[論文レビュー] T/Key: Second-Factor Authentication From Secure Hash Chains

Dmitry Kogan, Nathan Manohar+1 more|arXiv (Cornell University)|Aug 28, 2017

User Authentication and Security Systems参考文献 44被引用数 10

ひとこと要約

T/Key は、安全なハッシュチェーンを用いてサーバー側のシークレットを排除する時間ベースのワンタイムパスワードシステムであり、サーバーが侵害されてもユーザーのシークレットが露呈されない第二要因認証を可能にする。この仕組みでは、クライアントが事前に長いハッシュチェーンを計算し、サーバーに送信するのは最終的な値のみであり、クライアントはチェーンから順次ワンタイムパスワードを導出する。この方法により、独立したランダム関数から構成されるハッシュチェーンの逆転に対する理論的下界が新たに確立され、セキュリティが確保される。

ABSTRACT

Time-based one-time password (TOTP) systems in use today require storing secrets on both the client and the server. As a result, an attack on the server can expose all second factors for all users in the system. We present T/Key, a time-based one-time password system that requires no secrets on the server. Our work modernizes the classic S/Key system and addresses the challenges in making such a system secure and practical. At the heart of our construction is a new lower bound analyzing the hardness of inverting hash chains composed of independent random functions, which formalizes the security of this widely used primitive. Additionally, we develop a near-optimal algorithm for quickly generating the required elements in a hash chain with little memory on the client. We report on our implementation of T/Key as an Android application. T/Key can be used as a replacement for current TOTP systems, and it remains secure in the event of a server-side compromise. The cost, as with S/Key, is that one-time passwords are longer than the standard six characters used in TOTP.

研究の動機と目的

• サーバー側にシークレットを保存する既存の TOTP システムにおけるセキュリティ欠陥を是正すること。
• 実用的で時間ベースの仕組みに近代化された古典的な S/Key システムを構築すること。
• 独立したランダム関数から構成されるハッシュチェーンの安全性を、k ステップの逆転に対する新しい理論的下界を用いて形式化すること。
• 最小限のメモリ使用量で効率的にハッシュチェーン要素を生成できるクライアント側アルゴリズムを設計すること。
• T/Key を実装し、Android アプリケーションとして評価することで、実際の実用性とセキュリティを実証すること。

提案手法

• システムは、クライアントにのみ保存されるシードを用いて約 200 万ステップの長いハッシュチェーンを構築し、セットアップ時にサーバーに最終要素を送信する。
• クライアントはチェーンを逆方向に計算し、30 秒ごとに 1 要素を表示し、ユーザーはログイン時にその値を入力する。
• サーバーはチェーンの最終ハッシュ値のみを保存し、いかなるシークレットも保持せず、保存された値から順方向にチェーンを再計算することでワンタイムパスワードを検証する。
• 独立したランダム関数からなる k ステップのチェーンの逆転に対する新しい理論的下界を確立し、k 番目のプレイメージを逆転させることが標準仮定のもとで計算的に困難であることを証明する。
• O(1) のメモリと O(k) の時間でチェーンを逆方向に計算できる近似的最適なクライアント側アルゴリズムを開発し、モバイルデバイスでの効率的実装を可能にする。
• セキュリティモデルではハッシュ関数が独立的かつランダムであると仮定し、還元的証明を用いて T/Key を破るということは、非無視可能な確率でランダム関数を破ることに等しいことを示す。

実験結果

リサーチクエスチョン

• RQ1 サーバーにいかなるシークレットも保存しない時間ベースのワンタイムパスワードシステムを構築できるか？
• RQ2 独立したランダム関数から構成される k ステップのハッシュチェーンの逆転の計算的困難さはどの程度か？
• RQ3 最小限のメモリと計算コストで、長いハッシュチェーンの要素を効率的にクライアント側で生成できるか？
• RQ4 サーバーが侵害された場合に、このようなシステムのセキュリティは、既存の TOTP や S/Key 方式と比べてどの程度保たれるか？
• RQ5 この構成で 128 ビットのセキュリティを達成するには、最小でどのくらいのパスワード長が必要か？

主な発見

• T/Key は 130 ビットのワンタイムパスワードを用いて 128 ビットのセキュリティを達成しており、標準の 6 桁 TOTP よりもはるかに長く、サーバーが侵害されても安全である。
• k ステップの独立したランダム関数からなるハッシュチェーンの逆転が計算的に困難であるという仮定のもとで、T/Key は証明可能に安全である。理論的分析により、任意の攻撃者が T 回のクエリを行う場合、k 番目のプレイメージを逆転させる確率は、セキュリティパrameter N に対して Õ(ε³/²N/k) 以下であることが示された。
• 理論的分析により、T/Key を破るということは、非無視可能な優位性でランダム関数を破ることに等しいことが証明され、強いセキュリティ基盤が確立された。
• O(1) のメモリと O(k) の時間でチェーンを逆方向に計算できる近似的最適なクライアント側アルゴリズムが開発され、モバイルデバイスへの実装が実現可能となった。
• Android アプリとしての実装により、T/Key が実世界での利用に実現可能であり、サーバーにシークレットを一切保持せず、既存のログインワークフローと完全に互換性があることが示された。
• 攻撃者がサーバーにアクセスし、最終ハッシュ値を取得した場合でも、チェーン内の以前の値を復元することは計算的に不可能であるため、システムは依然として安全である。