ব্রাউজার-ভিত্তিক পাসওয়ার্ড ম্যানেজারগুলির নিরাপত্তা মূল্যায়ন: জেনারেশন, স্টোরেজ এবং অটোফিল

1. ভূমিকা

নথিভুক্ত নিরাপত্তা চ্যালেঞ্জ সত্ত্বেও, পাসওয়ার্ড-ভিত্তিক প্রমাণীকরণ ওয়েব প্রমাণীকরণের প্রধান রূপ হিসেবেই রয়ে গেছে। একাধিক শক্তিশালী পাসওয়ার্ড পরিচালনা করতে গিয়ে ব্যবহারকারীরা জ্ঞানীয় চাপের মুখোমুখি হন, যার ফলে পাসওয়ার্ড পুনর্ব্যবহার এবং দুর্বল পাসওয়ার্ড তৈরির প্রবণতা দেখা যায়। পাসওয়ার্ড ম্যানেজারগুলি পাসওয়ার্ড তৈরি, সংরক্ষণ এবং স্বয়ংক্রিয়ভাবে পূরণ করার মাধ্যমে এই সমস্যাগুলি দূর করার প্রতিশ্রুতি দেয়। তবে, পূর্ববর্তী গবেষণাগুলিতে, বিশেষ করে ব্রাউজার-ভিত্তিক পাসওয়ার্ড ম্যানেজারগুলিতে উল্লেখযোগ্য দুর্বলতা চিহ্নিত করা হয়েছে। পূর্ববর্তী প্রধান গবেষণার পাঁচ বছর পর নিরাপত্তার উন্নতি হয়েছে কিনা তা নির্ধারণ করতে এই গবেষণায় ১৩টি জনপ্রিয় পাসওয়ার্ড ম্যানেজার মূল্যায়ন করা হয়েছে।

2. গবেষণা পদ্ধতি

এই গবেষণায় তেরোটি পাসওয়ার্ড ম্যানেজারকে তিনটি জীবনচক্র পর্যায়ে মূল্যায়ন করা হয়েছে: জেনারেশন, স্টোরেজ এবং অটোফিল। বিশ্লেষণের জন্য কর্পাসে রয়েছে ১৪৭ মিলিয়ন তৈরি করা পাসওয়ার্ড। পদ্ধতিতে নিম্নলিখিতগুলি একত্রিত করা হয়েছে:

• পাসওয়ার্ড র‌্যান্ডমনেসের পরিসংখ্যানগত বিশ্লেষণ
• পূর্ববর্তী স্টোরেজ নিরাপত্তা পরীক্ষার পুনরাবৃত্তি
• অটোফিল মেকানিজমের দুর্বলতা পরীক্ষা
• ব্রাউজার এক্সটেনশন, ইন্টিগ্রেটেড ব্রাউজার এবং ডেস্কটপ ক্লায়েন্টগুলির মধ্যে তুলনামূলক বিশ্লেষণ

3. পাসওয়ার্ড জেনারেশন বিশ্লেষণ

পাসওয়ার্ড ম্যানেজারগুলিতে পাসওয়ার্ড জেনারেশনের প্রথম ব্যাপক বিশ্লেষণ র‌্যান্ডমনেস এবং নিরাপত্তার ক্ষেত্রে উল্লেখযোগ্য সমস্যা প্রকাশ করেছে।

4. পাসওয়ার্ড স্টোরেজ নিরাপত্তা

পাসওয়ার্ড ম্যানেজারগুলি কীভাবে সংরক্ষিত ক্রেডেনশিয়াল সুরক্ষিত করে তার মূল্যায়নে উন্নতি এবং স্থায়ী দুর্বলতা উভয়ই প্রকাশ পেয়েছে।

5. অটোফিল মেকানিজমের দুর্বলতা

ব্যবহারযোগ্যতার জন্য ডিজাইন করা অটোফিল বৈশিষ্ট্যটি উল্লেখযোগ্য আক্রমণের পৃষ্ঠতল প্রবর্তন করে যা এখনও অপর্যাপ্তভাবে সমাধান করা হয়েছে।

6. পরীক্ষামূলক ফলাফল

প্রধান ফলাফল:

• সংক্ষিপ্ত পাসওয়ার্ড দুর্বলতা: কিছু ম্যানেজার দ্বারা তৈরি ১০ ক্যারেক্টারের কম পাসওয়ার্ড অনলাইন অনুমান আক্রমণের প্রতি দুর্বল ছিল
• এনট্রপির ঘাটতি: বেশ কয়েকটি বাস্তবায়ন তাত্ত্বিক সর্বোচ্চ এনট্রপি অর্জনে ব্যর্থ হয়েছে
• অনিরাপদ ডিফল্ট: কিছু ম্যানেজার অনিরাপদ ডিফল্ট সেটিংস সহ শিপ করা হয়েছে
• আংশিক এনক্রিপশন: গুরুত্বপূর্ণ মেটাডেটা প্রায়শই পাসওয়ার্ডের চেয়ে দুর্বল সুরক্ষা পেয়েছে

চার্ট বর্ণনা: পাসওয়ার্ড শক্তি বিতরণ

বিশ্লেষণে তৈরি করা পাসওয়ার্ড শক্তির একটি দ্বিমডাল বিতরণ প্রকাশ পেয়েছে। প্রায় ৭০% পাসওয়ার্ড NIST SP 800-63B নির্দেশিকা অনুযায়ী সর্বনিম্ন এনট্রপির (মেমোরাইজড সিক্রেটের জন্য ২০ বিট) জন্য মান পূরণ বা অতিক্রম করেছে। তবে, ৩০% এই থ্রেশহোল্ডের নিচে পড়েছে, যেখানে ৮-১২ ক্যারেক্টারের মধ্যে পাসওয়ার্ডগুলির একটি উদ্বেগজনক ক্লাস্টার ক্যারেক্টার সেট সীমাবদ্ধতা এবং জেনারেশন অ্যালগরিদমের পক্ষপাতিত্বের কারণে উল্লেখযোগ্যভাবে হ্রাসপ্রাপ্ত এনট্রপি দেখিয়েছে।

7. প্রযুক্তিগত বিশ্লেষণ কাঠামো

বিশ্লেষণ কাঠামোর উদাহরণ: পাসওয়ার্ড এনট্রপি মূল্যায়ন

গবেষণাটি একটি বহুস্তরীয় মূল্যায়ন কাঠামো নিযুক্ত করেছে:

1. ক্যারেক্টার-লেভেল বিশ্লেষণ: ইউনিফর্ম ডিস্ট্রিবিউশনের বিরুদ্ধে $\chi^2$ টেস্ট ব্যবহার করে প্রতিটি ক্যারেক্টার অবস্থানের ফ্রিকোয়েন্সি ডিস্ট্রিবিউশন
2. সিকোয়েন্স বিশ্লেষণ: পূর্বাভাসযোগ্য ক্যারেক্টার সিকোয়েন্স সনাক্ত করতে মার্কভ চেইন বিশ্লেষণ
3. এনট্রপি গণনা: অভিজ্ঞতামূলক এনট্রপি গণনা ব্যবহার করে: $H_{empirical} = -\sum_{p \in P} \frac{count(p)}{N} \log_2 \frac{count(p)}{N}$ যেখানে $P$ হল অনন্য পাসওয়ার্ডের সেট এবং $N$ হল মোট পাসওয়ার্ড
4. আক্রমণ সিমুলেশন: Hashcat এবং John the Ripper রুল সেট ব্যবহার করে ব্রুট-ফোর্স এবং ডিকশনারি আক্রমণের সিমুলেশন

কেস স্টাডি: অ-র‌্যান্ডম ডিস্ট্রিবিউশন সনাক্তকরণ

একটি পাসওয়ার্ড ম্যানেজারের জন্য, বিশ্লেষণে প্রকাশ পেয়েছে যে বিশেষ ক্যারেক্টারগুলি ১২-ক্যারেক্টার পাসওয়ার্ডের শেষ দুটি অবস্থানে অসম্ভাব্যভাবে উপস্থিত হয়েছে। পরিসংখ্যানগত পরীক্ষায় দেখানো হয়েছে $\chi^2 = 45.3$ এবং $p < 0.001$, যা র‌্যান্ডমনেস থেকে উল্লেখযোগ্য বিচ্যুতি নির্দেশ করে। এই প্যাটার্নটি টার্গেটেড আক্রমণের জন্য কার্যকর পাসওয়ার্ড স্পেস প্রায় ১৫% কমিয়ে দিতে পারে।

8. ভবিষ্যতের প্রয়োগ ও দিকনির্দেশনা

তাত্ক্ষণিক সুপারিশ:

• সমস্ত পাসওয়ার্ড জেনারেশনের জন্য ক্রিপ্টোগ্রাফিকভাবে নিরাপদ র‌্যান্ডম নম্বর জেনারেটর (CSPRNG) বাস্তবায়ন করুন
• মেটাডেটা এবং পাসওয়ার্ডের জন্য সমান এনক্রিপশন শক্তি প্রয়োগ করুন
• সংবেদনশীল সাইটগুলির জন্য ব্যবহারকারীর নিশ্চিতকরণ সহ প্রসঙ্গ-সচেতন অটোফিল বাস্তবায়ন করুন
• জিরো-নলেজ আর্কিটেকচার গ্রহণ করুন যেখানে পরিষেবা প্রদানকারী ব্যবহারকারীর ডেটা অ্যাক্সেস করতে পারে না

গবেষণার দিকনির্দেশনা:

• মেশিন লার্নিং প্রতিরক্ষা: আক্রমণ নির্দেশক অস্বাভাবিক অটোফিল প্যাটার্ন সনাক্ত করতে ML মডেল তৈরি করুন
• ফর্মাল ভেরিফিকেশন: পাসওয়ার্ড ম্যানেজার নিরাপত্তা বৈশিষ্ট্য যাচাই করতে ফর্মাল পদ্ধতি প্রয়োগ করুন
• হার্ডওয়্যার ইন্টিগ্রেশন: হার্ডওয়্যার সিকিউরিটি মডিউল (HSM) এবং ট্রাস্টেড এক্সিকিউশন এনভায়রনমেন্ট (TEE) ব্যবহার করুন
• পোস্ট-কোয়ান্টাম ক্রিপ্টোগ্রাফি: বর্তমান এনক্রিপশন মানদণ্ডের জন্য কোয়ান্টাম কম্পিউটিং হুমকির জন্য প্রস্তুত করুন
• আচরণগত বায়োমেট্রিক্স: অতিরিক্ত প্রমাণীকরণ ফ্যাক্টরের জন্য কীস্ট্রোক ডাইনামিক্স এবং মাউস মুভমেন্ট বিশ্লেষণ একীভূত করুন

শিল্পের প্রভাব:

ফলাফলগুলি পরামর্শ দেয় যে ক্রিপ্টোগ্রাফিক মডিউলগুলির জন্য FIPS 140-3-এর অনুরূপ পাসওয়ার্ড ম্যানেজারগুলির জন্য মানসম্মত নিরাপত্তা সার্টিফিকেশনের প্রয়োজন। ভবিষ্যতের পাসওয়ার্ড ম্যানেজারগুলি ওয়েবঅথনের মতো পাসওয়ার্ডবিহীন প্রমাণীকরণ পদ্ধতি একীভূত করে ব্যাপক ক্রেডেনশিয়াল ম্যানেজমেন্ট প্ল্যাটফর্মে বিবর্তিত হতে পারে, পিছনের সামঞ্জস্যতা বজায় রেখে।

9. তথ্যসূত্র

1. Oesch, S., & Ruoti, S. (2020). That Was Then, This Is Now: A Security Evaluation of Password Generation, Storage, and Autofill in Browser-Based Password Managers. USENIX Security Symposium.
2. Li, Z., He, W., Akhawe, D., & Song, D. (2014). The Emperor's New Password Manager: Security Analysis of Web-based Password Managers. USENIX Security Symposium.
3. Silver, D., Jana, S., Boneh, D., Chen, E., & Jackson, C. (2014). Password Managers: Attacks and Defenses. USENIX Security Symposium.
4. National Institute of Standards and Technology. (2017). Digital Identity Guidelines: Authentication and Lifecycle Management. NIST SP 800-63B.
5. Goodin, D. (2019). Why password managers have inherent weaknesses. Ars Technica.
6. Florêncio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th international conference on World Wide Web.
7. Bonneau, J. (2012). The science of guessing: analyzing an anonymized corpus of 70 million passwords. IEEE Symposium on Security and Privacy.
8. Veras, R., Collins, C., & Thorpe, J. (2014). On the semantic patterns of passwords and their security impact. NDSS Symposium.