[论文解读] Detecting Stuffing of a User’s Credentials at Her Own Accounts

Ke Coby Wang, Michael K. Reiter|arXiv (Cornell University)|Jan 1, 2020

Privacy, Security, and Data Protection被引用 4

一句话总结

本文提出了一种可扩展的、保护隐私的框架，使网站能够协作检测针对单个用户账户的凭证填充攻击。通过使用基于Cuckoo过滤器和概率模型检验的新型隐私成员测试协议，该系统能够区分恶意的凭证填充行为与正常的密码复用行为，在极少基础设施投入的情况下实现高检测准确率，支持美国主要行业联合的登录负载。

ABSTRACT

We propose a framework by which websites can coordinate to detect credential stuffing on individual user accounts. Our detection algorithm teases apart normal login behavior (involving password reuse, entering correct passwords into the wrong sites, etc.) from credential stuffing, by leveraging modern anomaly detection and carefully tracking suspicious logins. Websites coordinate using a novel private membership-test protocol, thereby ensuring that information about passwords is not leaked; this protocol is highly scalable, partly due to its use of cuckoo filters, and is more secure than similarly scalable alternatives in an important measure that we define. We use probabilistic model checking to estimate our credential-stuffing detection accuracy across a range of operating points. These methods might be of independent interest for their novel application of formal methods to estimate the usability impacts of our design. We show that even a minimal-infrastructure deployment of our framework should already support the combined login load experienced by the airline, hotel, retail, and consumer banking industries in the U.S.

研究动机与目标

• 应对针对多个网站上单个用户账户的凭证填充攻击日益增长的威胁。
• 使网站能够在不暴露用户密码或敏感登录数据的前提下协作检测凭证填充攻击。
• 设计一种可扩展且安全的协调协议，在保护用户隐私的同时实现有效的异常检测。
• 确保系统在真实登录工作负载下（包括正常的密码复用模式）仍具备可用性与准确性。
• 通过展示对美国主要行业联合登录流量的支持能力，证明其在极少基础设施投入下的可行性。

提出的方法

• 采用基于Cuckoo过滤器的隐私成员测试协议，使网站能够在不泄露密码的情况下检查某用户的密码是否出现在其他网站的泄露列表中。
• 使用现代异常检测技术，区分正常登录行为（如密码复用、拼写错误）与凭证填充模式。
• 利用概率模型检验，正式估算在不同运行配置下的检测准确率与可用性权衡。
• 设计协调协议，使其在定义的威胁模型下比现有替代方案更具可扩展性与安全性。
• 在网站层面集成检测逻辑，实现去中心化但协调一致的可疑登录尝试监控。

实验结果

研究问题

• RQ1 去中心化、保护隐私的协调机制是否能够在不暴露用户密码的情况下大规模检测凭证填充攻击？
• RQ2 该系统在多大程度上能够准确区分凭证填充与正常的密码复用及拼写错误导致的登录尝试？
• RQ3 在真实登录工作负载下，所提出的隐私成员测试协议在性能与可扩展性方面表现如何？
• RQ4 系统在不同运行参数与威胁模型下的可用性与检测准确率如何变化？
• RQ5 该框架是否能够以极少基础设施投入部署，同时支持美国主要行业的联合登录负载？

主要发现

• 所提出的框架通过安全、可扩展的隐私成员测试协议，在保护用户隐私的同时实现了高精度的凭证填充检测。
• Cuckoo过滤器的使用实现了高效且可扩展的成员测试，并提供了强有力的安全部署保证，在定义的安全度量下优于其他类似可扩展方案。
• 概率模型检验提供了一种正式方法，用于估算检测准确率与可用性影响，为最优部署配置提供了洞察。
• 即使在最小基础设施部署下，该框架也能处理美国航空、酒店、零售和消费银行业务行业的联合登录负载。
• 该系统成功区分了恶意的凭证填充行为与良性行为（如密码复用和错误密码输入）。