[論文レビュー] Human Computable Passwords.

Jeremiah Blocki, Manuel Blum+1 more|arXiv (Cornell University)|Mar 31, 2014

User Authentication and Security Systems参考文献 29被引用数 10

ひとこと要約

本稿では、ユーザーが記憶した秘密の写像と、挑戦を表示する半信頼性のあるコンピュータを用いて認証を行う、人間が計算可能なパスワード方式を提案する。関数 $ f $ が人間にとって計算しやすいことを利用し、攻撃者が秘密を回復するには $ \tilde{\Omega}(n^{s(f)}) $ 個の挑戦-応答ペアが必要となる。ここで $ s(f) $ は関数 $ f $ の性質に依存するセキュリティパラメータであり、複数回のログイン後でも強力なセキュリティを保証する。

ABSTRACT

An interesting challenge for the cryptography community is to design authentication protocols that are so simple that a human can execute them without relying on a fully trusted computer. We propose several candidate authentication protocols for a setting in which the human user can only receive assistance from a semi-trusted computer --- a computer that stores information and performs computations correctly but does not provide confidentiality. Our schemes use a semi-trusted computer to store and display public challenges $C_i\in[n]^k$. The human user memorizes a random secret mapping $\sigma:[n] ightarrow\mathbb{Z}_d$ and authenticates by computing responses $f(\sigma(C_i))$ to a sequence of public challenges where $f:\mathbb{Z}_d^k ightarrow\mathbb{Z}_d$ is a function that is easy for the human to evaluate. We prove that any statistical adversary needs to sample $m= ilde{\Omega}(n^{s(f)})$ challenge-response pairs to recover $\sigma$, for a security parameter $s(f)$ that depends on two key properties of $f$. To obtain our results, we apply the general hypercontractivity theorem to lower bound the statistical dimension of the distribution over challenge-response pairs induced by $f$ and $\sigma$. Our lower bounds apply to arbitrary functions $f $ (not just to functions that are easy for a human to evaluate), and generalize recent results of Feldman et al. As an application, we propose a family of human computable password functions $f_{k_1,k_2}$ in which the user needs to perform $2k_1+2k_2+1$ primitive operations (e.g., adding two digits or remembering $\sigma(i)$), and we show that $s(f) = \min\{k_1+1, (k_2+1)/2\}$. For these schemes, we prove that forging passwords is equivalent to recovering the secret mapping. Thus, our human computable password schemes can maintain strong security guarantees even after an adversary has observed the user login to many different accounts.

研究の動機と目的

• 完全に信頼できるコンピュータに依存せずに、人間が実行可能な簡単な認証プロトコルを設計すること。
• 多数の挑戦-応答ペアを観測しても、統計的攻撃者に対して強いセキュリティを保証すること。
• 人間が計算可能なパスワード関数のセキュリティを、統計次元の枠組みで形式化すること。
• パスワードを偽造することが、秘密写像 $ \sigma $ の回復と同等になる条件を同定すること。
• 最小限の認知的負荷で計算可能でありながらも高いセキュリティを維持できる実用的な関数 $ f_{k_1,k_2} $ を構築すること。

提案手法

• ユーザーは、公開の挑戦 $ C_i \in [n]^k $ を変換するために用いる、秘密の写像 $ \sigma: [n] \to \mathbb{Z}_d $ を記憶する。
• 半信頼性のあるコンピュータは、挑戦 $ C_i $ を保存・表示するが、正しさは保証するが機密性は保証しない。
• ユーザーは、人間が評価しやすい関数 $ f: \mathbb{Z}_d^k \to \mathbb{Z}_d $ を用いて、応答 $ f(\sigma(C_i)) $ を計算する。
• セキュリティは、挑戦-応答分布の統計次元を用いて分析され、一般化されたハイパーコントラクト性定理によって境界づけられる。
• セキュリティパラメータ $ s(f) $ は、関数 $ f $ の2つの重要な性質から導出され、攻撃者が攻撃に成功するまでに必要なペアの数を決定する。
• $ 2k_1 + 2k_2 + 1 $ 個の基本演算を要する関数族 $ f_{k_1,k_2} $ が提案され、$ s(f) = \min\{k_1+1, (k_2+1)/2\} $ となる。

実験結果

リサーチクエスチョン

• RQ1 人間が計算可能な関数 $ f $ が、統計的攻撃者に対して強いセキュリティを保証するための性質は何か？
• RQ2 攻撃者が $ \sigma $ を回復するための必要な挑戦-応答ペアの数をどのように境界づけられるか？
• RQ3 パスワードを偽造することが、秘密写像 $ \sigma $ の回復と同等になるような関数 $ f $ を構築できるか？
• RQ4 人間が計算する際の認知的コスト（基本演算数）を最小限に抑えつつも高いセキュリティを維持できる関数 $ f $ はどのようなものか？
• RQ5 挑戦-応答分布の統計次元とプロトコルのセキュリティの関係は何か？

主な発見

• 任意の統計的攻撃者は、$ \tilde{\Omega}(n^{s(f)}) $ 個の挑戦-応答ペアを必要とし、$ s(f) $ は関数 $ f $ に依存する。
• セキュリティパラメータ $ s(f) $ は、$ f $ の2つの内在的性質によって決定され、Feldman らの先行研究を一般化する。
• 構築された関数族 $ f_{k_1,k_2} $ に対しては、$ s(f) = \min\{k_1+1, (k_2+1)/2\} $ となる。これは、効率性とセキュリティのバランスを取る。
• 攻撃者が異なるアカウントに対して複数回ログインを観測しても、この方式は強いセキュリティ保証を維持する。
• 攻撃者の作業量の下界は、挑戦-応答分布の統計次元に一般化されたハイパーコンタクト性定理を適用することで導出される。
• 本方式において、$ \sigma $ を回復することはパスワードを偽造することと同等であり、短絡的攻撃が存在しないことを保証する。