[论文解读] Empirical Analysis of Password Reuse and Modification across Online Service

Chun Wang, Steve T. K. Jan+2 more|arXiv (Cornell University)|Jun 6, 2017

User Authentication and Security Systems参考文献 21被引用 3

一句话总结

这项大规模研究分析了107个在线服务中的2880万用户，发现38%的用户重复使用相同密码，21%的用户通过高度可预测的模式修改现有密码。通过基于训练的猜测算法，作者表明30%的修改密码和所有重复使用的密码可在10次尝试内被破解，凸显了密码重复使用和可预测修改带来的严重安全风险。

ABSTRACT

Leaked passwords from data breaches can pose a serious threat to users if the password is reused elsewhere. With more online services getting breached today, there is still a lack of large-scale quantitative understanding of the risks of password reuse across services. In this paper, we analyze a large collection of 28.8 million users and their 61.5 million passwords across 107 services. We find that 38% of the users have reused exactly the same password across different sites, while 20% have modified an existing password to create new ones. In addition, we find that the password modification patterns are highly consistent across different user demographics, indicating a high predictability. To quantify the risk, we build a new training-based guessing algorithm, and show that more than 16 million password pairs can be cracked within just 10 attempts (30% of the modified passwords and all the reused passwords).

研究动机与目标

• 理解在大规模多样化在线服务中密码重复使用和修改的普遍性及模式。
• 量化真实世界数据泄露中密码重复使用和可预测修改模式带来的安全风险。
• 开发并评估一种基于训练的密码猜测算法，利用一致的转换模式高效预测修改后的密码。
• 评估在用户修改行为方差较低的前提下，使用最少训练数据进行在线密码猜测攻击的可行性。

提出的方法

• 从107个在线服务（包括Gmail、Yahoo和LinkedIn等主要平台）收集并分析了6150万条密码，覆盖2880万用户。
• 识别并分类了8种高级转换规则（例如添加数字、首字母大写），以建模密码修改模式。
• 开发了一种基于贝叶斯的密码猜测算法，根据训练数据优先选择可能的转换规则，并使用旋转猜测策略提高效率。
• 在720万组标记为修改关系的密码对上评估算法性能，测试了完整和最小训练数据（低至0.1%）的情况。
• 测量在10次、100次和5000次尝试内的成功率，并与标准工具John the Ripper（JtR）进行比较。
• 测试了该算法从未破解数据集中恢复加盐密码哈希的能力，证明其在明文猜测之外的实际有效性。

实验结果

研究问题

• RQ1 在大规模、多样化的在线服务集合中，密码重复使用和修改的普遍性如何？
• RQ2 不同用户群体（如职业、国家）之间的密码修改模式是否具有一致性？
• RQ3 攻击者在仅使用极少训练数据的情况下，能在多大程度上预测修改后的密码？
• RQ4 基于训练的猜测算法在有限在线尝试次数内破解修改密码的效率如何？
• RQ5 密码重复使用与可预测修改的综合影响对账户被攻破的整体风险有多大？

主要发现

• 38%的用户在不同服务间重复使用完全相同的密码，其中电子邮件服务的重复率尤其高，达到60.4%。
• 21%的用户通过修改现有密码创建新密码，且这些修改模式在不同用户群体中表现出高度一致性。
• 所提出的基于训练的猜测算法在10次尝试内破解了30%的修改密码，在100次尝试内破解了46.5%，显著优于基线工具。
• 即使仅使用0.1%的数据进行训练，该算法的性能也几乎与使用50%数据训练的模型相当，证实了用户行为的低方差特性。
• 超过1600万组密码对（包括1280万组重复使用和380万组修改）可在10次尝试内被破解，表明存在巨大的在线攻击面。
• 该算法在5000次尝试内成功恢复了15.1%（939,400个）此前未破解的密码哈希，证明其在现实场景中的强大适用性。