[논문 리뷰] On the Economics of Offline Password Cracking

Jeremiah Blocki, Benjamin Harsha외 1명|arXiv (Cornell University)|2020. 06. 09.

User Authentication and Security Systems참고 문헌 70인용 수 35

한 줄 요약

이 논문은 오프라인 비밀번호 크래킹에 대한 경제 모델을 구축하여 합리적 공격자가 breach 이후에 얼마나 많은 비밀번호를 크랙할지 예측하고, Zipf 분포의 비밀번호 선택을 분석하며, 오프라인 공격을 완화하기 위해 메모리-하드 해싱을 주장합니다.

ABSTRACT

We develop an economic model of an offline password cracker which allows us to make quantitative predictions about the fraction of accounts that a rational password attacker would crack in the event of an authentication server breach. We apply our economic model to analyze recent massive password breaches at Yahoo!, Dropbox, LastPass and AshleyMadison. All four organizations were using key-stretching to protect user passwords. In fact, LastPass' use of PBKDF2-SHA256 with $10^5$ hash iterations exceeds 2017 NIST minimum recommendation by an order of magnitude. Nevertheless, our analysis paints a bleak picture: the adopted key-stretching levels provide insufficient protection for user passwords. In particular, we present strong evidence that most user passwords follow a Zipf's law distribution, and characterize the behavior of a rational attacker when user passwords are selected from a Zipf's law distribution. We show that there is a finite threshold which depends on the Zipf's law parameters that characterizes the behavior of a rational attacker -- if the value of a cracked password (normalized by the cost of computing the password hash function) exceeds this threshold then the adversary's optimal strategy is always to continue attacking until each user password has been cracked. In all cases (Yahoo!, Dropbox, LastPass and AshleyMadison) we find that the value of a cracked password almost certainly exceeds this threshold meaning that a rational attacker would crack all passwords that are selected from the Zipf's law distribution (i.e., most user passwords). This prediction holds even if we incorporate an aggressive model of diminishing returns for the attacker (e.g., the total value of $500$ million cracked passwords is less than $100$ times the total value of $5$ million passwords). See paper for full abstract.

연구 동기 및 목표

• 오프라인 비밀번호 공격으로 인한 피해를 경제적 프레임워크로 정량화합니다.
• 일반 해시 함수(BCRYPT, PBKDF2 등)가 Zipf 유사 분포하에서 비밀번호를 충분히 보호하는지 테스트합니다.
• 메모리-하드 함수(MHF)가 공격자 인센티브와 결과를 어떻게 바꾸는지 평가합니다.
• Yahoo!, Dropbox, LastPass, Ashley Madison 등의 실제 breach 데이터를 분석하여 모델을 검증합니다.
• 정량적 발견에 based 한 비밀번호 해싱 표준 및 정책을 권고합니다.

제안 방법

• 합리적 오프라인 공격자에 대한 의사결정 이론적(Stackelberg 스타일) 모델을 개발합니다. 매개변수로는 v(크랙된 비밀번호당 값), k(해시당 비용), a(수익 감소)가 사용됩니다.
• 공격자가 상위 t개의 비밀번호를 추정하는 임계값 t를 선택하고 기대비용 C(t)와 보상 R(t)를 계산하는 모델을 사용합니다.
• 비밀번호 분포가 Zipf의 법칙(p_i = z / i^s) 또는 CDF-Zipf(λ_t = y·t^r)를 따르는 것으로 가정합니다.
• 공격자의 최적 임계값 t*와 그에 따른 크랙된 비율 λ_{t*}의 조건을 도출합니다.
• 메모리-하드 해싱 여부에 따라 AT-비용 k = τ·CH + τ^2·C_mem 인 MHFs와 k = τ(BCRYPT/PBKDF2의 경우)을 비교하여 모델 예측을 도출합니다.
• Yahoo!, Dropbox, LastPass, Ashley Madison 데이터에 이 모델을 적용하여 보호 수준을 평가하고 기대 크랙 비율을 계산합니다.

실험 결과

연구 질문

• RQ1 Zipf/CDF-Zipf 분포 하에서breach 후 합리적 공격자가 얼마나 많은 사용자 비밀번호를 크랙할지의 비율은?
• RQ2 메모리-하드 대 비메모리-하드 해시 선택이 공격자 인센티브와 전체 크랙 비율에 어떤 영향을 주는가?
• RQ3 실제breach(Yahoo!, Dropbox, LastPass, Ashley Madison)가 기존 보호(BCRYPT/PBKDF2)가 Zipf 유사 분포 하에서 충분하지 않음을 시사하는가?
• RQ4 모델-무관 경계가 크랙된 비밀번호의 비율에 대해 어떤가, Zipf 기반 예측과의 차이는?
• RQ5 메모리-하드 함수가 크랙된 비밀번호의 백분율을 중요 임계치 이하로 줄여도 인증 지연이 수용 가능하지 않게 되지 않는가?

주요 결과

• Zipf의 법칙은 Yahoo! 비밀번호 빈도에 대해 강한 적합성을 보이며, Yahoo! 데이터(N=70 million)는 CDF-Zipf 매개변수 y와 r로 잘 모델된다.
• 임계값 T(y,r,a)가 존재하여 첫 번째로 크랙된 비밀번호의 값 v ≥ T·k인 경우, Zipf와 유사 분포 하에서 공격자의 최적 전략은 모든 비밀번호를 크랙할 때까지 계속하는 것임.
• Yahoo!, Dropbox, LastPass, Ashley Madison의 경우, 크랙된 비밀번호당 가치가 일반적으로 임계값을 초과하므로 합리적 공격자는 Zipf-유사 분포에서 추출된 모든 비밀번호를 크랙할 것임.
• Memory-hard 함수(SCRYPT나 Argon2id)은 추측 비용을 크게 증가시켜 합리적 공격자가 대부분의 비밀번호가 크랙되기 전에 시도를 포기하게 만듭니다.
• 모델 기반 경계는 MHFs의 더 큰 사용이 크랙된 비밀번호의 비율을 의미 있게 줄일 수 있음을 시사하며, 인증 지연을 전체 초로 늘리지 않고도 22.2% 미만으로 낮출 수 있습니다.
• 이 분석은 BCRYPT/PBKDF2 보호의 충분성에 의문을 제기하고, 마Memory-hard 해싱 및 가능하면 안전한 분산 비밀번호 해싱 프로토콜을 표준으로 업데이트할 것을 제안합니다.