[논문 리뷰] The Scale-free Network of Passwords : Visualization and Estimation of Empirical Passwords

Xiujia Guo, Haibo Chen외 3명|arXiv (Cornell University)|2015. 11. 26.

User Authentication and Security Systems참고 문헌 18인용 수 4

한 줄 요약

이 논문은 Yahoo와 12306과 같은 실세계 데이터셋에서 얻은 실제 암호 집합의 스케일리스 네트워크 모델을 소개하며, 그들의 위상적 구조를 시각화한다. 암호 간 상호연결성에 대해 커뮤니티 탐지 및 차수 분포 분석을 통해, 통계적 추측 공격에 대한 위상적 접근을 제안하고, 최소 사전 문제의 NP-완전성을 증명하며 암호 해독 효율성에 대한 하한을 제시한다.

ABSTRACT

In this paper, we present a novel vision of large scale of empirical password sets available and improve the understanding of passwords by revealing their interconnections and considering the security on a level of the whole password set instead of one single password level. Through the visualization of Yahoo, Phpbb, 12306, etc. we, for the first time, show what the spatial structure of empirical password sets are like and take the community and clustering patterns of the passwords into account to shed lights on the definition of popularity of a password based on their frequency and degree separately. Furthermore, we propose a model of statistical guessing attack from the perspective of the data's topological space, which provide an explanation of the "cracking curve". We also give a lower bound of the minimum size of the dictionary needed to compromise arbitrary ratio of any given password set by proving that it is equivalent to the minimum dominating set problem, which is a NP-complete problem. Hence the minimal dictionary problem is also NP-complete.

연구 동기 및 목표

• 개별 암호의 강도를 넘어서 대규모 실증 암호 집합의 구조적 특성 이해
• 빈도 외에도 네트워크 위상에서의 차수를 고려한 암호 인기 모델링
• 암호 간 상호연결성을 기반으로 한 통계적 추측 공격을 위한 위상적 프레임워크 개발
• 어느 주어진 암호 집합을 해독하기 위해 필요한 최소 사전 크기의 이론적 하한 설정
• 최소 사전 문제와 최소 지배 집합 문제 간의 등가성을 증명하여 NP-완전성 입증

제안 방법

• 각 노드가 고유한 암호를 나타내고, 간선이 유사성 또는 동시 발생 패턴을 나타내는 암호 네트워크 구축
• 커뮤니티 탐지 및 군집화 알고리즘을 적용하여 암호 집합의 구조적 패턴 파악
• 차수 분포 분석을 통해 암호 네트워크의 스케일리스 특성 식별
• 암호 네트워크의 위상적 공간을 기반으로 한 통계적 추측 공격 모델링 및 '해독 곡선' 행동 설명
• 최소 사전 문제와 최소 지배 집합 문제 간의 등가성 증명 및 NP-완전성 입증
• 암호 네트워크의 그래프 이론적 성질을 이용해 사전 크기의 하한 추정

실험 결과

연구 질문

• RQ1 실제로 시각화된 네트워크로 볼 때, 실증 암호 집합은 어떻게 상호 연결된 구조를 형성하는가?
• RQ2 특히 차수와 커뮤니티 구조와 같은 네트워크 위상은 암호 인기에 어떤 역할을 하는가?
• RQ3 실제 암호 공격에서 관찰되는 '해독 곡선'은 암호 집합의 위상적 구조로 설명될 수 있는가?
• RQ4 주어진 암호 집합의 일정 비율을 해독하기 위해 필요한 최소 사전 크기는 무엇이며, 어떻게 하한을 설정할 수 있는가?
• RQ5 암호 해독을 위한 최소 사전을 찾는 문제는 계산적으로 어려운가, 그리고 만약 그렇다면 그 이유는 무엇인가?

주요 결과

• Yahoo와 12306과 같은 실제 시스템의 암호 집합은 몇몇 매우 연결된 암호가 구조를 지배하는 스케일리스 네트워크 특성을 보인다.
• 네트워크 내 암호의 차수는 그 인기와 강하게 상관되며, 순수한 빈도 외의 새로운 측정 기준이 된다.
• '해독 곡선'—암호 공격에서 일반적으로 관찰되는 현상—은 네트워크 내 암호의 위상적 분포로 설명될 수 있다.
• 최소 사전 문제는 최소 지배 집합 문제로의 환원을 통해 NP-완전성이 입증된다.
• 최소 사전 크기의 이론적 하한이 유도되었으며, 이는 암호 해독 효율성에 대한 기본적인 한계를 제공한다.