التقييم الأمني لمديري كلمات المرور القائمة على المتصفح: التوليد، والتخزين، والملء التلقائي

1. المقدمة

لا تزال المصادقة القائمة على كلمات المرور هي الطريقة السائدة للمصادقة على الويب على الرغم من التحديات الأمنية الموثقة جيدًا. يواجه المستخدمون أعباءً معرفية عند إدارة كلمات مرور قوية متعددة، مما يؤدي إلى إعادة استخدام كلمات المرور وإنشاء كلمات مرور ضعيفة. تقدم مديرو كلمات المرور حلاً محتملاً من خلال توليد كلمات المرور وتخزينها وملئها تلقائيًا. ومع ذلك، فقد حددت الأبحاث السابقة نقاط ضعف كبيرة في مديري كلمات المرور القائمة على المتصفح. تقدم هذه الدراسة تقييمًا أمنيًا محدثًا لثلاثة عشر مدير كلمات مرور شائعًا بعد خمس سنوات من التقييمات السابقة، حيث تفحص المراحل الثلاث لدورة حياة مدير كلمات المرور: التوليد، والتخزين، والملء التلقائي.

2. المنهجية والنطاق

يغطي التقييم ثلاثة عشر مدير كلمات مرور، بما في ذلك خمسة إضافات للمتصفح، وستة مديرين مدمجين في المتصفح، واثنين من العملاء المكتبيين للمقارنة. يحلل البحث ويوسع نطاق العمل السابق لكل من Li وآخرون (2014)، وSilver وآخرون (2014)، وStock & Johns (2014). تتضمن المنهجية:

• توليد وتحليل 147 مليون كلمة مرور لتقييم العشوائية والقوة
• فحص آليات التخزين للتشفير وحماية البيانات الوصفية
• اختبار ميزات الملء التلقائي ضد هجمات اختطاف النقر (Clickjacking) والبرمجة النصية عبر المواقع (XSS)
• تقييم إعدادات الأمان الافتراضية

3. تحليل توليد كلمات المرور

يقدم هذا القسم أول تحليل شامل لخوارزميات توليد كلمات المرور في مديري كلمات المرور.

4. أمن تخزين كلمات المرور

كشف تقييم آليات تخزين كلمات المرور عن تحسينات ونقاط ضعف مستمرة مقارنة بما قبل خمس سنوات.

5. نقاط ضعف آلية الملء التلقائي

تقدم ميزات الملء التلقائي، على الرغم من كونها مريحة، أسطح هجوم كبيرة تم استغلالها في هذا التقييم.

6. النتائج والتوصيات التجريبية

أنتج التقييم عدة نتائج رئيسية عبر مديري كلمات المرور الثلاثة عشر المختبرين:

وصف الرسم البياني: سيظهر مخطط شريطي أعداد نقاط الضعف عبر ثلاث فئات (التوليد، التخزين، الملء التلقائي) لكل من مديري كلمات المرور الثلاثة عشر. سيظهر الرسم البياني بوضوح المديرين الذين حققوا أفضل وأسوأ أداء في كل فئة، مع ترميز لوني يشير إلى مستويات الخطورة.

7. التحليل الفني والإطار

مثال على إطار التحليل

دراسة حالة: تقييم عشوائية كلمات المرور

لتقييم جودة توليد كلمات المرور، يمكن للباحثين تنفيذ إطار التقييم التالي دون الحاجة إلى الوصول إلى الكود المصدري الخاص:

1. جمع العينات: توليد 10,000 كلمة مرور من كل مدير باستخدام الإعدادات الافتراضية
2. حساب الإنتروبيا: حساب إنتروبيا شانون $H = -\sum p_i \log_2 p_i$ لتوزيعات الأحرف
3. الاختبار الإحصائي: تطبيق اختبار مربع كاي مع الفرضية الصفرية $H_0$: الأحرف موزعة بشكل موحد
4. كشف الأنماط: البحث عن تحيزات موضعية (مثل وضع الأحرف الخاصة فقط في الأطراف)
5. محاكاة الهجوم: نمذجة هجمات التخمين باستخدام تقنيات سلسلة ماركوف المشابهة لتلك المستخدمة في بحث Weir وآخرون بعنوان "Password Cracking Using Probabilistic Context-Free Grammars"

يعكس هذا الإطار النهج المستخدم في البحث مع إمكانية تنفيذه من قبل باحثين مستقلين أو منظمات التدقيق.

8. الاتجاهات المستقبلية والتوصيات

بناءً على النتائج، تظهر عدة اتجاهات وتوصيات مستقبلية:

تحسينات تقنية

• تنفيذ التحقق الرسمي لخوارزميات توليد كلمات المرور
• تطوير واجهات برمجة تطبيقات (APIs) أمنية موحدة لمديري كلمات المرور
• دمج مفاتيح الأمان المادية لحماية كلمة المرور الرئيسية
• اعتماد هياكل المعرفة الصفرية حيث لا يمكن لمزود الخدمة الوصول إلى بيانات المستخدم

فرص بحثية

• دراسات طولية تتبع التطور الأمني لمديري كلمات مرور محددين
• دراسات سلوك المستخدم حول تكوين مدير كلمات المرور وأنماط الاستخدام
• تحليل اقتصادي للاستثمار الأمني في شركات إدارة كلمات المرور
• مقارنات أمنية عبر المنصات (سطح المكتب مقابل المحمول مقابل المتصفح)

معايير الصناعة

• تطوير برامج شهادات لأمان مديري كلمات المرور
• عمليات إفصاح موحدة عن نقاط الضعف خاصة بمديري كلمات المرور
• اعتماد على مستوى الصناعة لإعدادات افتراضية آمنة (مثل التأكيد الإلزامي للمستخدم للملء التلقائي)
• تقارير شفافة تفصل منهجيات ونتائج الاختبارات الأمنية

من المرجح أن يتضمن مستقبل مديري كلمات المرور التكامل مع معايير المصادقة الناشئة مثل WebAuthn والمفاتيح الرقمية (passkeys)، مما قد يقلل من الاعتماد على كلمات المرور التقليدية تمامًا. ومع ذلك، خلال فترة الانتقال هذه، يظل تحسين أمان مديري كلمات المرور الحاليين مهمًا للغاية.

9. المراجع

1. Oesch, S., & Ruoti, S. (2020). That Was Then, This Is Now: A Security Evaluation of Password Generation, Storage, and Autofill in Browser-Based Password Managers. USENIX Security Symposium.
2. Li, Z., He, W., Akhawe, D., & Song, D. (2014). The Emperor's New Password Manager: Security Analysis of Web-based Password Managers. USENIX Security Symposium.
3. Silver, D., Jana, S., Boneh, D., Chen, E., & Jackson, C. (2014). Password Managers: Attacks and Defenses. USENIX Security Symposium.
4. Stock, B., & Johns, M. (2014). Protecting the Intranet Against "JavaScript Malware" and Related Attacks. NDSS Symposium.
5. Weir, M., Aggarwal, S., Medeiros, B., & Glodek, B. (2009). Password Cracking Using Probabilistic Context-Free Grammars. IEEE Symposium on Security and Privacy.
6. Herley, C. (2009). So Long, And No Thanks for the Externalities: The Rational Rejection of Security Advice by Users. NSPW.
7. NIST. (2017). Digital Identity Guidelines: Authentication and Lifecycle Management. NIST Special Publication 800-63B.
8. Fahl, S., Harbach, M., Acar, Y., & Smith, M. (2013). On the Ecological Validity of a Password Study. SOUPS.
9. Goodin, D. (2019). The sorry state of password managers—and what should be done about it. Ars Technica.
10. OWASP. (2021). Password Storage Cheat Sheet. OWASP Foundation.