AutoPass: مشخصات و تحلیل یک تولیدکننده خودکار رمز عبور

فهرست مطالب

1. مقدمه

احراز هویت با رمز عبور متنی، علیرغم کاستی‌های شناخته شده‌اش، همچنان روش غالب برای احراز هویت کاربران است. گسترش سرویس‌های آنلاین این مشکل را تشدید کرده و کاربران را مجبور به مدیریت تعداد غیرقابل تحملی از رمزهای عبور قوی و منحصربه‌فرد کرده است. این امر منجر به روش‌های ناامنی مانند استفاده مجدد از رمز عبور و ایجاد رمزهای عبور ضعیف می‌شود. AutoPass به عنوان یک طرح تولیدکننده رمز عبور سمت کاربر پیشنهاد شده که برای ایجاد و مدیریت خودکار رمزهای عبور قوی و وابسته به سایت به صورت درخواستی طراحی شده است. این طرح بار کاربر را به حداقل می‌رساند و در عین حال محدودیت‌های موجود در طرح‌های قبلی را برطرف می‌کند.

2. یک مدل کلی

این بخش یک مدل رسمی برای تولیدکننده‌های رمز عبور ارائه می‌دهد و آن‌ها را از تولیدکننده‌های ساده رمز عبور تصادفی متمایز می‌کند. این مدل سیستمی را تعریف می‌کند که رمزهای عبور را به صورت قطعی از مجموعه کوچکی از ورودی‌های کاربر (مانند یک راز اصلی و شناسه سایت) تولید می‌کند و اطمینان می‌دهد که رمز عبور یکسان برای همان سایت قابل تولید مجدد است.

2.1 تعریف

یک تولیدکننده رمز عبور، در این متن، به عنوان یک سیستم قابل تکرار و درخواستی تعریف می‌شود. این سیستم ورودی‌هایی مانند راز اصلی کاربر $M$، شناسه سایت/سرویس $S$ (مانند نام دامنه) و احتمالاً پارامترهای دیگر $P$ (مانند شمارنده تغییر رمز عبور $i$) را دریافت می‌کند. خروجی آن یک رمز عبور قوی و وابسته به سایت $PW = G(M, S, P)$ است. تابع $G$ باید یک تابع یک‌طرفه باشد تا از استخراج $M$ از یک $PW$ به خطر افتاده جلوگیری کند.

3. شرح سطح بالا از AutoPass

AutoPass بر اساس مدل کلی ساخته شده اما تکنیک‌های نوآورانه‌ای برای مدیریت محدودیت‌های دنیای واقعی معرفی می‌کند. نوآوری اصلی آن در توانایی تطبیق با موارد زیر نهفته است:
1. تغییرات اجباری رمز عبور: یک شمارنده تغییر $i$ را در فرآیند تولید ادغام می‌کند.
2. رمزهای عبور از پیش تعیین شده: به کاربران اجازه می‌دهد در صورت تمایل یک رمز عبور تولید شده خاص را برای یک سایت "قفل" کنند.
3. سیاست‌های وابسته به سایت: می‌تواند ترکیب رمز عبور (طول، مجموعه کاراکترها) را برای رعایت قوانین مختلف وب‌سایت‌ها تنظیم کند.
این سیستم در سمت کاربر عمل می‌کند و نیازی به شخص ثالث مورد اعتماد یا ذخیره‌سازی رازها در سمت سرور ندارد.

4. مشخصات دقیق AutoPass

مشخصات، الگوریتم‌های زیر را به تفصیل شرح می‌دهد:
- راه‌اندازی: کاربر یک راز اصلی $M$ را انتخاب می‌کند.
- تولید رمز عبور: $PW_{S,i} = H( H(M) \, || \, S \, || \, i )$، که در آن $H$ یک تابع درهم‌سازی رمزنگاری (مانند SHA-256) است و $||$ نشان‌دهنده الحاق است. سپس خروجی قالب‌بندی می‌شود (مانند کدگذاری Base64، کوتاه کردن) تا با سیاست $P_S$ مطابقت داشته باشد.
- تغییر رمز عبور: افزایش $i$ یک رمز عبور جدید و نامرتبط برای سایت $S$ تولید می‌کند.
- قفل کردن رمز عبور: یک مکانیسم برای ذخیره یک هش از یک $PW_{S,i}$ خاص برای جلوگیری از تغییرات آینده، مگر اینکه به صراحت باز شود.

5. تحلیل ویژگی‌های AutoPass

مقاله AutoPass را در برابر ویژگی‌های کلیدی امنیت و قابلیت استفاده تحلیل می‌کند:
- امنیت: مقاومت در برابر حمله جستجوی فراگیر (قدرت $H$)، فیشینگ (اتصال به سایت از طریق $S$) و به خطر افتادن (آگاهی از یک $PW$، $M$ یا رمزهای عبور سایت‌های دیگر را فاش نمی‌کند).
- قابلیت استفاده: حداقل بار حافظه کاربر (فقط $M$)، مدیریت بی‌درز تغییرات رمز عبور.
- قابلیت حمل و سازگاری: در صورت در دسترس بودن $M$ در دستگاه‌های مختلف کار می‌کند؛ می‌تواند رمزهای عبور سازگار با اکثر سیاست‌های وب‌سایت‌ها را تولید کند.
این تحلیل نتیجه می‌گیرد که AutoPass با موفقیت نقاط ضعف بحرانی در طرح‌های قبلی، مانند عدم پشتیبانی از تغییر و عدم انعطاف‌پذیری سیاست‌ها را برطرف می‌کند.

6. نتیجه‌گیری

AutoPass گامی مهم به جلو در طراحی تولیدکننده رمز عبور ارائه می‌دهد. با مشخص‌سازی رسمی طرح و تحلیل ویژگی‌های آن، نویسندگان یک راه‌حل عملی برای بحران مدیریت رمز عبور نشان می‌دهند. این طرح امنیت، قابلیت استفاده و انطباق با دنیای واقعی را به گونه‌ای متعادل می‌کند که پیشنهادات آکادمیک قبلی اغلب از آن غفلت کرده‌اند.

7. تحلیل اصلی و تفسیر کارشناسی

8. جزئیات فنی و مدل ریاضی

تابع تولید اصلی را می‌توان برای نشان دادن اجزای آن گسترش داد:

$\text{کلید میانی: } K = H(M)$
$\text{بذر سایت: } Seed_{S,i} = K \, || \, S \, || \, i$
$\text{خروجی خام: } R = H(Seed_{S,i})$
$\text{رمز عبور نهایی: } PW_{S,i} = \text{Format}(R, P_S)$

که در آن $\text{Format}()$ قوانینی مانند: انتخاب 12 کاراکتر اول، نگاشت به مجموعه الفبایی-عددی/نماد، اطمینان از یک حرف بزرگ و غیره را اعمال می‌کند. امنیت به مقاومت در برابر تصویر اولیه و مقاومت در برابر برخورد $H$ متکی است.

9. چارچوب تحلیل و مثال مفهومی

چارچوب: برای ارزیابی هر تولیدکننده رمز عبور، از این چک‌لیست مشتق شده از مقاله استفاده کنید:
1. ورودی‌ها: حداقل راز کاربر چیست؟ آیا به خاطر سپردنی است؟
2. قطعی بودن: آیا رمز عبور به طور یکسان در دستگاه‌ها/جلسات مختلف قابل تولید مجدد است؟
3. یکتایی سایت: آیا به خطر افتادن در سایت A چیزی درباره رمز عبور سایت B فاش می‌کند؟
4. پشتیبانی از تغییر: آیا طرح می‌تواند چرخش‌های اجباری رمز عبور را مدیریت کند؟
5. انطباق با سیاست: آیا می‌تواند خروجی‌ها را با قوانین پیچیدگی مختلف تطبیق دهد؟
6. مقاومت در برابر فیشینگ: آیا خروجی به سرویس خاص و مورد نظر متصل است؟

مثال مفهومی (بدون کد): یک کاربر به نام آلیس را در نظر بگیرید.
- راز اصلی او $M$ یک عبارت عبور است: "correct horse battery staple@2024".
- برای سایت $S$="example.com" و اولین استفاده ($i=1$)، AutoPass یک هش از این ترکیب محاسبه می‌کند.
- خروجی هش (مانند یک رشته هگز) به یک رمز عبور 16 کاراکتری که با سیاست example.com مطابقت دارد تبدیل می‌شود: "X7@!qF9*Kp2$wL5".
- هنگامی که example.com پس از 90 روز یک تغییر اجباری اعمال می‌کند، آلیس (یا کلاینت AutoPass او) $i=2$ را تنظیم می‌کند. هش جدید یک رمز عبور کاملاً متفاوت تولید می‌کند: "gT8#mY3&Zn6%vR1".
- برای بانک خود، او از ویژگی "قفل" روی اولین رمز عبور تولید شده استفاده می‌کند و از تغییرات آینده جلوگیری می‌کند مگر اینکه به صورت دستی آن را باز کند.

10. کاربردهای آینده و جهت‌های پژوهشی

1. ادغام با مدیران رمز عبور: الگوریتم AutoPass می‌تواند موتور اصلی برای مدیران رمز عبور متن‌باز (مانند افزونه‌های KeePass) باشد و یک روش تولید استاندارد و قابل حسابرسی ارائه دهد.
2. رمزنگاری پساکوانتومی (PQC): تابع درهم‌سازی $H$ باید در برابر حملات کوانتومی مقاوم باشد. نسخه‌های آینده می‌توانند استفاده از توابع درهم‌سازی نهایی PQC مانند SHA-3 یا استانداردهای آینده NIST را مشخص کنند.
3. هویت غیرمتمرکز (DID): مدل استخراج اعتبارنامه‌های قابل تأیید از یک راز اصلی با مفاهیم DID همسو است. AutoPass می‌تواند برای تولید شناسه‌های غیرمتمرکز یا کلیدهای رمزنگاری برای برنامه‌های Web3 تطبیق داده شود.
4. مدیریت راز سازمانی: این الگو می‌تواند برای DevOps مقیاس‌پذیر باشد و کلیدهای API منحصربه‌فرد یا رمزهای عبور پایگاه داده را برای میکروسرویس‌های مختلف از یک کلید ریشه واحد که در یک ماژول امنیتی سخت‌افزاری (HSM) مدیریت می‌شود، تولید کند.
5. ادغام بیومتریک: پژوهش می‌تواند استفاده از یک الگوی بیومتریک پایدار (پردازش شده به صورت محلی) را به عنوان بخشی از ورودی به $M$ بررسی کند و در عین حفظ ویژگی قطعی، راحتی را افزایش دهد.

11. منابع

1. Al Maqbali, F., & Mitchell, C. J. (2017). AutoPass: An Automatic Password Generator. arXiv preprint arXiv:1703.01959v2.
2. Bonneau, J., Herley, C., van Oorschot, P. C., & Stajano, F. (2012). The quest to replace passwords: A framework for comparative evaluation of web authentication schemes. IEEE Symposium on Security and Privacy.
3. NIST. (2020). Digital Identity Guidelines: Authentication and Lifecycle Management (SP 800-63B).
4. FIDO Alliance. (2022). FIDO2: WebAuthn & CTAP Specifications. Retrieved from https://fidoalliance.org/fido2/
5. Florêncio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th international conference on World Wide Web.
6. Krombholz, K., et al. (2015). "I have no idea what I'm doing" - On the Usability of Deploying HTTPS. USENIX Security Symposium.