MFDPG: إدارة كلمات المرور الحتمية متعددة العوامل بدون تخزين الأسرار

1. المقدمة والنظرة العامة

لا تزال كلمات المرور الآلية المهيمنة للمصادقة، إلا أن إدارتها تمثل تحدياً أمنياً بالغ الأهمية. تخلق مديري كلمات المرور التقليديين نقاط فشل مركزية، كما يتضح من خروقات مثل LastPass. تم اقتراح أنظمة توليد كلمات المرور الحتمية (DPGs) لأكثر من عقدين كبديل، حيث تقوم بتوليد كلمات مرور فريدة لكل موقع من سر رئيسي واسم النطاق، مما يلغي الحاجة للتخزين. ومع ذلك، تعاني أنظمة DPGs الحالية من ثغرات أمنية وخصوصية وقابلية استخدام كبيرة حالت دون اعتمادها على نطاق واسع.

تقدم هذه الورقة البحثية نظام توليد كلمات المرور الحتمي متعدد العوامل (MFDPG)، وهو تصميم جديد يعالج هذه العيوب. يستفيد MFDPG من اشتقاق المفتاح متعدد العوامل لتقوية السر الرئيسي، ويستخدم مرشحات كوكو للإلغاء الآمن لكلمات المرور، ويستخدم خوارزمية اجتياز الأوتوماتا المحدد الحتمي (DFA) للامتثال لسياسات كلمات المرور المعقدة — كل ذلك دون تخزين أي أسرار على جانب العميل أو الخادم.

2. تحليل أنظمة توليد كلمات المرور الحتمية (DPGs) الحالية

كشف مسح 45 مخطط DPG (مثل PwdHash) عن ثغرات حرجة متسقة.

3. تصميم نظام MFDPG

يُبنى هيكل نظام MFDPG على ثلاث ابتكارات أساسية.

4. التقييم والنتائج

تم تقييم النموذج الأولي لـ MFDPG من حيث التوافق مع 100 موقع ويب الأكثر شيوعاً (حسب تصنيفات أليكسا).

وصف الرسم البياني: سيظهر مخطط الأعمدة توزيع أنواع سياسات كلمات المرور التي تمت مواجهتها (مثل "الحد الأدنى للطول فقط"، "يتطلب أحرفاً كبيرة وأرقاماً"، "تعبير نمطي معقد") وشريط نجاح بنسبة 100% لامتثال MFDPG عبر جميع الفئات، مقابل شريط أقل لنظام DPG بسيط قائم على التجزئة كخط أساس.

5. الغوص التقني العميق

اشتقاق المفتاح: يعتمد الأمان الأساسي على إعداد قوي لـ MFKDF، مثل إعداد يعتمد على OPAQUE أو بروتوكولات PAKE غير المتماثلة الأخرى، لمنع الهجمات غير المتصلة بالإنترنت حتى في حالة تسرب كلمة المرور المحددة للموقع.

خوارزمية اجتياز DFA (مفاهيمي):

1. تشفير سياسة كلمة مرور الموقع كـ DFA $A$.
2. تهيئة مولد أرقام عشوائية مشفر آمن (CSPRNG) باستخدام $\text{HMAC}(K, \text{domain})$.
3. بدءاً من الحالة الأولية، استخدام CSPRNG لاختيار انتقال صالح عشوائياً (إخراج حرف) إلى الحالة التالية.
4. التكرار حتى الوصول إلى حالة قبول، مع ضمان أن التسلسل النهائي هو كلمة صالحة في لغة $A$.

6. منظور المحلل: الفكرة الأساسية، التسلسل المنطقي، نقاط القوة والضعف، رؤى قابلة للتطبيق

الفكرة الأساسية: MFDPG ليس مجرد مدير كلمات مرور آخر؛ إنه مناورة استراتيجية للالتفاف حول البطء في تطور مصادقة الويب. تكمن عبقرية الورقة البحثية في إعادة صياغة المشكلة: بدلاً من انتظار قيام مواقع الويب باعتماد FIDO2 أو مفاتيح المرور، يمكّن MFDPG المستخدم من فرض الأمان متعدد العوامل من جانب واحد على جانب العميل لأي خدمة تقليدية تعتمد على كلمات المرور. يحول هذا الحلقة الأضعف — كلمة المرور القابلة لإعادة الاستخدام — إلى رمز مشتق لمرة واحدة محمي بعوامل مادية وبيومترية. إنه اعتبار واقعي بأن كلمة المرور لن تختفي قريباً، لذا يجب علينا تدريعها تشفيرياً.

التسلسل المنطقي: الحجة مقنعة. 1) أنظمة DPGs الحالية معيبة جوهرياً (كشف المفتاح الرئيسي، عدم وجود تدوير). 2) لذلك، نحتاج إلى أساس مشفر مقوى (MFKDF). 3) لكن التقوية ليست كافية؛ نحتاج إلى فائدة عملية في العالم الحقيقي (الامتثال للسياسات، الإلغاء). 4) الحلول المقترحة (مرشحات كوكو، اجتياز DFA) تستهدف هذه الفجوات العملية مباشرة. 5) النتيجة هي نظام لا يصلح أنظمة DPGs فحسب، بل يرقّي أيضاً مشهد المصادقة بأكمله من الأسفل إلى الأعلى. المنطق واضح، وكل خيار تصميم هو رد مباشر على ثغرة موثقة.

نقاط القوة والضعف: تكمن قوته في هيكله الأنيق الخالي من التخزين وقدرته على التحسين التدريجي. إنه يتعلم من إخفاقات السابقين مثل PwdHash. ومع ذلك، تكمن العيوب في نموذج النشر. العيب الحرج: استعادة المستخدم هي كابوس. فقدت العنصر المادي الخاص بك؟ ستُحظر من كل شيء فوراً — وهي نقطة فشل وحيدة كارثية تجعل مخاطر النسخ الاحتياطي السحابي تبدو بسيطة. تتجاهل الورقة البحثية هذا. علاوة على ذلك، يعتمد أمانها بشكل كبير على تنفيذ MFKDF، وهو بدائي تشفيري معقد عرضة لأخطاء التنفيذ. كما يظهر تحليل USENIX Security 2023 لأنظمة المصادقة متعددة العوامل، غالباً ما تحتوي أنظمة MFA في العالم الحقيقي على ثغرات دقيقة. سيتطلب الاعتماد الواسع النطاق آلية استعادة سهلة الاستخدام ومضمونة، وهو ما يبدو مناقضاً لفلسفته "بدون تخزين الأسرار".

رؤى قابلة للتطبيق: بالنسبة لفرق الأمن، فإن المفاهيم الأساسية لـ MFDPG ذات قيمة فورية. يمكن اختبار التوليد المتوافق مع السياسات القائم على DFP داخلياً لكلمات مرور حسابات الخدمة. استخدام مرشحات كوكو للإلغاء هو تقنية ذكية للحفاظ على الخصوصية قابلة للتطبيق خارج نطاق كلمات المرور (مثل إدارة قوائم حظر الرموز المميزة). الدرس الكبير هو فصل تخزين الأسرار عن اشتقاق الأسرار. بدلاً من الخزائن، فكر في ربط عوامل متعددة تشفيرياً في مفتاح اشتقاقي وحيد مؤقت. يجب على الشركات الاستثمار في البحث والتطوير لجذور الثقة متعددة العوامل التي يحتفظ بها المستخدم ويمكن استعادتها — وهي القطعة المفقودة التي يشير إليها MFDPG لكنه لا يحلها. المستقبل ليس في خزائن أفضل؛ بل في جعل الخزينة غير ضرورية، ويشير MFDPG مباشرة في هذا الاتجاه.

7. التطبيقات المستقبلية والاتجاهات

• تكامل بدون كلمات مرور: يمكن لكلمات المرور المحددة للموقع والمشتقة من MFDPG أن تكون بمثابة "شيء تمتلكه" في تدفق مشابه لـ FIDO2، مما يربط بين عالمي كلمات المرور والعالم الخالي منها.
• الهوية اللامركزية: النموذج الخالي من التخزين والمرتكز على المستخدم يتوافق مع مبادئ Web3 والهوية اللامركزية (مثل GNAP التابع لـ IETF). يمكن للمفتاح الرئيسي متعدد العوامل توليد معرّفات لامركزية (DIDs) وإثباتات.
• إدارة الأسرار المؤسسية: تكييفه لهويات الآلة، لتوليد مفاتيح/أسرار API فريدة لخدمات مختلفة من جذر مركزي، مع تدوير آلي عبر مرشح الإلغاء.
• اتجاه البحث: تطوير براهين أمنية رسمية للنظام المجمع MFKDF+DFA+Filter. استكشاف إنشاءات MFKDF ما بعد الكم. تصميم بروتوكولات استعادة إنسانية وآمنة لا تتعارض مع نموذج عدم تخزين الأسرار.

8. المراجع

1. Nair, V., & Song, D. (السنة). MFDPG: Multi-Factor Authenticated Password Management With Zero Stored Secrets. اسم المؤتمر.
2. Ross, B., Jackson, C., Miyake, N., Boneh, D., & Mitchell, J. C. (2005). Stronger Password Authentication Using Browser Extensions. USENIX Security Symposium. (PwdHash)
3. Ghalwash, H., et al. (2023). SoK: Multi-Factor Authentication. USENIX Security Symposium.
4. Jarecki, S., Krawczyk, H., & Xu, J. (2018). OPAQUE: An Asymmetric PAKE Protocol Secure Against Pre-Computation Attacks. EUROCRYPT.
5. Fan, B., Andersen, D. G., Kaminsky, M., & Mitzenmacher, M. (2014). Cuckoo Filter: Practically Better Than Bloom. CoNEXT.
6. FIDO Alliance. (2023). FIDO2: WebAuthn & CTAP Specifications. https://fidoalliance.org/fido2/