[論文レビュー] The Scale-free Network of Passwords : Visualization and Estimation of Empirical Passwords

Xiujia Guo, Haibo Chen+3 more|arXiv (Cornell University)|Nov 26, 2015

User Authentication and Security Systems参考文献 18被引用数 4

ひとこと要約

本稿は、Yahoo や 12306 などの実世界のデータセットを含む実験的パスワード集合のスケールフリーなネットワークモデルを導入し、そのトポロジー的構造を可視化する。パスワード間の接続性をコミュニティ検出と次数分布を用いて分析することで、統計的推測攻撃のトポロジー的アプローチを提案し、最小辞書問題が NP 完全であることを証明し、パスワード解読効率の下限を提示する。

ABSTRACT

In this paper, we present a novel vision of large scale of empirical password sets available and improve the understanding of passwords by revealing their interconnections and considering the security on a level of the whole password set instead of one single password level. Through the visualization of Yahoo, Phpbb, 12306, etc. we, for the first time, show what the spatial structure of empirical password sets are like and take the community and clustering patterns of the passwords into account to shed lights on the definition of popularity of a password based on their frequency and degree separately. Furthermore, we propose a model of statistical guessing attack from the perspective of the data's topological space, which provide an explanation of the "cracking curve". We also give a lower bound of the minimum size of the dictionary needed to compromise arbitrary ratio of any given password set by proving that it is equivalent to the minimum dominating set problem, which is a NP-complete problem. Hence the minimal dictionary problem is also NP-complete.

研究の動機と目的

• 個々のパスワードの強度を越えて、大規模な実験的パスワード集合の構造的性質を理解すること。
• 頻度だけでなく、ネットワークトポロジーにおける次数を用いてパスワードの人気度をモデル化すること。
• パスワード間の接続性に基づくトポロジー的フレームワークを、統計的推測攻撃に適用すること。
• 特定のパスワード集合を解読するために必要な最小辞書サイズの理論的下限を確立すること。
• 最小辞書問題が最小支配集合問題に還元可能であることを示し、NP 完全性を証明すること。

提案手法

• 各ノードが一意なパスワードを表し、エッジが類似性または同時発生パターンを表すパスワードネットワークを構築する。
• コミュニティ検出およびクラスタリングアルゴリズムを適用し、パスワード集合内の構造的パターンを明らかにする。
• 次数分布の分析を用いて、パスワードネットワークにおけるスケールフリー特性を同定する。
• パスワードネットワークのトポロジカルな空間に基づき、統計的推測攻撃をモデル化し、「解読曲線」の挙動を説明する。
• 最小辞書問題と最小支配集合問題との同値性を証明し、NP 完全性を確立する。
• パスワードネットワークのグラフ理論的性質を用いて、辞書サイズの下限を推定する。

実験結果

リサーチクエスチョン

• RQ1 実世界のパスワード集合がネットワークとして可視化された際、どのようにして相互に接続された構造を形成するか？
• RQ2 特に次数とコミュニティ構造といったネットワークトポロジーが、パスワードの人気度に果たす役割は何か？
• RQ3 実際のパスワード攻撃で観察される「解読曲線」は、パスワード集合のトポロジカル構造によって説明可能か？
• RQ4 特定のパスワード集合の一定割合を解読するために必要な最小辞書サイズは何か？ そして、そのサイズはどのようにして境界づけられるか？
• RQ5 パスワード解読のための最小辞書を求める問題は計算的に困難であり、その理由は何か？

主な発見

• Yahoo や 12306 といった実システムのパスワード集合は、少数の高頻度パスワードが構造を支配するスケールフリーなネットワーク特性を示す。
• ネットワーク内でのパスワードの次数は、その人気度と強く相関しており、単なる頻度を超えた新たな指標を提供する。
• パスワード攻撃で一般的に観察される「解読曲線」は、ネットワーク内でのパスワードのトポロジカル分布によって説明可能である。
• 最小辞書問題が最小支配集合問題への還元によって NP 完全であることが証明された。
• 最小辞書のサイズに対する理論的下限が導出され、パスワード解読効率の根本的限界を示している。