[論文レビュー] Detecting Stuffing of a User’s Credentials at Her Own Accounts

Ke Coby Wang, Michael K. Reiter|arXiv (Cornell University)|Jan 1, 2020

Privacy, Security, and Data Protection被引用数 4

ひとこと要約

本論文は、個々のユーザー アカウントを標的とするパスワードのすり替え攻撃を、複数のウェブサイトが共同で検出できる、スケーラブルでプライバシーを守るフレームワークを提案する。カクー フィルターと確率的モデル検査を用いた新規のプライベート メンバーシップテスト プロトコルにより、悪意あるパスワードのすり替え行動と通常のパスワード再利用行動を区別し、最小限のインfra構成で高い検出精度を達成する。これは米国主要産業の合計ログイン負荷を支えることができる。

ABSTRACT

We propose a framework by which websites can coordinate to detect credential stuffing on individual user accounts. Our detection algorithm teases apart normal login behavior (involving password reuse, entering correct passwords into the wrong sites, etc.) from credential stuffing, by leveraging modern anomaly detection and carefully tracking suspicious logins. Websites coordinate using a novel private membership-test protocol, thereby ensuring that information about passwords is not leaked; this protocol is highly scalable, partly due to its use of cuckoo filters, and is more secure than similarly scalable alternatives in an important measure that we define. We use probabilistic model checking to estimate our credential-stuffing detection accuracy across a range of operating points. These methods might be of independent interest for their novel application of formal methods to estimate the usability impacts of our design. We show that even a minimal-infrastructure deployment of our framework should already support the combined login load experienced by the airline, hotel, retail, and consumer banking industries in the U.S.

研究の動機と目的

• 複数のウェブサイトにまたがる個人ユーザーを標的とするパスワードのすり替え攻撃の増加する脅威に対処すること。
• ユーザーのパスワードや機微なログインデータを暴露せずに、ウェブサイトが協働してパスワードのすり替え攻撃を検出できる仕組みを提供すること。
• ユーザーのプライバシーを保ちながら、効果的な異常検出を可能にする、スケーラブルかつ安全な協調プロトコルを設計すること。
• 通常のパスワード再利用パターンを含む実世界のログインワークロード下でも、システムの使いやすさと正確性を維持すること。
• 米国主要産業の合計ログイン負荷を支えることを示すことで、最小限のインfra構成での実現可能性を実証すること。

提案手法

• カクー フィルターに基づくプライベート メンバーシップテスト プロトコルを採用し、ウェブサイトが他のサイトの漏洩リストにユーザーのパスワードが存在するかを、パスワードを露呈せずに確認できるようにする。
• 現代的な異常検出技術を用いて、通常のログイン行動（例：パスワード再利用、タイプミス）とパスワードのすり替えパターンを区別する。
• 確率的モデル検査を活用し、さまざまな運用設定下での検出精度と使いやすさのトレードオフを形式的に推定する。
• 定義された脅威モデル下で、代替手法よりもはるかにスケーラブルかつ安全な協調プロトコルを設計する。
• 検出ロジックをウェブサイトレベルに統合し、分散型でありながらも連携された不審なログイン試行の監視を可能にする。

実験結果

リサーチクエスチョン

• RQ1 分散型でプライバシーを守る協調メカニズムは、ユーザーのパスワードを露呈せずに、スケーラブルにパスワードのすり替え攻撃を検出可能か？
• RQ2 このシステムは、通常のパスワード再利用やタイプミスに起因するログイン試行と、悪意あるパスワードのすり替え行動をどれほど正確に区別できるか？
• RQ3 実世界のログインワークロード下で、提案されたプライベート メンバーシップテスト プロトコルの性能とスケーラビリティはいかがなものか？
• RQ4 異なる運用パrameterや脅威モデル下で、システムの使いやすさと検出精度はどのように変化するか？
• RQ5 最小限のインfra構成で導入可能であり、米国主要産業の合計ログイン負荷を支えることができるか？

主な発見

• 提案されたフレームワークは、安全でスケーラブルなプライベート メンバーシップテスト プロトコルを用いることで、高い検出精度を維持しながらユーザーのプライバシーを保護する。
• カクー フィルターの使用により、強固なセキュリティ保証のもとで効率的かつスケーラブルなメンバーシップテストが可能となり、定義されたセキュリティ指標において、同様にスケーラブルな代替手法を上回る性能を示す。
• 確率的モデル検査により、検出精度と使いやすさへの影響を形式的に推定する手法が得られ、最適な展開設定に関するインサイトを提供する。
• 最小限のインfra構成での展開でも、米国の航空会社、ホテル、小売、消費者銀行業界の合計ログイン負荷を処理できる。
• システムは、悪意あるパスワードのすりこみ攻撃と、パスワード再利用や誤ったパスワード入力といった良性の行動を効果的に区別する。