[論文レビュー] A Password Strength Measure.

Eugene Panferov|arXiv (Cornell University)|May 19, 2015

User Authentication and Security Systems参考文献 1被引用数 1

ひとこと要約

本稿では、攻撃者の推測攻撃の効率に基づき、攻撃戦略をモデル化することで、ヒューリスティックなルールに依存せずに、パスワード強度の標準的で数学的に厳密な定義を提唱する。従来のパスワード強度のヒューリスティクスが不十分であることが示され、正確なセキュリティ評価には戦略に配慮したメトリクスが不可欠であることが明らかになった。

ABSTRACT

We notice that the security discourse is missing the most fundamental notion of the -- it was never properly defined. We propose a canonical definition of the strength, based on the assessment of the efficiency of a set of possible guessing attack. Unlike naive password strength assessments our metric takes into account the attacker's strategy, and we demonstrate the necessity of that feature. This paper does NOT advise you to include at least three capital letters, seven underscores, and a number thirteen in your password.

研究の動機と目的

• セキュリティの議論において、パスワード強度の形式的で標準的な定義が欠如している問題に対処すること。
• 既存のヒューリスティックに基づくパスワード強度評価の欠陥を特定すること。
• 攻撃者戦略と推測効率を関数として形式化することで、パスワード強度を定式化すること。
• 攻撃者戦略を無視すると、誤った強度評価が生じることを示すこと。
• パスワードセキュリティを評価するための原理的で測定可能なフレームワークを提供すること

提案手法

• 最適な攻撃者が必要な推測回数の期待値の逆数としてパスワード強度を定義すること。
• 攻撃者の戦略を、あり得るパスワード上の確率分布を用いてモデル化すること。
• シャノンエントロピーをベースラインとして用いるが、非一様なパスワード分布を考慮するために拡張すること。
• 任意の文字セットルールではなく、攻撃者の最適な推測戦略に基づいて強度を評価すること。
• 情報理論的原則を用いて攻撃者効率を定量化することで、メトリクスを形式化すること。
• 従来のルール（例：特殊文字の必須要件）が実際の強度と相関しないことを示すこと

実験結果

リサーチクエスチョン

• RQ1 攻撃行動を考慮した標準的で形式的なパスワード強度の定義とは何か？
• RQ2 攻撃者戦略を無視すると、パスワードセキュリティの評価がどのように誤ったものになるか？
• RQ3 一般的なパスワード強度のヒューリスティクスが、ユーザーとシステムをどれほど誤解を招くか？
• RQ4 戦略に配慮したメトリクスは、より正確で信頼性の高いパスワード強度の測定を可能にするか？
• RQ5 実際の運用において、提案されたメトリクスはエントロピーに基づくか、ルールに基づくアプローチと比べてどのように異なるか？

主な発見

• 正確なセキュリティ評価には、形式的で戦略に配慮したパスワード強度の定義が必要である。
• 特定の文字種の必須要件といった従来のヒューリスティクスは、強度を確実に高めるわけではない。
• 提案されたメトリクスは、構文的ルールではなく、攻撃者効率に基づいて強度を定量化する。
• モデルは、非一様なパスワード分布が有効な強度を著しく低下させることを示している。
• メトリクスは、多くの一般的に使われるパスワードがヒューリスティックルールに基づく仮定よりもはるかに弱いことを明らかにしている。
• このフレームワークは、パスワードポリシーとシステムの客観的評価の基盤を提供する。