[论文解读] Password Cracking and Countermeasures in Computer Security: A Survey

Aaron L. -F. Han|arXiv (Cornell University)|Nov 28, 2014

Advanced Malware Detection Techniques被引用 7

一句话总结

本综述全面概述了计算机安全领域的密码破解技术及其对策，分析了暴力破解、字典攻击和基于规则的攻击等方法，以及密码策略、多因素认证和主动检查等防御措施。该综述为IT安全专业人员和普通读者提供了基础性资源，强调了实用的对策以强化认证系统。

ABSTRACT

With the rapid development of internet technologies, social networks, and other related areas, user authentication becomes more and more important to protect the data of users. Password authentication is one of the widely used methods to achieve authentication for legal users and defense against intruders. There have been many password-cracking methods developed during the past years, and people have been designing countermeasures against password cracking all the time. However, we find that the survey work on password cracking research has not been done very much. This paper is mainly to give a brief review of the password cracking methods, import technologies of password cracking, and the countermeasures against password cracking that are usually designed at two stages including the password design stage (e.g. user education, dynamic password, use of tokens, computer generations) and after the design (e.g. reactive password checking, proactive password checking, password encryption, access control). The main objective of this work is to offer the abecedarian IT security professionals and the common audiences some knowledge about computer security and password cracking and promote the development of this area. Keywords- Computer security; User authentication; Password cracking; Cryptanalysis; Countermeasures

研究动机与目标

• 解决计算机安全领域密码破解研究缺乏全面综述的问题。
• 分析主流的密码破解方法，包括暴力破解、字典攻击和基于规则的攻击。
• 研究在两个阶段实施的对策：密码设计阶段（如用户教育、令牌）和设计后阶段（如访问控制、加密）。
• 为IT安全专业人员和普通读者提供关于强化用户认证系统的基础知识。
• 通过整合现有知识并识别研究空白，推动密码安全领域的进一步研究与开发。

提出的方法

• 对现有密码破解与防御机制文献进行系统性综述。
• 基于计算方法和语言学方法，将密码破解技术分类为暴力破解、字典攻击和基于规则的攻击。
• 分析密码设计阶段的对策，如用户教育、动态密码和硬件令牌。
• 考察运行时和设计后防御措施，包括反应式与主动式密码检查、加密及访问控制机制。
• 综合技术策略与政策性策略，以提升不同系统架构下的密码安全性。
• 使用真实案例和实际研究案例，说明各种方法的有效性与局限性。

实验结果

研究问题

• RQ1 现代密码破解的主要技术有哪些？它们在效率和成功率方面有何差异？
• RQ2 当前对策如密码策略、多因素认证和访问控制在缓解密码攻击方面的有效性如何？
• RQ3 反应式与主动式密码检查在检测受损凭据方面各有哪些优势与劣势？
• RQ4 用户行为与系统设计如何相互作用，从而影响密码安全的结果？
• RQ5 硬件加速和机器学习等技术进步在提升密码破解能力方面发挥什么作用？

主要发现

• 密码破解技术已显著演进，基于规则和混合攻击在弱密码或可预测密码上取得了很高的成功率。
• 与仅依赖知识型认证相比，多因素认证和硬件令牌显著降低了密码被攻破的风险。
• 主动式密码检查机制可在密码被使用前检测并阻止弱密码，从而提升整体系统安全性。
• 反应式密码检查虽具实用性，但受限于无法阻止弱密码的初始使用。
• 用户教育和强有力的密码策略虽必不可少，但若缺乏技术控制措施则仍显不足。
• 加密与访问控制机制的整合可增强对在线和离线密码攻击的防护能力。