[論文レビュー] Password Cracking and Countermeasures in Computer Security: A Survey

Aaron L. -F. Han|arXiv (Cornell University)|Nov 28, 2014

Advanced Malware Detection Techniques被引用数 7

ひとこと要約

本調査は、情報セキュリティ分野におけるパスワードクラッキング技術とその対策について包括的な概要を提供しており、ブルートフォース、ディクショナリ、ルールベースの攻撃などの手法と、パスワードポリシー、多要素認証、プロアクティブチェックなどの防御策を分析している。これはITセキュリティ専門家および一般の読者にとって基盤的なリソースであり、認証システムを強化する実用的な対策を強調している。

ABSTRACT

With the rapid development of internet technologies, social networks, and other related areas, user authentication becomes more and more important to protect the data of users. Password authentication is one of the widely used methods to achieve authentication for legal users and defense against intruders. There have been many password-cracking methods developed during the past years, and people have been designing countermeasures against password cracking all the time. However, we find that the survey work on password cracking research has not been done very much. This paper is mainly to give a brief review of the password cracking methods, import technologies of password cracking, and the countermeasures against password cracking that are usually designed at two stages including the password design stage (e.g. user education, dynamic password, use of tokens, computer generations) and after the design (e.g. reactive password checking, proactive password checking, password encryption, access control). The main objective of this work is to offer the abecedarian IT security professionals and the common audiences some knowledge about computer security and password cracking and promote the development of this area. Keywords- Computer security; User authentication; Password cracking; Cryptanalysis; Countermeasures

研究の動機と目的

• 情報セキュリティ分野におけるパスワードクラッキング研究について包括的な調査が不足しているという点を解決すること。
• ブルートフォース、ディクショナリ、ルールベースの攻撃を含む、一般的なパスワードクラッキング手法を分析すること。
• パスワード設計段階（例：ユーザー教育、トークン）と設計後段階（例：アクセス制御、暗号化）の2段階にわたり実装された対策を検討すること。
• ITセキュリティ専門家および一般の読者に対して、ユーザー認証システムを保護するための基盤的知識を提供すること。
• 既存の知識を統合し、ギャップを特定することで、パスワードセキュリティ分野におけるさらなる研究開発を促進すること。

提案手法

• パスワードクラッキングおよび防御メカニズムに関する既存文献の体系的レビュー。
• 計算的手法および言語的アプローチに基づき、パスワードクラッキング技術をブルートフォース、ディクショナリ、ルールベースの攻撃に分類すること。
• パスワード設計段階における対策の分析、例えばユーザー教育、ダイナミックパスワード、ハードウェアトークンなど。
• 実行時および設計後における防御策の検討、例えばリアクティブおよびプロアクティブなパスワードチェック、暗号化、アクセス制御メカニズムなど。
• さまざまなシステムアーキテクチャにわたり、技術的および政策的戦略を統合してパスワードセキュリティを強化すること。
• 実世界の例および事例研究を用いて、さまざまなアプローチの有効性と限界を説明すること。

実験結果

リサーチクエスチョン

• RQ1 現代のパスワードクラッキングで主に用いられる技術は何であり、それらは効率性や成功確率においてどのように異なるか？
• RQ2 パスワードポリシー、多要素認証、アクセス制御といった現在の対策は、パスワード攻撃をどれほど効果的に緩和できるか？
• RQ3 脆弱な資格情報を検出する観点から、リアクティブチェックとプロアクティブチェックの強みと弱みは何か？
• RQ4 ユーザー行動とシステム設計が、パスワードセキュリティの結果にどのように相互作用するか？
• RQ5 ハードウェアアクセラレーションや機械学習といった技術的進歩は、パスワードクラッキング能力の進化にどのような役割を果たしているか？

主な発見

• ルールベースおよびハイブリッド攻撃を含むパスワードクラッキング技術は著しく進化しており、弱いまたは予測可能なパスワードに対して高い成功率を示している。
• 多要素認証およびハードウェアトークンは、知識ベースの認証のみに依存する場合と比較して、パスワード改ざんのリスクを顕著に低減している。
• プロアクティブなパスワードチェックメカニズムは、パスワードが使用される前に対策を講じることで、システム全体のセキュリティを向上させることができる。
• リアクティブなパスワードチェックは有用ではあるが、弱いパスワードの初期使用を防げないという限界がある。
• ユーザー教育と強固なパスワードポリシーは依然として不可欠であるが、技術的制御がなければ単独では不十分である。
• 暗号化とアクセス制御メカニズムの統合により、オンラインおよびオフラインの両方のパスワード攻撃に対する保護が強化されている。