[论文解读] On the Economics of Offline Password Cracking

Jeremiah Blocki, Benjamin Harsha+1 more|arXiv (Cornell University)|Jun 9, 2020

User Authentication and Security Systems参考文献 70被引用 35

一句话总结

本文构建了一个离线密码破解的经济模型，用以预测在 breached 之后，理性攻击者会破解多少密码，分析了 Zipf 分布的密码选择，并主张采用内存消耗型哈希以缓解离线攻击。

ABSTRACT

We develop an economic model of an offline password cracker which allows us to make quantitative predictions about the fraction of accounts that a rational password attacker would crack in the event of an authentication server breach. We apply our economic model to analyze recent massive password breaches at Yahoo!, Dropbox, LastPass and AshleyMadison. All four organizations were using key-stretching to protect user passwords. In fact, LastPass' use of PBKDF2-SHA256 with $10^5$ hash iterations exceeds 2017 NIST minimum recommendation by an order of magnitude. Nevertheless, our analysis paints a bleak picture: the adopted key-stretching levels provide insufficient protection for user passwords. In particular, we present strong evidence that most user passwords follow a Zipf's law distribution, and characterize the behavior of a rational attacker when user passwords are selected from a Zipf's law distribution. We show that there is a finite threshold which depends on the Zipf's law parameters that characterizes the behavior of a rational attacker -- if the value of a cracked password (normalized by the cost of computing the password hash function) exceeds this threshold then the adversary's optimal strategy is always to continue attacking until each user password has been cracked. In all cases (Yahoo!, Dropbox, LastPass and AshleyMadison) we find that the value of a cracked password almost certainly exceeds this threshold meaning that a rational attacker would crack all passwords that are selected from the Zipf's law distribution (i.e., most user passwords). This prediction holds even if we incorporate an aggressive model of diminishing returns for the attacker (e.g., the total value of $500$ million cracked passwords is less than $100$ times the total value of $5$ million passwords). See paper for full abstract.

研究动机与目标

• 用经济框架量化离线密码攻击造成的损害。
• 检验常见哈希函数（如 BCRYPT、PBKDF2）在 Zipf 类分布下是否足以保护密码。
• 评估内存硬函数（MHFs）如何改变攻击者的动机与结果。
• 分析真实的泄露数据（Yahoo!、Dropbox、LastPass、Ashley Madison）以验证模型。
• 基于定量发现，提出密码哈希标准与政策建议。

提出的方法

• 建立一个决策理论、Stackelberg 风格的理性离线攻击者模型，参数为 v（每个破解密码的价值）、k（每次哈希成本）、a（收益递减）。
• 将攻击者建模为选择一个阈值 t 以猜测前 t 个密码，并计算期望成本 C(t) 与奖励 R(t)。
• 假设密码分布遵循 Zipf 定律（p_i = z / i^s）或 CDF-Zipf（λ_t = y·t^r）。
• 推导攻击者最优阈值 t* 及由此得到的破解比例 λ_{t*} 的条件。
• 在非内存硬哈希与内存硬哈希之间比较模型预测，通过将 MHFs 的发成本设为 k = τ·CH + τ^2·C_mem，BCRYPT/PBKDF2 的成本设为 k = τ。
• 将该模型应用于泄露数据（Yahoo!、Dropbox、LastPass、Ashley Madison），评估保护水平并计算预期破解比例。

实验结果

研究问题

• RQ1 在 Zipf/CDF-Zipf 分布下，理性攻击者在泄露后会破解多少比例的用户密码？
• RQ2 密码哈希选择（内存硬 vs 非内存硬）如何影响攻击者激励和总体破解率？
• RQ3 现实世界的泄露（Yahoo!、Dropbox、LastPass、Ashley Madison）是否意味着在 Zipf 类分布下现有保护（BCRYPT/PBKDF2）不足？
• RQ4 模型无关的密码被破解比例边界与基于 Zipf 的预测相比如何？
• RQ5 内存硬函数是否能在不带来不可接受的认证延迟的情况下，将破解密码的比例降至低于关键阈值？

主要发现

• Zipf 定律对 Yahoo! 的密码频率拟合度很高，Yahoo! 的数据（N=7000 万）可被 CDF-Zipf 参数 y 与 r 很好建模。
• 存在一个阈值 T(y,r,a)，若首个破解密码的价值 v ≥ T·k，攻击者的最优策略是在 Zipf 类分布下一直破解直到所有密码都被破解。
• 对于 Yahoo!, Dropbox, LastPass, Ashley Madison，单个破解密码的价值通常超过阈值，意味着理性攻击者会破解来自 Zipf 类分布的所有密码。
• 像 SCRYPT 或 Argon2id 这样的内存硬函数显著提高了猜测成本，使得理性攻击者在大多数密码被破解之前放弃尝试。
• 基于模型的界限表明，增加对 MHFs 的使用可以显著降低破解密码的百分比，理论上在不将认证延迟推至整整一秒的情况下可能降至低于 22.2%。
• 分析质疑 BCRYPT/PBKDF2 的保护充足性，并倡导更新标准，要求使用内存硬哈希，并在可行情况下采用安全的分布式密码哈希协议。