[论文解读] Why Do Developers Get Password Storage Wrong? A Qualitative Usability Study

Alena Naiakshina, Anastasia Danilova+4 more|arXiv (Cornell University)|Aug 29, 2017

User Authentication and Security Systems参考文献 53被引用 14

一句话总结

本项定性可用性研究探究了开发者尽管具备安全知识，为何仍会不安全地存储密码，揭示出明确的安全提示、过时的知识以及不清晰的安全默认设置是主要因素。即使使用了像Spring这样的安全框架，开发者在未被明确指导时仍常跳过适当的哈希处理，凸显出需要更安全的默认设置和更优的开发者教育，以防止灾难性的密码泄露。

ABSTRACT

Passwords are still a mainstay of various security systems, as well as the cause of many usability issues. For end-users, many of these issues have been studied extensively, highlighting problems and informing design decisions for better policies and motivating research into alternatives. However, end-users are not the only ones who have usability problems with passwords! Developers who are tasked with writing the code by which passwords are stored must do so securely. Yet history has shown that this complex task often fails due to human error with catastrophic results. While an end-user who selects a bad password can have dire consequences, the consequences of a developer who forgets to hash and salt a password database can lead to far larger problems. In this paper we present a first qualitative usability study with 20 computer science students to discover how developers deal with password storage and to inform research into aiding developers in the creation of secure password systems.

研究动机与目标

• 理解为何开发者尽管具备安全知识，仍未能安全地存储密码。
• 调查安全API的可用性或任务框架是否会影响安全实现。
• 探讨开发者在类似真实场景的开发任务中如何感知并应用安全实践。
• 评估安全默认设置和框架支持在减少不安全密码存储方面的有效性。
• 为未来通过更优工具和教育改进开发者安全实践的研究提供建议。

提出的方法

• 对20名计算机科学专业学生开展定性实验室内研究，让他们扮演开发者，在社交网络应用中实现密码存储功能。
• 使用两种框架：Spring（内置安全辅助功能）和JSF（需手动实现）。
• 通过两种任务条件进行设置：明确提示关注安全，或完全不提示。
• 通过“出声思维”法和任务后半结构化访谈收集数据，以分析决策过程和心理模型。
• 分析实现代码及开发者的推理过程，以识别误解、知识空白和设计选择。
• 通过预研阶段优化任务设计，并确保研究设置的有效性。

实验结果

研究问题

• RQ1 在未被明确提示的情况下，即使开发者具备安全知识，他们是否仍会实现安全的密码存储？
• RQ2 安全框架功能的存在（如Spring Security的PasswordEncoder）在多大程度上影响了开发者的实现选择？
• RQ3 尽管意识到安全概念，开发者在多大程度上仍依赖过时或错误的安全实践？
• RQ4 任务框架和提示如何影响开发者对功能与安全的优先级排序？
• RQ5 相互冲突的安全标准和建议在多大程度上影响了开发者的决策？

主要发现

• 即使具备较强安全知识的开发者，若未被明确提示，也常未能实现安全的密码存储。
• 未被提示关注安全的参与者，尽管任务本身具有高度安全敏感性，仍以明文形式存储密码。
• 使用如Spring等安全框架可减少错误，但仅当开发者主动使用其安全功能时才有效；否则，这些功能常被忽略或配置错误。
• 许多开发者因知识过时，仍使用过时或不安全的哈希方法（如MD5、SHA-1），即使他们知晓现代标准。
• 参与者常将传输安全（如HTTPS）与存储安全混淆，表明其对威胁模型存在根本性误解。
• 尽管可访问安全API，开发者仍常选择手动实现或忽略内置安全函数，凸显出需要“禁用即安全”的默认设置。