ¾» ¼»´»¬»¼ º®±³ ¬¸» ­¸¿®»¼º±´¼»® ±® ¶«­¬ §±«® ½±³°«¬»® ±® ¼»ª·½»á

ïíò É·´´ ¬¸» Å°¸±¬±­ñ¼±½«³»²¬Ã ¾» ¼»´»¬»¼ º®±³ ¿´´ §±«®Åº®·»²¼­ùñ½±´´»¿¹«»­ùà ¿½½±«²¬­ ±® ¬¸»§ ©·´´ ±²´§ ¾» ¼»´»¬»¼º®±³ §±«® ¿½½±«²¬á

º®·»²¼­ñ½±´´»¿¹«»­ à ¬±±á

ÅÛ²¼ ±º ­½»²¿®·± ¯«»­¬·±²­ÃÛ¨°´¿·² ¬± ¬¸» ·²¬»®ª·»©»» ¬¸¿¬ ¬¸» ¯«»­¬·±²­ ±² ¬¸»­½»²¿®·± ¸¿ª» »²¼»¼ò

USENIX Association Thirteenth Symposium on Usable Privacy and Security 255

ïìò ׺ §±« ©»®» ¬±´¼ ¬¸¿¬ ·²º±®³¿¬·±² §±« ¼»´»¬» ³¿§ ²»ª»®

ïëò ܱ §±« µ²±© ¿²§¬¸·²¹ ¿¾±«¬ ¬¸»Ä®·¹¸¬ ¬± ¾» º±®¹±¬¬»²þÛ«®±°»¿² ®«´·²¹á

ÅÛ¨°´¿·² ¬± ¬¸» «­»® ¬¸¿¬ §±« ¿®» ¿¬ ¬¸» »²¼ ±º ¬¸»·²¬»®ª·»©ô ¿­µ ¬¸»³ ·º ¬¸»§ ¼± ¸¿ª» ¿²§ ¯«»­¬·±²­ ±®¿²§¬¸·²¹ ¬¸»§ ©¿²¬ ¬± ­¸¿®» ¿¾±«¬ ¼»´»¬·±² º®±³ ¬¸»½´±«¼òÃ

256 Thirteenth Symposium on Usable Privacy and Security USENIX Association