[論文レビュー] A New Storage Optimized Honeyword Generation Approach for Enhancing Security and Usability

Nilesh Chakraborty, Samrat Mondal|arXiv (Cornell University)|Sep 21, 2015

User Authentication and Security Systems参考文献 15被引用数 6

ひとこと要約

本論文は、1人のユーザーあたり複数のすり替えパスワードを格納するのではなく、1つの参照文字列のみを格納することで、ストレージのオーバーヘッドを低減する新しいハニーワード生成手法であるペアドディスタンスプロトコル（PDP）を提案する。ランダムシードから導出される距離チェーンを活用することで、PDPは逆方向攻撃に対して97.23%の検出率を達成しながら、ストレージコストを最小限に抑え、既存の手法（例：'take-a-tail'）と比較して使いやすさを向上させる。

ABSTRACT

Inverting the hash values by performing brute force computation is one of the latest security threats on password based authentication technique. New technologies are being developed for brute force computation and these increase the success rate of inversion attack. Honeyword base authentication protocol can successfully mitigate this threat by making password cracking detectable. However, the existing schemes have several limitations like Multiple System Vulnerability, Weak DoS Resistivity, Storage Overhead, etc. In this paper we have proposed a new honeyword generation approach, identified as Paired Distance Protocol (PDP) which overcomes almost all the drawbacks of previously proposed honeyword generation approaches. The comprehensive analysis shows that PDP not only attains a high detection rate of 97.23% but also reduces the storage cost to a great extent.

研究の動機と目的

• 1人のユーザーあたりk−1個のすり替えパスワードを格納する従来のハニーワード方式における高いストレージオーバーヘッドを解消すること。
• 'take-a-tail'のような方式が、ユーザーが複数のシステム生成値を記憶する必要があるという使いやすさの制限を克服すること。
• 最新の手法（例：'take-a-tail'）と同等またはそれ以上のセキュリティレベルを維持・向上させつつ、システムの複雑さを低減すること。
• ストレージされた資格情報の数を最小限に抑えることで、スケーラビリティを向上させ、メモリフットプリントを削減すること。
• セキュリティ、使いやすさ、ストレージ効率のバランスを取った実用的なハニーワードフレームワークを開発すること。

提案手法

• 1つの参照文字列（RS）と距離チェーンを用いて複数のハニーワードを生成する新しいハニーワード生成法であるペアドディスタンスプロトコル（PDP）を提案する。
• RSから導出される距離チェーンに基づいて値のシーケンスを計算することで、暗号的に予測不能なハニーワードを生成する。
• パスワードファイルには1ユーザーあたり元のパスワードとRS（1つの参照文字列）のみを格納し、ストレージをnユーザーあたり2nθに削減する。
• ハニーチェッカー・サーバーに元のパスワードのインデックスのみを格納することで、最小限のオーバーヘッドを維持する。
• 攻撃者が予測できないように、距離チェーンが暗号的に安全な擬似乱数関数を用いて導出されることを保証する。
• 構文的およびエントロピーの観点でハニーワードが本物のパスワードと区別できないようにすることで、高い検出率を達成する。

実験結果

リサーチクエスチョン

• RQ1 ハニーワード生成方式は、検出能力やセキュリティを損なわせることなく、ストレージのオーバーヘッドを低減できるか？
• RQ2 1ユーザーあたりのすり替えパスワードの数を最小限に抑えながら、高い検出率を維持できるか？
• RQ3 1つの参照文字列が、安全かつ使いやすい形で複数のハニーワードを置き換えることができる程度はどの程度か？
• RQ4 ユーザーの記憶負荷を軽減することで、ハニーワードシステムの使いやすさを著しく向上させられるか？
• RQ5 'take-a-tail'と同等のセキュリティ水準を達成しつつ、ストレージコストを大幅に削減できるか？

主な発見

• PDPは逆方向攻撃に対して97.23%の検出率を達成し、既存の高セキュリティ方式と同等またはそれ以上の性能を示している。
• 従来の方式と比較して、ストレージコストがnθ(k−2)削減され、k=20の場合、1ユーザーあたり18nθの削減が達成される。
• 1ユーザーあたり格納する資格情報の数をkから2に削減し、メモリフットプリントを顕著に低減している。
• 本手法は、逆方向攻撃およびDoS攻撃の両方に対して強いセキュリティを維持しており、従来のアプローチの限界を克服している。
• 'take-a-tail'と比較して、ユーザーの記憶負荷が著しく軽減されており、ユーザーはn個の異なる値ではなく1つの参照文字列のみを記憶すればよい。
• ハニーチェッカー・サーバーはインデックス情報のみを格納しており、そのサイズは無視できるほど小さく、ユーザー数とは無関係である。