[논문 리뷰] A New Storage Optimized Honeyword Generation Approach for Enhancing Security and Usability

Nilesh Chakraborty, Samrat Mondal|arXiv (Cornell University)|2015. 09. 21.

User Authentication and Security Systems참고 문헌 15인용 수 6

한 줄 요약

이 논문은 사용자당 하나의 참조 문자열만 저장함으로써 저장 비용을 줄이는 새로운 허니워드 생성 방법인 페어드 디스턴스 프로토콜(Paired Distance Protocol, PDP)을 제안한다. 무작위 시드에서 유도된 거리 체인을 활용함으로써 PDP는 역행 공격에 대해 97.23%의 탐지율을 달성하면서도 기존의 'take-a-tail'과 같은 방법보다 저장 비용을 최소화하고 사용성도 향상시킨다.

ABSTRACT

Inverting the hash values by performing brute force computation is one of the latest security threats on password based authentication technique. New technologies are being developed for brute force computation and these increase the success rate of inversion attack. Honeyword base authentication protocol can successfully mitigate this threat by making password cracking detectable. However, the existing schemes have several limitations like Multiple System Vulnerability, Weak DoS Resistivity, Storage Overhead, etc. In this paper we have proposed a new honeyword generation approach, identified as Paired Distance Protocol (PDP) which overcomes almost all the drawbacks of previously proposed honeyword generation approaches. The comprehensive analysis shows that PDP not only attains a high detection rate of 97.23% but also reduces the storage cost to a great extent.

연구 동기 및 목표

• 사용자당 k−1개의 위장 암호를 저장하는 기존 허니워드 체계에서 높은 저장 비용 문제를 해결한다.
• 'take-a-tail'과 같은 체계에서 사용자가 시스템이 생성한 여러 값을 기억해야 하는 사용성 한계를 극복한다.
• 최신 기술 수준의 방법들인 'take-a-tail'과 동등하거나 이를 초월하는 보안 수준을 유지하면서도 시스템 복잡성을 줄인다.
• 스케일러비리티 향상과 메모리 프로파일 감소를 위해 사용자당 저장하는 자격 증명 수를 최소화한다.
• 보안, 사용성, 저장 효율성의 균형을 이룬 실용적인 허니워드 프레임워크를 개발한다.

제안 방법

• 사용자당 하나의 참조 문자열(RS)과 거리 체인을 사용해 다수의 허니워드를 생성하는 새로운 허니워드 생성 방법인 페어드 디스턴스 프로토콜(PDP)을 제안한다.
• RS에서 유도된 거리 체인을 기반으로 값의 시퀀스를 계산하여 허니워드를 생성함으로써 암호학적 예측 불가능성을 확보한다.
• 비밀번호 파일에 사용자당 원본 암호와 RS(단일 참조 문자열)만 저장하여 n명의 사용자 기준 총 저장량을 2nθ로 줄인다.
• 허니체커 서버에 원본 암호의 인덱스 정보만 저장함으로써 최소한의 오버헤드를 유지한다.
• 공격자가 예측할 수 없도록 거리 체인을 암호학적으로 안전한 의사난수 함수를 사용해 유도한다.
• 구문과 엔트로피 측면에서 허니워드가 실제 암호와 구분되지 않도록 하여 높은 탐지율을 달성한다.

실험 결과

연구 질문

• RQ1 허니워드 생성 체계가 탐지 능력이나 보안 수준을 훼손하지 않으면서도 저장 오버헤드를 줄일 수 있는가?
• RQ2 사용자당 저장하는 위장 암호의 수를 최소화하면서도 높은 탐지율을 유지할 수 있는가?
• RQ3 단일 참조 문자열이 안전하고 사용 가능한 방식으로 다수의 허니워드를 대체할 수 있는 정도는 어느 정도인가?
• RQ4 사용자가 기억해야 할 값의 수를 줄임으로써 허니워드 시스템의 사용성은 얼마나 향상될 수 있는가?
• RQ5 'take-a-tail'과 동등한 보안 수준을 달성하면서도 저장 비용을 극적으로 줄일 수 있는가?

주요 결과

• PDP는 역행 공격에 대해 97.23%의 탐지율을 달성하며, 기존 고보안 체계의 성능을 충족하거나 초월한다.
• 기존 전통적 체계 대비 저장 비용이 nθ(k−2) 감소하며, k=20일 경우 사용자당 18nθ의 절감 효과가 있다.
• 사용자당 저장 자격 증명 수를 k에서 2로 줄여 메모리 프로파일을 크게 낮춘다.
• 역행 공격과 DoS 공격에 대해 강력한 보안을 유지하며, 이전 접근 방식의 한계를 극복한다.
• 'take-a-tail'과 비교해 사용자가 기억해야 할 값의 수가 줄어들어 기억 용이성이 크게 향상된다. 사용자는 다수의 별개 값이 아닌 단 하나의 참조 문자열만 기억하면 된다.
• 허니체커 서버는 인덱스 정보만 저장하므로 크기가 극히 작고 사용자 수와 무관하게 유지된다.