Trenchcoat: خوارزميات التجزئة القابلة للحساب البشري لتوليد كلمات المرور

جدول المحتويات

1. المقدمة

يتطلب المشهد الرقمي الحديث من الأفراد إدارة عدد هائل من الحسابات عبر الإنترنت، كل منها محمي بكلمة مرور. يؤدي العبء الإدراكي لإنشاء وتذكر كلمات مرور قوية وفريدة إلى ممارسات غير آمنة مثل إعادة استخدام كلمة المرور وإنشاء متغيرات بسيطة منها. تقدم هذه الورقة البحثية "Trenchcoat"، وهو إطار عمل لـ خوارزميات التجزئة القابلة للحساب البشري مصمم لتوليد كلمات مرور آمنة وفريدة لكل موقع باستخدام سر رئيسي واحد سهل التذكر والحساب الذهني فقط.

2. مشكلة ممارسات كلمات المرور الحالية

يقع المستخدمون بين متطلبات الأمان (قواعد التعقيد، التغيير المتكرر) والقيود الإدراكية. وينتج عن ذلك:

• إعادة استخدام كلمة المرور: يتم إعادة استخدام أكثر من 50% من كلمات المرور عبر حسابات متعددة.
• البناء الضعيف: الاعتماد على أنماط يمكن التنبؤ بها، وكلمات القاموس، والمعلومات الشخصية.
• الاعتماد على الأدوات والمخاطر: مديرو كلمات المرور، رغم فائدتهم، يشكلون نقاط فشل أحادية وقد تعرضوا لثغرات أمنية حرجة.
• فجوة إمكانية الوصول: لم يتم تصميم العديد من الحلول للمستخدمين العصبيين المتنوعين أو ذوي القدرات المختلفة.

3. إطار عمل Trenchcoat

يعيد Trenchcoat تصور عملية توليد كلمات المرور كعملية تشفيرية قابلة للتنفيذ بواسطة الإنسان.

3.1. المفهوم الأساسي: دوال التجزئة القابلة للحساب البشري

الفكرة الأساسية هي دالة $F_R(s, w) \rightarrow y$. تأخذ السر الرئيسي للمستخدم (s) ومعرف الموقع/الحساب (w) لإنتاج كلمة مرور فريدة (y). المعامل الحرج $R$ يمثل التكوين الإدراكي الفريد للمستخدم.

3.2. الاستفادة من الذاكرة الترابطية والضمنية (R)

يستغل الإطار السمات الإدراكية الخاصة بالفرد ($R$)، مثل الذاكرة المكانية أو الشبكات الترابطية الشخصية. وهذا يجعل الدالة أشبه بـ "دالة مادية غير قابلة للاستنساخ إدراكياً (C-PUF)". لا يستطيع الخصم حساب أو التحقق من $F_R$ بكفاءة دون معرفة $R$ الداخلي للمستخدم، مما يوفر طبقة من الأمان تشبه وظائف PUF المادية المستخدمة في مصادقة الأجهزة [37].

4. الخوارزميات المقترحة والتفاصيل التقنية

4.1. فئات الخوارزميات

تقترح الورقة البحثية عدة أنواع من الخوارزميات تعتمد على عمليات أولية:

• القائمة على الحساب: استخدام الجمع النمطي، ومعالجة الأرقام على السر الرئيسي واسم الموقع.
• القائمة على المكان/التنقل: تعيين الأحرف لنقاط على شبكة ذهنية أو مسار.
• القائمة على المعجم/البحث: استخدام القواميس الذهنية الشخصية أو الارتباطات القصصية.

جميعها مصممة لتحميل إدراكي منخفض وإمكانية وصول عالية.

4.2. الصياغة الرياضية

مثال مبسط قائم على الحساب: لنفترض أن $s$ هو سر رئيسي رقمي (مشتق مثلاً من تاريخ لا يُنسى). ولتكن $H(w)$ هي تجزئة بسيطة (مثل مجموع رموز الأحرف مودولو 10) لاسم الموقع. يمكن توليد رقم كلمة مرور $y_i$ كالتالي:
$y_i = (s_i + H(w)_i + c_i) \mod 10$
حيث $c_i$ هو حمل من العملية السابقة أو خطوة تبديل خاصة بالمستخدم يحددها $R$. كلمة المرور الكاملة هي سلسلة لـ $y_i$.

5. تحليل الأمان وتقييم الإنتروبيا

من الصعب تطبيق تحليل التشفير التقليدي مباشرةً. تستخدم الورقة مقاييس قائمة على الإنتروبيا:

• مساحة المفاتيح الفعالة: تقدير مساحة البحث لمهاجم يحاول تخمين $s$ و $R$.
• مقاومة الهجمات المعروفة: تحليل ضد هجمات القاموس، التصيد (كلمة المرور المُولدة خاصة بالموقع)، وهجمات المراقبة (التلصص).
• تفرد R: يعتمد الأمان بشكل كبير على عدم القدرة على التنبؤ بالفردية للمعامل الإدراكي $R$.

الخلاصة هي أنه بينما قد تكون القوة البتية المطلقة أقل من قوة دوال التجزئة الخوارزمية، فإن دمج العنصر البشري ($R$) ومتطلبات المهاجم لنمذجته يخلق حاجزاً عملياً كبيراً.

6. النتائج التجريبية واستطلاع المستخدمين

شملت الدراسة استطلاعاً لـ 134 فرداً، اختبر كل منهم مخططين مقترحين، ومراجعة لسياسات كلمات المرور على 400 موقع إلكتروني.

النتائج الرئيسية:

• قابلية الاستخدام: تمكن المشاركون من توليد كلمات مرور بشكل موثوق بعد فترة تدريب قصيرة. أظهرت الطرق المكانية والقائمة على القصص معدلات استدعاء عالية.
• القبول: فضل المستخدمون الطرق التي تبدو "شخصية" أو "قريبة من القصة" على الطرق الحسابية البحتة.
• تحليل السياسات: متطلبات كلمات المرور للمواقع الإلكترونية غير متسقة للغاية، مما يعقد تصميم دالة توليد عالمية.

7. إطار التحليل ومثال تطبيقي

إطار عمل لتقييم مخطط تجزئة قابل للحساب البشري:

1. تعريف المدخلات: تحديد تنسيق $s$ بوضوح (مثل رقم مكون من 6 أرقام، عبارة) و $w$ (مثل اسم النطاق الكامل، وسم يختاره المستخدم).
2. تعيين العمليات: تعريف تسلسل العمليات الذهنية (مثل "خذ الحرف الثالث والخامس من w، حولهما إلى أرقام، أضفهما إلى الرقم الثاني من s...").
3. دمج R: تحديد كيفية دمج $R$ (مثل "استخدم رمز المنطقة لرقم هاتف طفولتك لبدء نمط إزاحة الحروف").
4. تنسيق المخرجات: وصف كيفية تلبية قواعد كلمات المرور الشائعة (مثل "إذا كان رقم المخرج الثالث زوجياً، اكتب أول حرف من اسم الموقع بحرف كبير وألحقه").

مثال تطبيقي (بدون كود): تختار أليس سرها الرئيسي $s$ كالأرقام "1984". يتضمن $R$ الخاص بها التفكير دائماً في الأبجدية بترتيب عكسي (Z=1, Y=2...). بالنسبة للموقع "bank.com"، تأخذ الحرف الأول والأخير (B, K)، تعينهما عبر أبجديتها العكسية (B->25, K->16)، تضيفهما إلى أرقام سرها (25+1=26, 16+9=25)، تطبق مودولو 26، ثم تعيد التعيين إلى أحرف (26->A, 25->B). ثم تطبق قاعدة شخصية ($R$) لإدخال رمز بعد حرف علة. قد تكون كلمة مرورها النهائية لـ bank.com هي "A!B".

8. التطبيقات المستقبلية واتجاهات البحث

• الأنظمة الهجينة: الجمع بين نواة قابلة للحساب البشري وجهاز بسيط وآمن (مثل خاتم ذكي) لخطوة تحويل نهائية، لتعزيز الإنتروبيا.
• التوحيد القياسي وإمكانية الوصول: تطوير مجموعة من الخوارزميات المعتمدة للملفات الإدراكية والقدرات المختلفة، يمكن دمجها في أطر تسجيل الدخول لأنظمة التشغيل.
• المصادقة المستمرة: استخدام اختلافات دقيقة للدالة الأساسية لتوليد رموز لمرة واحدة أو بذور القياسات الحيوية السلوكية.
• اعتبارات ما بعد الكم: استكشاف إمكانية تصميم دوال قابلة للحساب البشري تعتمد على مشاكل الشبكات البلورية أو مشاكل PQ-صعبة أخرى، كما اقترحته أبحاث "براهين العمل البشري".

9. المراجع

1. [3] تحليل أمان مديري كلمات المرور الشائعة. USENIX Security.
2. [4] B. Ross, et al. "مصادقة كلمات مرور أقوى باستخدام إضافات المتصفح." USENIX Security 2005.
3. [10] تقرير تحقيقات خروقات بيانات Verizon. 2023.
4. [15] "ثغرات يوم الصفر في مديري كلمات المرور." وكالة الأمن السيبراني وأمن البنية التحتية (CISA).
5. [16] Google / Harris Poll. "استطلاع الأمان عبر الإنترنت." 2022.
6. [17] اتجاهات الهوية الرقمية. Dashlane. 2023.
7. [30] "أكثر كلمات المرور شيوعاً في العالم." NordPass. 2023.
8. [34] S. Gaw and E. W. Felten. "استراتيجيات إدارة كلمات المرور للحسابات عبر الإنترنت." SOUPS 2006.
9. [37] B. Gassend, et al. "الوظائف العشوائية المادية للسيليكون." CCS 2002. (الورقة البحثية الأساسية حول PUF)
10. [43] FTC. "كتاب بيانات شبكة المستهلك Sentinel." 2022.
11. NIST Special Publication 800-63B: إرشادات الهوية الرقمية.
12. Isola, P., et al. "ترجمة صورة إلى صورة باستخدام الشبكات الخصومية الشرطية." CVPR 2017. (للمقارنة على تعلم التعيينات المعقدة).

10. التحليل الخبير والمراجعة النقدية