التقييم الأمني لمديري كلمات المرور القائمة على المتصفح: التوليد، والتخزين، والملء التلقائي

1. المقدمة

لا تزال المصادقة القائمة على كلمات المرور هي الشكل السائد للمصادقة على الويب، على الرغم من التحديات الأمنية الموثقة جيدًا. يواجه المستخدمون أعباءً إدراكية عند إدارة كلمات مرور قوية متعددة، مما يؤدي إلى إعادة استخدام كلمات المرور وإنشاء كلمات مرور ضعيفة. تَعِد مديرو كلمات المرور بتخفيف هذه المشكلات من خلال توليد كلمات المرور وتخزينها وملئها تلقائيًا. ومع ذلك، تم تحديد نقاط ضعف كبيرة في الدراسات السابقة، خاصة في مديري كلمات المرور القائمة على المتصفح. يقيّم هذا البحث 13 مدير كلمات مرور شائعًا بعد خمس سنوات من الدراسات الرئيسية السابقة لتحديد ما إذا كان الأمن قد تحسن.

2. منهجية البحث

تقيّم الدراسة ثلاثة عشر مدير كلمات مرور عبر ثلاث مراحل من دورة الحياة: التوليد، والتخزين، والملء التلقائي. تتضمن المجموعة 147 مليون كلمة مرور مُولَّدة للتحليل. تجمع المنهجية بين:

• التحليل الإحصائي لعشوائية كلمات المرور
• تكرار اختبارات أمن التخزين السابقة
• اختبار نقاط الضعف في آليات الملء التلقائي
• التحليل المقارن عبر امتدادات المتصفح والمتصفحات المدمجة وعملاء سطح المكتب

3. تحليل توليد كلمات المرور

يكشف أول تحليل شامل لتوليد كلمات المرور في مديري كلمات المرور عن مشكلات كبيرة في العشوائية والأمن.

4. أمن تخزين كلمات المرور

يكشف تقييم كيفية قيام مديري كلمات المرور بحماية بيانات الاعتماد المخزنة عن تحسينات ونقاط ضعف مستمرة.

5. نقاط ضعف آلية الملء التلقائي

تقدم ميزة الملء التلقائي، المصممة لسهولة الاستخدام، أسطح هجوم كبيرة لا تزال غير معالجة بشكل كافٍ.

6. النتائج التجريبية

النتائج الرئيسية:

• نقطة ضعف كلمات المرور القصيرة: كانت كلمات المرور الأقصر من 10 أحرف التي ولّدها بعض المديرين عرضة لهجمات التخمين عبر الإنترنت
• قصور في الإنتروبيا: فشلت عدة تنفيذات في تحقيق الحد الأقصى النظري للإنتروبيا
• الإعدادات الافتراضية غير الآمنة: شُحنت بعض المديرين بإعدادات افتراضية غير آمنة
• التشفير الجزئي: غالبًا ما تلقت البيانات الوصفية الحرجة حماية أضعف من كلمات المرور

وصف الرسم البياني: توزيع قوة كلمات المرور

كشف التحليل عن توزيع ثنائي النمط لقوة كلمات المرور المُولَّدة. حقق حوالي 70% من كلمات المرور أو تجاوزت إرشادات NIST SP 800-63B لأدنى إنتروبيا (20 بت للأسرار المحفوظة). ومع ذلك، سقط 30% دون هذا الحد، مع وجود مجموعة مقلقة من كلمات المرور بين 8-12 حرفًا أظهرت إنتروبيا منخفضة بشكل ملحوظ بسبب قيود مجموعة الأحرف وتحيزات خوارزمية التوليد.

7. إطار التحليل الفني

مثال على إطار التحليل: تقييم إنتروبيا كلمة المرور

استخدمت الدراسة إطار تقييم متعدد الطبقات:

1. التحليل على مستوى الحرف: توزيع التكرار لكل موقع حرف باستخدام اختبارات $\chi^2$ مقابل التوزيع المنتظم
2. تحليل التسلسل: تحليل سلسلة ماركوف للكشف عن تسلسلات الأحرف المتوقعة
3. حساب الإنتروبيا: حساب الإنتروبيا التجريبية باستخدام: $H_{empirical} = -\sum_{p \in P} \frac{count(p)}{N} \log_2 \frac{count(p)}{N}$ حيث $P$ هي مجموعة كلمات المرور الفريدة و $N$ هو إجمالي كلمات المرور
4. محاكاة الهجوم: محاكاة هجمات القوة الغاشمة والقواميس باستخدام مجموعات قواعد Hashcat و John the Ripper

دراسة حالة: اكتشاف التوزيع غير العشوائي

بالنسبة لأحد مديري كلمات المرور، كشف التحليل أن الأحرف الخاصة ظهرت بشكل غير متناسب في الموضعين الأخيرين من كلمات المرور المكونة من 12 حرفًا. أظهر الاختبار الإحصائي $\chi^2 = 45.3$ مع $p < 0.001$، مما يشير إلى انحراف كبير عن العشوائية. يمكن لهذا النمط أن يقلل من مساحة كلمة المرور الفعالة بنحو 15% للهجمات المستهدفة.

8. التطبيقات المستقبلية والاتجاهات

التوصيات الفورية:

• تنفيذ مولدات الأرقام العشوائية الآمنة من الناحية التشفيرية (CSPRNG) لجميع عمليات توليد كلمات المرور
• تطبيق قوة تشفير متساوية على البيانات الوصفية وكلمات المرور
• تنفيذ ملء تلقائي واعٍ بالسياق مع تأكيد المستخدم للمواقع الحساسة
• اعتماد هياكل المعرفة الصفرية حيث لا يمكن لمزود الخدمة الوصول إلى بيانات المستخدم

اتجاهات البحث:

• الدفاع بالتعلم الآلي: تطوير نماذج ML للكشف عن أنماط الملء التلقائي الشاذة التي تشير إلى هجمات
• التحقق الرسمي: تطبيق الطرق الرسمية للتحقق من خصائص أمن مدير كلمات المرور
• التكامل مع العتاد: الاستفادة من وحدات الأمن المادي (HSMs) وبيئات التنفيذ الموثوقة (TEEs)
• التشفير ما بعد الكم: الاستعداد لتهديدات الحوسبة الكمومية لمعايير التشفير الحالية
• القياسات الحيوية السلوكية: دمج ديناميكيات النقر وتحليل حركة الفأرة لعوامل مصادقة إضافية

التأثير على الصناعة:

تشير النتائج إلى الحاجة إلى شهادات أمنية موحدة لمديري كلمات المرور، مشابهة لـ FIPS 140-3 للوحدات التشفيرية. قد تتطور مديرو كلمات المرور المستقبلية إلى منصات شاملة لإدارة بيانات الاعتماد تدمج طرق المصادقة بدون كلمات مرور مثل WebAuthn مع الحفاظ على التوافق مع الإصدارات السابقة.

9. المراجع

1. Oesch, S., & Ruoti, S. (2020). That Was Then, This Is Now: A Security Evaluation of Password Generation, Storage, and Autofill in Browser-Based Password Managers. USENIX Security Symposium.
2. Li, Z., He, W., Akhawe, D., & Song, D. (2014). The Emperor's New Password Manager: Security Analysis of Web-based Password Managers. USENIX Security Symposium.
3. Silver, D., Jana, S., Boneh, D., Chen, E., & Jackson, C. (2014). Password Managers: Attacks and Defenses. USENIX Security Symposium.
4. National Institute of Standards and Technology. (2017). Digital Identity Guidelines: Authentication and Lifecycle Management. NIST SP 800-63B.
5. Goodin, D. (2019). Why password managers have inherent weaknesses. Ars Technica.
6. Florêncio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th international conference on World Wide Web.
7. Bonneau, J. (2012). The science of guessing: analyzing an anonymized corpus of 70 million passwords. IEEE Symposium on Security and Privacy.
8. Veras, R., Collins, C., & Thorpe, J. (2014). On the semantic patterns of passwords and their security impact. NDSS Symposium.