[论文解读] Human Computable Passwords.

Jeremiah Blocki, Manuel Blum+1 more|arXiv (Cornell University)|Mar 31, 2014

User Authentication and Security Systems参考文献 29被引用 10

一句话总结

本文提出了一种人类可计算的密码方案，用户通过记忆的秘密映射和一个半可信计算机（用于显示挑战）进行身份验证。通过利用一个对人类而言易于计算的函数 $ f $，该方案确保攻击者需要 $ \tilde{\Omega}(n^{s(f)}) $ 个挑战-响应对才能恢复秘密，其中安全参数 $ s(f) $ 取决于 $ f $ 的性质，证明了即使在多次登录后仍具有强安全性。

ABSTRACT

An interesting challenge for the cryptography community is to design authentication protocols that are so simple that a human can execute them without relying on a fully trusted computer. We propose several candidate authentication protocols for a setting in which the human user can only receive assistance from a semi-trusted computer --- a computer that stores information and performs computations correctly but does not provide confidentiality. Our schemes use a semi-trusted computer to store and display public challenges $C_i\in[n]^k$. The human user memorizes a random secret mapping $\sigma:[n] ightarrow\mathbb{Z}_d$ and authenticates by computing responses $f(\sigma(C_i))$ to a sequence of public challenges where $f:\mathbb{Z}_d^k ightarrow\mathbb{Z}_d$ is a function that is easy for the human to evaluate. We prove that any statistical adversary needs to sample $m= ilde{\Omega}(n^{s(f)})$ challenge-response pairs to recover $\sigma$, for a security parameter $s(f)$ that depends on two key properties of $f$. To obtain our results, we apply the general hypercontractivity theorem to lower bound the statistical dimension of the distribution over challenge-response pairs induced by $f$ and $\sigma$. Our lower bounds apply to arbitrary functions $f $ (not just to functions that are easy for a human to evaluate), and generalize recent results of Feldman et al. As an application, we propose a family of human computable password functions $f_{k_1,k_2}$ in which the user needs to perform $2k_1+2k_2+1$ primitive operations (e.g., adding two digits or remembering $\sigma(i)$), and we show that $s(f) = \min\{k_1+1, (k_2+1)/2\}$. For these schemes, we prove that forging passwords is equivalent to recovering the secret mapping. Thus, our human computable password schemes can maintain strong security guarantees even after an adversary has observed the user login to many different accounts.

研究动机与目标

• 设计简单到足以让人类无需依赖完全可信计算机即可执行的身份认证协议。
• 确保即使攻击者观察到大量挑战-响应对，也能对统计攻击者保持强安全性。
• 使用统计维数框架形式化人类可计算密码函数的安全性。
• 确定伪造密码等价于恢复秘密映射 $ \sigma $ 的条件。
• 构建计算认知负担最小但保持高安全性的实用函数 $ f_{k_1,k_2} $。

提出的方法

• 用户记忆一个秘密映射 $ \sigma: [n] \to \mathbb{Z}_d $，用于将公开的挑战 $ C_i \in [n]^k $ 进行变换。
• 半可信计算机存储并显示挑战 $ C_i $，确保其正确性但不保证保密性。
• 用户使用一个对人类而言易于计算的函数 $ f: \mathbb{Z}_d^k \to \mathbb{Z}_d $ 计算响应 $ f(\sigma(C_i)) $。
• 安全性通过挑战-响应分布的统计维数进行分析，利用广义超收缩性定理进行界限估计。
• 安全参数 $ s(f) $ 由 $ f $ 的两个关键性质决定，用于确定攻击者必须采样的配对数量以破坏方案。
• 提出一族函数 $ f_{k_1,k_2} $，其计算需 $ 2k_1 + 2k_2 + 1 $ 个基本运算，且 $ s(f) = \min\{k_1+1, (k_2+1)/2\} $。

实验结果

研究问题

• RQ1 哪些人类可计算函数 $ f $ 的性质可确保对统计攻击者的强安全性？
• RQ2 如何对攻击者为恢复 $ \sigma $ 所需的挑战-响应对数量进行界限约束？
• RQ3 能否构造一个函数 $ f $，使得伪造密码等价于恢复秘密映射 $ \sigma $？
• RQ4 人类在保持高安全性的同时，计算 $ f $ 所需的最小认知成本（以基本运算计）是多少？
• RQ5 挑战-响应分布的统计维数与协议安全性之间有何关系？

主要发现

• 任何统计攻击者都需要 $ \tilde{\Omega}(n^{s(f)}) $ 个挑战-响应对才能恢复秘密映射 $ \sigma $，其中 $ s(f) $ 取决于函数 $ f $。
• 安全参数 $ s(f) $ 由 $ f $ 的两个内在性质决定，推广了 Feldman 等人的先前结果。
• 对于所构造的族 $ f_{k_1,k_2} $，安全参数为 $ s(f) = \min\{k_1+1, (k_2+1)/2\} $，在效率与安全性之间实现平衡。
• 即使攻击者观察到对多个不同账户的多次登录，该方案仍保持强安全性保证。
• 攻击者所需工作量的下界通过将广义超收缩性定理应用于挑战-响应分布的统计维数推导得出。
• 在所提方案中，恢复 $ \sigma $ 等价于伪造密码，确保不存在捷径攻击。